Trang chủ
devsecops
Learn

Bài 9: Phân Tích Mã Tĩnh (SAST) | DevSecOps Story

Chuyện về devsecops

Phần 3: Tích Hợp Bảo Mật Vào Vòng Đời DevOps

Bài 9: Phân Tích Mã Tĩnh (SAST)

"Shift Left" bắt đầu từ đây! SAST là công cụ giúp bạn "soi" mã nguồn để tìm lỗ hổng... trước cả khi code được chạy.

Ôn lại bài cũ: Threat Modeling (Bài 8)

Ở bài 8, chúng ta đã học cách "tư duy như hacker" để *phỏng đoán* các mối đe dọa. Bây giờ, chúng ta sẽ dùng công cụ tự động để *quét* mã nguồn và tìm ra chính xác những mối đe dọa đó.

SAST là gì?

Static Application Security Testing (SAST), hay Phân tích Bảo mật Ứng dụng Tĩnh, là một phương pháp "white-box testing" (kiểm thử hộp trắng).

Nó phân tích mã nguồn (source code), bytecode, hoặc binary code của một ứng dụng mà không cần thực thi nó. Mục tiêu là tìm ra các mẫu code (code patterns) có thể dẫn đến lỗ hổng bảo mật.

SAST Hoạt Động Như Thế Nào?

1. Mã Nguồn (Source Code)

Developer viết code và push lên Git. Pipeline CI/CD được kích hoạt.

→

2. Công Cụ SAST

Công cụ (như SonarQube) quét code, xây dựng mô hình và phân tích luồng dữ liệu.

→

3. Báo Cáo (Report)

Tạo báo cáo chi tiết về lỗ hổng, vị trí, và cách sửa lỗi, gửi về cho developer.

Ưu Điểm vs. Nhược Điểm Của SAST

Ưu điểm (Pros)

  • Phát hiện sớm (Shift Left): Tìm ra lỗi ngay trong giai đoạn code, chi phí sửa lỗi là rẻ nhất.
  • Độ bao phủ 100%: Quét toàn bộ mã nguồn, bao gồm cả những phần code ít khi được chạy trong thực tế.
  • Không cần môi trường: Không cần triển khai ứng dụng, có thể chạy ngay trên máy của developer hoặc trong CI pipeline.

Nhược điểm (Cons)

  • False Positives (Báo động giả): Thường xuyên báo cáo những lỗi không thực sự nguy hiểm, gây nhiễu cho developer.
  • Bỏ lỡ lỗi Runtime: Không thể phát hiện các lỗi chỉ xảy ra khi ứng dụng đang chạy (ví dụ: lỗi logic nghiệp vụ, lỗi cấu hình sai môi trường).
  • Hiểu biết ngôn ngữ: Yêu cầu công cụ phải "hiểu" sâu về ngôn ngữ lập trình và framework đang được sử dụng.

Ví dụ: SAST tìm thấy gì?

Hãy xem một đoạn code Python (sử dụng Flask) bị lỗ hổng SQL Injection:

# Lấy user_id từ request URL
user_id = request.args.get('id')

# TRUY VẤN CÓ LỖ HỔNG (Vulnerable Query)
query = f"SELECT * FROM users WHERE id = {user_id}"
db.execute(query)

Một công cụ SAST sẽ phân tích và phát hiện ra điều này. Nó thấy rằng:

  1. Biến `user_id` đến từ một nguồn không đáng tin cậy (tainted source) là `request.args`.
  2. Biến này được đưa trực tiếp vào một câu lệnh SQL (sensitive sink) mà không qua bất kỳ hàm làm sạch (sanitization) nào.

Công cụ sẽ gắn cờ đây là một lỗ hổng SQL Injection và gợi ý bạn sửa lại bằng cách sử dụng "prepared statements" (tham số hóa):

# CÁCH SỬA LỖI (Fixed Query)
user_id = request.args.get('id')
query = "SELECT * FROM users WHERE id = %s"
db.execute(query, (user_id,))

Các Công Cụ SAST Phổ Biến

Một nền tảng mã nguồn mở (có bản trả phí) cực kỳ mạnh mẽ. Nó không chỉ tìm lỗi bảo mật (security vulnerabilities) mà còn quản lý cả "code smells" (code rác) và "technical debt" (nợ kỹ thuật).

Thường dùng cho: Java, C#, Python, JS, và nhiều ngôn ngữ khác.

Tập trung vào "developer-first security". Snyk cung cấp SAST, SCA (Bài 10), và quét container. Rất dễ tích hợp vào IDE và Git, cho phản hồi nhanh.

Thường dùng cho: JavaScript/TypeScript (Node.js), Go, Python, Ruby.

Một công cụ SAST mã nguồn mở, nhẹ và rất nhanh. Điểm mạnh của nó là cho phép bạn tự viết các bộ quy tắc (rules) tùy chỉnh một cách dễ dàng.

Thường dùng cho: Tích hợp CI/CD nhanh, kiểm tra tuân thủ (compliance) tùy chỉnh.

SAST: Tuyệt vời, nhưng chưa đủ!

SAST là một tuyến phòng thủ "bắt buộc phải có" trong DevSecOps. Nó phát hiện lỗi *bên trong* code của bạn. Nhưng còn các thư viện bên ngoài (open-source) mà bạn đang sử dụng thì sao? Đó là lúc chúng ta cần bài học tiếp theo.

Bài Tiếp Theo: Phân Tích Thành Phần (SCA)

Đăng nhận xét