Seminar SAST mit Semgrep: Regeln und sichere Codeprüfungen

Seminarbeschreibung

Semgrep ermöglicht regelbasierte Codeprüfungen, die sich an die verwendeten Frameworks und internen Entwicklungsregeln anpassen lassen. Das Seminar behandelt den vollständigen Arbeitsweg vom ersten lokalen Scan bis zu einem gepflegten Satz eigener Regeln. Eine gemeinsame Beispielsprache wird durchgängig verwendet, damit ausreichend Zeit für das Verständnis von Treffern und Fehlalarmen bleibt.

Die praktische Arbeit umfasst Suchregeln und überschaubare Taint-Regeln mit definierten Eingabequellen, sicherheitskritischen Senken und passenden Bereinigungsbedingungen. Jede Regel wird mit absichtlich fehlerhaften und unbedenklichen Gegenbeispielen geprüft. Die Analysegrenzen der Community Edition werden ausdrücklich berücksichtigt; funktions- oder dateiübergreifende Fähigkeiten kommerzieller Varianten werden nicht als Bestandteil der Grundübungen vorausgesetzt.

Lernziele

• Semgrep reproduzierbar auf einen abgegrenzten Projektbestand anwenden.
• Eigene Such- und Taint-Regeln entwerfen und mit Gegenbeispielen absichern.
• Fehlalarme und nicht erkannte Fälle anhand der Regel und des Codekontexts erklären.
• Regeln, Tests, Ausnahmen und Scanergebnisse nachvollziehbar versionieren.

Seminarinhalte

1. Analyseumgebung und erster Scan
2. Befunde lesen und nachvollziehen
3. Eigene Suchregeln entwickeln
4. Taint-Regeln modellieren
5. Regeln testen und Fehlalarme behandeln
6. Regelpaket und Teamworkflow

Analyseumgebung und erster Scan

Zunächst werden Werkzeug, Regelbestand und Projektstand eindeutig festgehalten. Der erste Lauf dient dazu, Scanergebnis und tatsächlich untersuchten Umfang miteinander abzugleichen.

• Versionen und lokale Konfiguration festlegen.
• Quellcode, generierte Dateien und Ausschlüsse unterscheiden.
• Fehler beim Parsen und unvollständige Scans erkennen.

Befunde lesen und nachvollziehen

Treffer werden im Kontext der betroffenen Funktion untersucht. Ein Regelhinweis wird mit dem tatsächlichen Datenfluss und bereits vorhandenen Schutzmaßnahmen verglichen.

• Regelkennung, Fundstelle und Meldung auswerten.
• Explizite Validierung und bloße Umbenennung unterscheiden.
• Einen Befund beheben und den Scan wiederholen.

Eigene Suchregeln entwickeln

Interne Sicherheitsanforderungen werden in gezielte Suchmuster übersetzt. Die Regeln werden schrittweise eingegrenzt, damit zulässige Implementierungen nicht unnötig beanstandet werden.

• Metavariablen, Platzhalter und Musterkombinationen verwenden.
• Kontextbedingungen und Ausnahmen kontrolliert formulieren.
• Regelbeschreibung, Schweregrad und Zuordnung pflegen.

Taint-Regeln modellieren

Eine kleine Verarbeitungskette bildet die Grundlage für Datenflussregeln. Die Modellierung macht sichtbar, wie stark ein Ergebnis von korrekt beschriebenen Quellen, Senken und Schutzmaßnahmen abhängt.

• Nicht vertrauenswürdige Eingaben und gefährliche Aufrufe definieren.
• Sanitizer und Propagatoren anhand konkreter Semantik beurteilen.
• Grenzen der verfügbaren Analyse ohne Vollständigkeitsversprechen dokumentieren.

Regeln testen und Fehlalarme behandeln

Regeln erhalten eigene Tests, damit Änderungen an Mustern die Erkennungsleistung nicht unbemerkt verschlechtern. Auch eine scheinbar praktische Unterdrückung wird auf ihre Folgen geprüft.

• Positive und negative Testfälle in kleinen Fixtures aufbauen.
• Erwartete Treffer mit Regeltestfunktionen überprüfen.
• Unterdrückungen begründen und zeitlich kontrollieren.

Regelpaket und Teamworkflow

Die lokalen Ergebnisse werden für die gemeinsame Nutzung vorbereitet. Ein kurzer automatisierter Lauf verbindet Regeltests und Codeprüfung, ohne eine vollständige CI-Plattformadministration vorwegzunehmen.

• Regeln und Testdaten gemeinsam versionieren.
• Maschinenlesbare Berichte und Rückgabestatus auswerten.
• Regeländerung, Review und Freigabe im Team organisieren.

Praktische Übungen

1. Einen vorbereiteten Git-Stand analysieren und den erfassten Umfang prüfen.
2. Eine eigene Suchregel mit zulässigen Gegenbeispielen erstellen.
3. Eine Taint-Regel für eine überschaubare Datenverarbeitung ergänzen.
4. Regeltests ausführen, die Schwachstelle korrigieren und den Unterschied belegen.
5. Ein versioniertes Regelpaket mit dokumentierten Ausnahmen abgeben.

Zielgruppe

Softwareentwickler, Security Champions, Application-Security-Engineers und DevSecOps-Verantwortliche.

Voraussetzungen

Praktische Programmiererfahrung, grundlegende Git- und Kommandozeilenkenntnisse sowie Verständnis häufiger Web-Sicherheitsfehler. Kenntnisse entsprechend dem Grundlagen-Seminar.

Schulungsumgebung

Linux-Arbeitsplatz oder vorbereitete VM mit Git, Editor und Semgrep Community Edition. Übungen standardmäßig in Python; eine andere unterstützte Sprache kann bei Firmenseminaren vorab vereinbart werden. Die eingesetzten Regeldateien und deren Nutzungsrechte werden vor dem Termin festgelegt.

Weiterführende Seminare

• SAST mit CodeQL: Codeanalyse und eigene Abfragen
• SAST/DAST: CI/CD-Integration und automatisierte Freigaben
• SAST/DAST: Befunde bewerten und Schwachstellen beheben