Araç ne sağlar?
Desteklenen dil ve analiz türü seçilen sürüme bağlıdır. Projeye özgü kurallar, örneğin üretim TLS doğrulamasını gevşeten kodu veya sabit sır kullanımını araştırabilir. Kuralın kapsadığı dil yapıları test edilmelidir.
Uygulamada nasıl değerlendirilir?
Kendi test projenizde güvenli ve güvensiz örneklerden oluşan küçük bir kural veri kümesi hazırlayın. CI kapısını açmadan önce yanlış pozitifleri ve kaçan örnekleri değerlendirin.
Sınırlar ve yaygın hatalar
Eşleşme bulunmaması programın güvenli olduğunu kanıtlamaz. Dinamik davranış ve yerel kod ayrı inceleme gerektirebilir.
Kontrol listesi
- Kural sürümünü kaydedin
- İstisnaları gerekçelendirin
- Düzeltmeyi yeniden tarayın
Karar verirken
Semgrep'i geliştiriciye anlaşılır geri bildirim veren bir katman olarak kullanın; RASP'ın üretimdeki görevini üstlenmesini beklemeyin.
Kurala bir güvenlik sorusu vermek
Semgrep kuralını gerçek bir hata örneği ve benzer görünen doğru kullanım üzerinde sınayın. Yalnızca belirli sözcüğü arayan kural, bağlamı kaçırabilir. Hangi dilin ve analiz düzeyinin kullanıldığı açık tutulmalıdır.
RASP entegrasyonu için güvensiz hata yolu, gereksiz günlük veya yanlış yapılandırma işaretleri araştırılabilir. Bulgu doğrudan geliştiricinin değiştirebileceği satır ve gerekçeyle paylaşılır. Kaynak taramasının çalışma zamanı müdahale testinin yerine geçmediği korunur.
İlgili rehberler: Mobile RASP ile SAST arasındaki fark, Bandit ile Python güvenlik kod incelemesi.
Kaynaklar ve kapsam
Teknik özelliklerin başvuru noktaları aşağıdadır. Uygulama örneği ve kontrol listesi bu yayın için hazırlanmış değerlendirme önerileridir; bağımsız ürün testi sonucu değildir.