• 요구 사항
• 지원되는 언어 및 프레임워크
• 지원되는 분석기의 끝
• 다중 프로젝트 지원
  • Security Code Scan의 다중 프로젝트 지원 활성화
• 거짓 긍정 탐지
• 고급 취약점 추적
• 자동 취약점 해결
• 지원하는 배포
  • FIPS 활성화 이미지
• 각 티어별 기능 요약
• 출력
• SAST 결과 보기
  • Merge Request 위젯
  • Merge Request 변경 내용 보기
• 스캐너 기부
• 구성
  • CI/CD YAML에서 SAST 구성
  • UI를 사용하여 SAST 구성
    • 사용자 정의로 SAST 구성
    • 기본 설정만 사용하여 SAST 구성하기
  • SAST 작업 재정의
  • 마이너 이미지 버전으로 고정
  • 프라이빗 리포지터리의 자격 증명을 전달하는 CI/CD 변수 사용하기
    • CI/CD 변수를 사용하여 프라이빗 Go 리포지터리에 사용자 이름과 암호 전달하기
    • CI/CD 변수를 사용하여 프라이빗 Maven 리포지터리에 사용자 이름과 암호 전달하기
  • Kubesec 분석기 활성화
  • 사전 컴파일
  • Merge Request 파이프라인에서 작업 실행
  • 사용 가능한 CI/CD 변수
    • 사용자 정의 인증서 권한
    • 도커 이미지
    • 취약점 필터
    • 분석 도구 설정
    • 보안 스캐너 구성
    • 사용자 지정 CI/CD 변수
  • 실험적 기능
    • 실험적 기능 활성화
• 오프라인 환경에서 SAST 실행
  • 오프라인 SAST 요구 사항
  • GitLab SAST 분석기 이미지를 로컬 Docker 레지스트리에서 사용 가능하도록 만들기
    • 사용자 정의 인증 기관 지원이 필요한 경우
  • 로컬 SAST 분석 도구를 사용하도록 SAST CI/CD 변수 설정
  • 패키지의 인증 검사 구성
• SELinux에서 SAST 실행

정적 애플리케이션 보안 테스트 (SAST)

GitLab CI/CD를 사용하는 경우 정적 애플리케이션 보안 테스트 (SAST)를 사용하여 알려진 취약점을 확인할 수 있습니다. SAST 분석기를 사용하면 어떤 GitLab 티어에서든 JSON 형식의 보고서를 작업 아티팩트로 얻을 수 있습니다.

GitLab Ultimate를 사용하면 SAST 결과를 다음과 같이 처리할 수 있습니다.

• 승인 워크플로에 사용합니다.
• 보안 대시보드에서 검토합니다.

자세한 내용은 각 티어별 기능 요약을 참조하십시오.

파이프라인은 SAST 및 DAST 스캔을 포함한 여러 작업으로 구성됩니다. 어떤 이유로든 작업이 실패하면 보안 대시보드에 SAST 스캐너 출력이 표시되지 않습니다. 예를 들어 SAST 작업은 완료되었지만 DAST 작업이 실패하면 보안 대시보드에 SAST 결과가 표시되지 않습니다. 실패할 경우 분석기는 종료 코드를 출력합니다.

요구 사항

SAST는 기본적으로 사용 가능한 ‘test’ 단계에서 실행됩니다. .gitlab-ci.yml 파일에서 단계를 재정의하는 경우 ‘test’ 단계가 필요합니다.

SAST 작업을 실행하려면 기본적으로 docker 또는 kubernetes 실행자가 있는 GitLab Runner가 필요합니다. GitLab.com의 SaaS 러너를 사용하는 경우 이 기능은 기본적으로 활성화됩니다.

지원되는 언어 및 프레임워크

GitLab SAST는 다양한 프로그래밍 언어 및 프레임워크를 스캔할 수 있습니다. SAST를 활성화하면 프로젝트가 여러 언어를 사용하더라도 적절한 세트의 분석기가 자동으로 실행됩니다.

SAST에서 언어 지원에 대한 우리의 계획에 대한 자세한 정보는 카테고리 방향 페이지를 참조하십시오.

1. SpotBugs 기반 분석기는 [Gradle](https://gradle.org/), [Maven](https://maven.apache.org/) 및 [SBT](https://www.scala-sbt.org/)를 지원합니다. 또한 [Gradle 래퍼](https://docs.gradle.org/current/userguide/gradle_wrapper.html), [Grails](https://grails.org/) 및 [Maven 래퍼](https://github.com/takari/maven-wrapper)와 같은 변형과 함께 사용할 수 있습니다. 그러나 SpotBugs는 [Ant](https://ant.apache.org/)-기반 프로젝트에서 사용할 때 [제한 사항](https://gitlab.com/gitlab-org/gitlab/-/issues/350801)이 있습니다. Ant 기반 Java 또는 Scala 프로젝트의 경우 Semgrep 기반 분석기를 사용해야 합니다.

1. 이 분석기들은 [GitLab 16.9](https://gitlab.com/gitlab-org/gitlab/-/issues/431123)에서 사용이 중단되었으며 17.0에서 제거 예정입니다. [Semgrep 분석기](https://gitlab.com/gitlab-org/security-products/analyzers/semgrep)가 그 대체로 제안되었습니다.

지원되는 분석기의 끝

GitLab은 아래 분석기에 대한 지원 종료에 도달했습니다. 이러한 분석기는 Semgrep 기반 분석기로 대체되었습니다.

다중 프로젝트 지원

GitLab SAST는 여러 프로젝트를 포함하는 리포지터리를 스캔할 수 있습니다.

다음 분석기가 다중 프로젝트를 지원합니다:

• Bandit
• ESLint
• Gosec
• Kubesec
• NodeJsScan
• MobSF
• PMD
• Security Code Scan
• Semgrep
• SpotBugs
• Sobelow

Security Code Scan의 다중 프로젝트 지원 활성화

Security Code Scan에서의 다중 프로젝트 지원에는 리포지터리 루트에 솔루션 (.sln) 파일이 필요합니다. 솔루션 형식에 대한 자세한 내용은 Microsoft 참조 솔루션 (.sln) 파일을 참조하십시오.

거짓 긍정 탐지

상세 정보: Tier: Ultimate Offering: GitLab.com, Self-managed, GitLab Dedicated

• GitLab 14.2에 Ruby용으로 도입되었습니다.
• GitLab 15.8에 Go용으로 도입되었습니다.

GitLab SAST는 다른 도구 출력의 특정 유형의 거짓 긍정 결과를 식별할 수 있습니다. 이러한 결과는 취약점 보고서 및 취약점 페이지에서 거짓 긍정으로 표시됩니다.

거짓 긍정 탐지는 지원되는 언어 및 분석기의 하위 집합에서 사용할 수 있습니다:

• Semgrep 기반 분석기의 Go
• Brakeman 기반 분석기의 Ruby

고급 취약점 추적

상세 정보: Tier: Ultimate Offering: GitLab.com, Self-managed, GitLab Dedicated

• GitLab 14.2에서 도입되었습니다.

소스 코드는 불안정합니다. 개발자가 변경을 가할 때마다 소스 코드는 파일 내에서 이동하거나 파일 간에 이동할 수 있습니다. 보안 분석기는 이미 추적 중인 취약점을 취약점 보고서에서 추적되는 코드 조각에 연결하여 식별하여 수정될 수 있도록 합니다. 코드 조각이 이동함에 따라 신뢰할 수 없으면 동일한 취약점이 다시 보고될 수 있기 때문에 취약점 관리가 더 어려워집니다.

GitLab SAST는 동일한 취약점이 리팩터링이나 관련 없는 변경으로 인해 파일 내에서 이동된 경우를 보다 정확하게 식별하기 위해 고급 취약점 추적 알고리즘을 사용합니다.

고급 취약점 추적은 지원되는 언어 및 분석기의 하위 집합에서 사용할 수 있습니다:

• C, Semgrep 기반 및 Flawfinder 분석기에서
• C++, Flawfinder 분석기에서
• C#, Semgrep 기반 분석기에서
• Go, Semgrep 기반 분석기에서
• Java, mobsf, Semgrep 기반 및 SpotBugs 분석기에서
• JavaScript, Semgrep 기반 및 NodeJS-Scan 분석기에서
• PHP, phpcs-security-audit 분석기에서
• Python, Semgrep 기반 분석기에서
• Ruby, Brakeman 기반 분석기에서

더 많은 언어 및 분석기 지원은 이 epic에서 추적됩니다.

더 많은 정보는 비공개 프로젝트 https://gitlab.com/gitlab-org/security-products/post-analyzers/tracking-calculator에서 확인하십시오. 본 프로젝트의 내용은 GitLab 팀 멤버에게만 제공됩니다.

자동 취약점 해결

• GitLab 15.9에 도입되었으며 sec_mark_dropped_findings_as_resolved이라는 프로젝트 수준의 플래그로 표시됩니다.
• GitLab 15.10에서는 기본적으로 활성화됩니다. GitLab.com에서 프로젝트의 플래그를 비활성화해야 하는 경우 지원팀에 문의하십시오.
• GitLab 16.2에서 피처 플래그가 제거되었습니다.

여전히 관련성 있는 취약점에 주로 초점을 맞추도록 도와주기 위해 GitLab SAST는 다음 경우에 자동으로 취약점을 해결합니다.

• 미리 정의된 규칙을 비활성화합니다(내장된 규칙 비활성화).
• 기본 규칙셋에서 규칙을 제거합니다.

자동 해결은 Semgrep 기반 분석기의 결과만 가능합니다. 취약점 관리 시스템은 자동으로 해결된 취약점에 대해 댓글을 달기 때문에 취약점에 대한 기록을 유지할 수 있습니다.

나중에 규칙을 다시 활성화하면 취약점이 재개됩니다.

지원하는 배포

기본 스캐너 이미지는 크기와 유지보수성을 위해 기본 Alpine 이미지로 구축됩니다.

FIPS 활성화 이미지

• GitLab 14.10에서 도입되었습니다.

GitLab은 FIPS 140으로 검증된 암호 모듈을 사용하는 Red Hat UBI 기본 이미지를 기반으로 한 이미지 버전을 제공합니다. FIPS 활성화 이미지를 사용하려면 다음 중 하나를 수행할 수 있습니다.

• SAST_IMAGE_SUFFIX를 -fips로 설정합니다.
• 기본 이미지 이름에 -fips 확장자를 추가합니다.

예를 들어:

variables:
  SAST_IMAGE_SUFFIX: '-fips'

include:
  - template: Jobs/SAST.gitlab-ci.yml

FIPS 호환 이미지는 Semgrep 기반 분석기에만 사용할 수 있습니다.

각 티어별 기능 요약

다양한 GitLab 티어에서 사용 가능한 다양한 기능은 다음 표와 같습니다.

출력

SAST는 작업 아티팩트로 gl-sast-report.json 파일을 출력합니다. 해당 파일에는 감지된 모든 취약점의 세부 정보가 포함되어 있습니다. GitLab 밖에서 처리하기 위해 해당 파일을 다운로드할 수 있습니다.

자세한 내용은 아래 링크를 참조하십시오:

• SAST 보고서 파일 스키마
• 예제 SAST 보고서 파일

SAST 결과 보기

SAST 보고서 파일은 GitLab에 의해 처리되고 해당 세부 정보가 UI에 표시됩니다.

• Merge Request 위젯
• Merge Request 변경 사항 보기
• 취약점 보고서

Merge Request 위젯

대상 브랜치의 보고서를 비교할 수 있는 경우, SAST 결과가 Merge Request 위젯 영역에 표시됩니다. Merge Request 위젯은 Merge Request에서 적용한 변경으로 인해 도입된 SAST 결과 및 해결 방법을 표시합니다.

Merge Request 변경 내용 보기

• GitLab 16.6에서 sast_reports_in_inline_diff라는 플래그로 도입됨. 기본적으로 비활성화됨.
• 기본적으로 GitLab 16.8에서 활성화됨.
• GitLab 16.9에서 플래그 제거됨.

Merge Request 변경 내용에서 SAST 결과가 표시됩니다. SAST 문제가 포함된 줄은 gutter 옆에 심볼로 표시됩니다. 해당 심볼을 선택하여 문제 디렉터리을 볼 수 있으며, 문제를 선택하면 해당 세부 정보를 볼 수 있습니다.

스캐너 기부

보안 스캐너 통합 설명서에서 다른 보안 스캐너를 GitLab에 통합하는 방법에 대해 설명합니다.

구성

SAST 스캐닝은 CI/CD 파이프라인에서 실행됩니다. GitLab 관리 CI/CD 템플릿을 파이프라인에 추가하면 자동으로 SAST analyzers가 코드를 자동으로 스캔하고 SAST 보고서 artifact를 저장합니다.

프로젝트에 SAST를 구성하려면 다음을 수행할 수 있습니다:

• Auto SAST 사용 (Auto DevOps 제공).
• CI/CD YAML에서 SAST 구성.
• UI를 사용하여 SAST 구성.

여러 프로젝트에서 스캔 실행 강제화하여 SAST를 활성화할 수 있습니다.

CI/CD YAML에서 SAST 구성

SAST를 활성화하려면 SAST.gitlab-ci.yml 템플릿을 포함합니다. 템플릿은 GitLab 설치의 일부로 제공됩니다.

.gitlab-ci.yml 파일의 맨 아래에 다음을 복사하여 붙여넣습니다. 이미 include 행이 있는 경우 template 행만 추가하십시오.

include:
  - template: Jobs/SAST.gitlab-ci.yml

포함된 템플릿은 CI/CD 파이프라인에서 SAST 작업을 만들고 프로젝트 소스 코드를 취약점을 스캔합니다.

결과는 SAST 보고서 artifact로 저장되어 나중에 다운로드하고 분석할 수 있습니다. 다운로드하면 항상 사용 가능한 최신 SAST artifact를 받게 됩니다.

UI를 사용하여 SAST 구성

기본 설정 또는 사용자 정의로 UI를 사용하여 SAST를 활성화하고 구성할 수 있습니다. 사용 가능한 방법은 GitLab 라이선스 티어에 따라 다릅니다.

사용자 정의로 SAST 구성

GitLab 16.2에서 UI에서 개별 SAST analyzers 구성 옵션을 제거했습니다.

사용자 정의로 SAST를 활성화하고 구성하려면 다음을 수행합니다:

1. 왼쪽 사이드바에서 검색 또는 이동을 선택하여 프로젝트를 찾습니다.
2. 보안 > 보안 구성을 선택합니다.
3. 프로젝트에 .gitlab-ci.yml 파일이 없는 경우, 정적 애플리케이션 보안 테스트(SAST) 행에서 SAST 활성화를 선택하고, 그렇지 않으면 SAST 구성을 선택합니다.

4. 사용자 정의 SAST 값을 입력합니다.

   사용자 지정 값은 .gitlab-ci.yml 파일에 저장됩니다. SAST 구성 페이지에 없는 CI/CD 변수는 GitLab SAST 템플릿에서 상속된 값을 갖게 됩니다.

5. Merge Request 생성을 선택합니다.
6. Merge Request을 검토하고 Merge합니다.

이제 파이프라인에 SAST 작업이 포함됩니다.

기본 설정만 사용하여 SAST 구성하기

기본 설정만 사용하여 SAST를 활성화하고 구성하려면 다음을 수행합니다:

1. 왼쪽 사이드바에서 검색 또는 이동을 선택하여 프로젝트를 찾습니다.
2. 보안 > 보안 구성을 선택합니다.
3. SAST 섹션에서 Merge Request을 통한 구성을 선택합니다.
4. SAST를 활성화하기 위해 Merge Request을 검토하고 Merge합니다.

이제 파이프라인에 SAST 작업이 포함됩니다.

SAST 작업 재정의

작업 정의를 덮어쓰려면(예: variables, dependencies, 또는 rules와 같은 속성 변경), 덮어쓸 SAST 작업과 동일한 이름으로 작업을 선언하십시오. 새로운 작업은 템플릿 포함 이후에 배치하고 그 아래에 추가 키를 지정하십시오. 예를 들어, 다음 코드는 spotbugs 분석기에 FAIL_NEVER를 활성화합니다:

include:
  - template: Jobs/SAST.gitlab-ci.yml

spotbugs-sast:
  variables:
    FAIL_NEVER: 1

마이너 이미지 버전으로 고정

GitLab 관리 CI/CD 템플릿은 주 버전을 지정하고 해당 주 버전 내에서 자동으로 최신 분석기 릴리스를 가져옵니다.

특정한 경우에는 특정 버전을 사용해야 할 수 있습니다. 예를 들어, 나중에 릴리스에서의 회귀를 피해야 할 수 있습니다.

자동 업데이트 동작을 무시하려면 CI/CD 구성 파일에 SAST.gitlab-ci.yml 템플릿을 포함한 후에 SAST_ANALYZER_IMAGE_TAG CI/CD 변수를 설정하십시오.

이 변수는 특정 작업 내에서만 설정하십시오. 만약 최상위 수준에서 설정하면 설정한 버전은 다른 SAST 분석기에서 사용됩니다.

태그를 다음과 같이 설정할 수 있습니다:

• 3과 같이 주 버전. 파이프라인은 해당 주 버전 내에서 릴리스된 최신 부 버전 또는 패치 업데이트를 사용합니다.
• 3.7과 같이 부 버전. 파이프라인은 해당 부 버전 내에서 릴리스된 패치 업데이트를 사용합니다.
• 3.7.0과 같이 패치 버전. 파이프라인은 어떠한 업데이트도 받지 않습니다.

다음 예제는 semgrep 분석기의 특정 부 버전과 brakeman 분석기의 특정 패치 버전을 사용합니다:

include:
  - template: Jobs/SAST.gitlab-ci.yml

semgrep-sast:
  variables:
    SAST_ANALYZER_IMAGE_TAG: "3.7"

brakeman-sast:
  variables:
    SAST_ANALYZER_IMAGE_TAG: "3.1.1"

프라이빗 리포지터리의 자격 증명을 전달하는 CI/CD 변수 사용하기

일부 분석기는 분석을 수행하기 위해 프로젝트의 의존성을 다운로드해야 합니다. 이러한 의존성은 프라이빗 Git 리포지터리에 있을 수 있으며, 따라서 그것들을 다운로드하기 위해 사용자 이름과 암호와 같은 자격 증명이 필요합니다. 분석기에 따라, 이러한 자격 증명은 사용자 정의 CI/CD 변수를 통해 제공될 수 있습니다.

CI/CD 변수를 사용하여 프라이빗 Go 리포지터리에 사용자 이름과 암호 전달하기

만약 Go 프로젝트가 프라이빗 모듈에 의존한다면, 프라이빗 프로젝트로부터 모듈 가져오기를 참조하여 HTTPS를 통해 인증을 제공하는 방법을 확인하세요.

~/.netrc를 통해 자격 증명을 지정하려면, 다음이 포함된 before_script를 제공하세요:

gosec-sast:
  before_script:
    - |
      cat <<EOF > ~/.netrc
      machine gitlab.com
      login $CI_DEPLOY_USER
      password $CI_DEPLOY_PASSWORD
      EOF

CI/CD 변수를 사용하여 프라이빗 Maven 리포지터리에 사용자 이름과 암호 전달하기

만약 프라이빗 Maven 리포지터리가 로그인 자격 증명을 요구한다면, MAVEN_CLI_OPTS CI/CD 변수를 사용할 수 있습니다.

자세한 내용은 프라이빗 Maven 리포지터리 사용하기를 참조하세요.

Kubesec 분석기 활성화

• GitLab 12.6에서 소개됨.

Kubesec 분석기를 활성화하려면 SCAN_KUBERNETES_MANIFESTS를 "true"로 설정하세요. .gitlab-ci.yml에 다음을 정의하세요:

include:
  - template: Jobs/SAST.gitlab-ci.yml

variables:
  SCAN_KUBERNETES_MANIFESTS: "true"

사전 컴파일

대부분의 GitLab SAST 분석기는 소스 코드를 먼저 컴파일하지 않고 직접 스캔합니다. 그러나 기술적인 이유로 일부 분석기는 컴파일된 코드만 스캔할 수 있습니다.

기본적으로, 이러한 분석기는 의존성을 자동으로 가져와 코드를 컴파일하여 스캔할 수 있습니다. 그러나 자동 컴파일은 다음과 같은 경우에 실패할 수 있습니다.

• 프로젝트가 사용자 지정 빌드 구성을 요구하는 경우.
• 분석기에 내장되지 않은 언어 버전을 사용하는 경우.

이러한 문제를 해결하기 위해 분석기의 컴파일 단계를 건너뛰고 파이프라인의 이전 단계에서 생성된 아티팩트를 직접 제공할 수 있습니다. 이 전략을 _사전 컴파일_이라고 합니다.

사전 컴파일은 COMPILE CI/CD 변수를 지원하는 분석기에 대해 사용할 수 있습니다. 현재 지원되는 디렉터리은 분석기 설정에서 확인할 수 있습니다.

사전 컴파일 사용 방법:

1. 프로젝트의 의존성을 프로젝트 작업 디렉터리에 있는 디렉터리에 출력한 후, 설정(artifacts: paths)을 통해 해당 디렉터리를 아티팩트로 저장하세요.
2. 분석기에 자동 컴파일을 비활성화하기 위해 COMPILE: "false" CI/CD 변수를 제공하세요.
3. 분석기 작업의 의존성으로 컴파일 단계를 추가하세요.

분석기가 컴파일된 아티팩트를 인식하도록 하려면, 명시적으로 vendored 디렉터리의 경로를 지정해야 합니다. 이 설정은 분석기마다 다를 수 있습니다. Maven 프로젝트의 경우 MAVEN_REPO_PATH를 사용할 수 있습니다. 사용 가능한 옵션의 전체 디렉터리은 분석기 설정을 참조하세요.

다음 예제에서는 Maven 프로젝트를 사전 컴파일하고 SpotBugs SAST 분석기에 제공합니다:

stages:
  - build
  - test

include:
  - template: Jobs/SAST.gitlab-ci.yml

build:
  image: maven:3.6-jdk-8-slim
  stage: build
  script:
    - mvn package -Dmaven.repo.local=./.m2/repository
  artifacts:
    paths:
      - .m2/
      - target/

spotbugs-sast:
  dependencies:
    - build
  variables:
    MAVEN_REPO_PATH: $CI_PROJECT_DIR/.m2/repository
    COMPILE: "false"
  artifacts:
    reports:
      sast: gl-sast-report.json

Merge Request 파이프라인에서 작업 실행

Merge Request 파이프라인에서 보안 스캔 도구 사용하기를 참조하십시오.

사용 가능한 CI/CD 변수

variables 매개변수를 사용하여 SAST를 구성할 수 있습니다.

다음 예제는 SAST 템플릿을 포함하여 SEARCH_MAX_DEPTH 변수를 10으로 재정의합니다. 템플릿은 파이프라인 구성 이전에 평가되므로, 매개변수의 마지막 언급이 우선합니다.

include:
  - template: Jobs/SAST.gitlab-ci.yml

variables:
  SEARCH_MAX_DEPTH: 10

사용자 정의 인증서 권한

사용자 정의 인증서 권한을 신뢰하려면 ADDITIONAL_CA_CERT_BUNDLE 변수를 SAST 환경에서 신뢰할 CA 인증서 번들로 설정하세요. ADDITIONAL_CA_CERT_BUNDLE 값은 X.509 PEM 공개 키 인증서의 텍스트 표현을 포함해야 합니다. 예를 들어, .gitlab-ci.yml 파일에서 이 값을 구성하려면 다음을 사용하세요:

variables:
  ADDITIONAL_CA_CERT_BUNDLE: |
      -----BEGIN CERTIFICATE-----
      MIIGqTCCBJGgAwIBAgIQI7AVxxVwg2kch4d56XNdDjANBgkqhkiG9w0BAQsFADCB
      ...
      jWgmPqF3vUbZE0EyScetPJquRFRKIesyJuBFMAs=
      -----END CERTIFICATE-----

ADDITIONAL_CA_CERT_BUNDLE 값은 또한 UI에서 사용자 정의 변수로 구성될 수 있으며, file로 구성될 수도 있습니다. 이 경우 인증서의 경로가 필요하며, 텍스트로 구성될 수도 있습니다.

도커 이미지

다음은 도커 이미지와 관련된 CI/CD 변수입니다.

취약점 필터

일부 분석 도구는 특정 임계값 이하의 취약점을 필터링하는 것을 가능하게 합니다.

분석 도구 설정

몇몇 분석 도구는 CI/CD 변수로 사용자 정의할 수 있습니다.

보안 스캐너 구성

SAST 분석기는 내부적으로 OSS 보안 스캐너를 사용하여 분석을 수행합니다. 우리는 권장되는 보안 스캐너 구성을 설정하여 튜닝에 대해 걱정할 필요가 없도록 합니다. 그러나 기본 스캐너 구성이 귀하의 요구 사항에 맞지 않을 수 있는 드문 경우가 있습니다.

스캐너의 동작을 일부 사용자 정의하려면 기본 스캐너에 제한된 세트의 플래그를 추가할 수 있습니다. 이러한 플래그를 SAST_SCANNER_ALLOWED_CLI_OPTS CI/CD 변수에 지정합니다. 이러한 플래그는 스캐너의 CLI 옵션에 추가됩니다.

사용자 지정 CI/CD 변수

• GitLab 12.5에서 도입됨.

언급된 SAST 구성 CI/CD 변수에 추가하여 사용자 정의 변수는 SAST 공급 자체 템플릿이 사용된 경우에만 기본 SAST 분석기 이미지로 전파됩니다.

실험적 기능

실험적 기능을 일찍 이용할 수 있습니다. 실험적 기능은 언제든지 추가, 제거 또는 일반 기능으로 승격될 수 있습니다.

사용할 수 있는 실험적 기능은 다음과 같습니다:

• iOS 및 Android 앱을 스캔하는 것을 가능하게 하는 MobSF 분석기를 활성화합니다.

이러한 기능들은 이전에 실험적이었지만 이제 일반적으로 사용할 수 있습니다:

• Semgrep 분석기의 eslint.detect-object-injection를 비활성화합니다. 이것은 거짓 긍정 결과의 빈도가 높기 때문에 기본적으로 비활성화되었습니다 (15.10).

실험적 기능 활성화

실험적 기능을 활성화하려면 다음을 .gitlab-ci.yml 파일에 추가하십시오:

include:
  - template: Jobs/SAST.gitlab-ci.yml

variables:
  SAST_EXPERIMENTAL_FEATURES: "true"

오프라인 환경에서 SAST 실행

인터넷을 통한 외부 리소스에 제한적으로 또는 가끔 접근할 수 있는 환경에 있는 오픈소스 GitLab 인스턴스를 위해 SAST 작업이 성공적으로 실행되기 위해서는 일부 조정이 필요합니다. 자세한 내용은 오프라인 배치를 참조하십시오.

오프라인 SAST 요구 사항

오프라인 환경에서 SAST를 사용하려면 다음이 필요합니다:

• docker 또는 kubernetes executor를 사용하는 GitLab Runner.
• SAST 분석기 이미지의 로컬에서 사용 가능한 사본을 가진 Docker 컨테이너 레지스트리.
• 패키지의 인증 검사 구성 (선택 사항).

GitLab Runner는 기본적으로 always pull_policy를 가집니다, 즉 로컬 사본이 있는 경우에도 GitLab 컨테이너 레지스트리에서 Docker 이미지를 가져오려고 시도합니다. 오프라인 환경에서는 로컬에서만 사용 가능한 Docker 이미지를 사용하려면 GitLab Runner pull_policy를 if-not-present로 설정할 수 있습니다(https://docs.gitlab.com/runner/executors/docker.html#using-the-if-not-present-pull-policy). 그러나 CI/CD 파이프라인에서 업데이트된 스캐너를 사용하는 것이 가능하도록 하기 위해 오프라인 환경이 아니라면 pull policy 설정을 always로 유지하는 것이 권장됩니다.

GitLab SAST 분석기 이미지를 로컬 Docker 레지스트리에서 사용 가능하도록 만들기

جrase: gitlab/지원되는 언어 및 프레임워크를 모두 갖는 SAST를 사용하려면 다음 기본 SAST 분석기 이미지들을 지역 Docker 컨테이너 레지스트리로부터 registry.gitlab.com을 불러오십시오:

registry.gitlab.com/security-products/brakeman:3
registry.gitlab.com/security-products/flawfinder:3
registry.gitlab.com/security-products/kubesec:3
registry.gitlab.com/security-products/nodejs-scan:3
registry.gitlab.com/security-products/phpcs-security-audit:3
registry.gitlab.com/security-products/pmd-apex:3
registry.gitlab.com/security-products/security-code-scan:3
registry.gitlab.com/security-products/semgrep:3
registry.gitlab.com/security-products/sobelow:3
registry.gitlab.com/security-products/spotbugs:3

사용자 정의 인증 기관 지원이 필요한 경우

사용자 정의 인증 기관을 지원하는 기능은 다음 버전에서 소개되었습니다.

1. 이러한 분석 도구는 GitLab 14.8에 폐기되었으며, GitLab 15.4에서 지원 종료되었습니다.

로컬 SAST 분석 도구를 사용하도록 SAST CI/CD 변수 설정

.gitlab-ci.yml 파일에 다음 구성을 추가하십시오. SECURE_ANALYZERS_PREFIX를 로컬 도커 컨테이너 레지스트리로 변경해야 합니다:

include:
  - template: Jobs/SAST.gitlab-ci.yml

variables:
  SECURE_ANALYZERS_PREFIX: "localhost:5000/analyzers"

이제 SAST 작업은 인터넷 액세스 없이 코드를 스캔하고 보안 보고서를 생성하기 위해 로컬 SAST 분석 도구의 로컬 사본을 사용해야 합니다.

패키지의 인증 검사 구성

SAST 작업이 패키지 관리자를 호출하는 경우 해당 패키지의 인증 검사를 구성해야 합니다. 오프라인 환경에서는 외부 소스의 인증 검사가 불가능합니다. 자체 서명된 인증서를 사용하거나 인증 검사를 비활성화해야 합니다. 지침은 패키지 관리자의 문서를 참조하십시오.

SELinux에서 SAST 실행

기본적으로 GitLab 인스턴스에서 호스팅되는 SELinux에서 SAST 분석 도구가 지원됩니다. SAST 작업을 재정의하여 before_script를 추가하는 것은 SELinux에서 호스팅되는 러너가 제한된 권한을 갖기 때문에 작동하지 않을 수 있습니다.