Giới Thiệu về Semgrep và SAST

Tại sao SAST là Quan Trọng?

Kiểm tra bảo mật ứng dụng tĩnh (SAST) là một thực hành cần thiết trong phát triển phần mềm hiện đại, giúp phát hiện sớm các lỗ hổng trong mã nguồn trước khi đưa vào sản xuất. Thực hiện kiểm tra bảo mật từ giai đoạn đầu của vòng đời phát triển phần mềm (SDLC) giúp giảm thiểu nguy cơ các lỗ hổng đến tay người dùng.

Semgrep Là Gì?

Semgrep là một công cụ mã nguồn mở, nhẹ và thân thiện với lập trình viên, cung cấp phương pháp tiếp cận SAST dựa trên quy tắc. Khác với các nền tảng doanh nghiệp nặng nề, Semgrep tập trung vào việc phát hiện quy tắc, tính linh hoạt và tích hợp với các quy trình CI/CD.

Cách Ứng Dụng Semgrep cho Các Ứng Dụng

1. Cài Đặt Semgrep

Để cài đặt Semgrep, bạn có thể sử dụng lệnh sau:

pip install semgrep

Hoặc chạy trực tiếp qua Docker:

docker run --rm -v "${PWD}:/src" returntocorp/semgrep semgrep --config=p/ci

2. Ví Dụ về Ứng Dụng Có Lỗ Hổng

Xem xét đoạn mã Python sau đây có khả năng bị tấn công SQL Injection:

import sqlite3
import sys

def search_user(username):
    conn = sqlite3.connect("users.db")
    cursor = conn.cursor()
    # ❌ Truy vấn dễ bị tấn công (kết hợp đầu vào của người dùng)
    query = "SELECT * FROM users WHERE name = '" + username + "';"
    cursor.execute(query)
    results = cursor.fetchall()
    print(results)
    conn.close()

if __name__ == "__main__":
    search_user(sys.argv[1])

Hàm này không an toàn vì đầu vào của người dùng được kết hợp trực tiếp vào câu lệnh SQL mà không được làm sạch.

3. Phát Hiện Lỗ Hổng với Semgrep

Chúng ta có thể sử dụng một quy tắc cộng đồng có sẵn hoặc định nghĩa một quy tắc tùy chỉnh trong YAML để phát hiện các cuộc gọi execute không an toàn với việc kết hợp chuỗi:

rules:
  - id: python-sql-injection
    patterns:
      - pattern: cursor.execute("..." + $VAR)
        message: "Có thể bị tấn công SQL Injection: tránh kết hợp chuỗi trong truy vấn SQL."
        languages: [python]
        severity: ERROR

Chạy Semgrep với quy tắc này:

semgrep --config=rules/sql-injection.yml vulnerable.py

Kết quả:

vulnerable.py
7: cursor.execute(query)
Có thể bị tấn công SQL Injection: tránh kết hợp chuỗi trong truy vấn SQL.

4. Tích Hợp vào GitHub Actions (Tự Động Hóa)

Để đảm bảo bảo vệ liên tục, Semgrep có thể được tích hợp vào quy trình CI/CD. Ví dụ về workflow trong GitHub Actions:

name: Semgrep Scan
on: [push, pull_request]
jobs:
  semgrep:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - uses: returntocorp/semgrep-action@v1
        with:
          config: "p/security-audit"

Với cấu hình này, mọi pull request sẽ được quét tự động để tìm kiếm các lỗ hổng.

Điểm Mạnh của Semgrep

• Nhanh chóng và thân thiện với lập trình viên: Kết quả xuất hiện trong vài giây.
• Linh hoạt: Các quy tắc tùy chỉnh có thể phản ánh chính sách cụ thể của tổ chức.
• Hệ sinh thái mở: Đăng ký quy tắc do cộng đồng điều hành giảm thời gian thiết lập.
• Tự nhiên với CI/CD: Tích hợp mượt mà với GitHub, GitLab và Jenkins.

Giới Hạn

• Việc viết các quy tắc nâng cao yêu cầu học cú pháp quy tắc của Semgrep.
• Phân tích tĩnh có thể tạo ra các báo cáo sai tích cực, yêu cầu xử lý thủ công.
• Một số loại lỗ hổng (ví dụ: cấu hình sai trong thời gian chạy) nằm ngoài phạm vi của nó.

Tài Nguyên Tham Khảo

👉 Bạn có thể truy cập mã nguồn và các cấu hình đã sử dụng trong bài viết này tại liên kết sau:
🔗 GitHub Repository

Kết Luận

Semgrep chứng minh rằng SAST không cần phải nặng nề hoặc chỉ dành cho doanh nghiệp. Bằng cách áp dụng Semgrep cho bất kỳ ứng dụng nào, các tổ chức có thể phát hiện lỗ hổng sớm, thực thi tiêu chuẩn mã hóa và tích hợp bảo mật trực tiếp vào quy trình làm việc của lập trình viên. Tính nhẹ, mô hình mã nguồn mở và hệ sinh thái do cộng đồng điều hành khiến Semgrep trở thành một lựa chọn linh hoạt cho các nhóm phát triển phần mềm hiện đại.

Thực Hành Tốt Nhất

• Thực hiện kiểm tra thường xuyên: Đảm bảo rằng các quy tắc Semgrep được chạy mỗi khi có thay đổi trong mã nguồn.
• Tùy chỉnh quy tắc: Tạo các quy tắc tùy chỉnh phù hợp với nhu cầu bảo mật cụ thể của bạn.

Những Cạm Bẫy Thường Gặp

• Không phớt lờ các cảnh báo: Đảm bảo rằng tất cả các cảnh báo được xem xét và xử lý.
• Không chỉ dựa vào SAST: Phải có các biện pháp bảo mật khác nhau, bao gồm cả kiểm tra bảo mật động (DAST).

Mẹo Tối Ưu Hiệu Suất

• Tối ưu hóa quy tắc: Kiểm tra và cải thiện quy tắc để giảm thiểu số lượng báo cáo sai tích cực.

Giải Quyết Sự Cố

• Báo cáo sai tích cực: Đánh giá và điều chỉnh quy tắc để giảm thiểu sai sót.

Câu Hỏi Thường Gặp

• Semgrep có miễn phí không? Semgrep là một công cụ mã nguồn mở và miễn phí.
• Semgrep có hỗ trợ các ngôn ngữ nào? Semgrep hỗ trợ hơn 30 ngôn ngữ lập trình.

Kêu Gọi Hành Động

Hãy bắt đầu áp dụng Semgrep ngay hôm nay để bảo vệ ứng dụng của bạn khỏi các lỗ hổng bảo mật!