Corgea: KI-gestütztes SAST-Tool zum Scannen und Beheben von Codesicherheit 120

Corgea ist ein SAST-Sicherheitstest-Tool, das Geschäftslogik-Schwachstellen, Code-Logik-Schwachstellen und andere Sicherheitsprobleme erkennen kann. Es kann SQL-Injection und Cross-Site-Scripting erkennen, hat eine sehr geringe Falsch-negativ-Rate von maximal unter 5 % und behebt automatisch 74 % der Sicherheitsprobleme, wodurch jede Person bis zu 6 Stunden pro Woche spart. Es unterstützt mehrere Sprachen wie Java und Python und bietet Funktionen für Code-Reparaturvorschläge, Richtlinienverwaltung und Blockierungsregeln.

Funktionsmodule

• Schwachstellenerkennung: Erkennt Geschäftslogik-Schwachstellen wie Authentifizierungsumgehung, Code-Logik-Schwachstellen wie SQL-Injection, Cross-Site-Scripting (XSS), unsichere Deserialisierung sowie Probleme wie hartcodierte Anmeldedaten und die Offenlegung sensibler Informationen.

• Optimierung: Filtert eine Vielzahl von Falschmeldungen heraus, reduziert die Ticketanzahl um etwa 30 % und hält die Falsch-positiv-Rate bei <5 %.

• Automatische Behebung: 74 % der Sicherheitsprobleme können automatisch behoben werden, und es werden Code-Änderungsvorschläge gegeben, z. B. die Umwandlung von SQL-Injection-Problemen in parametrisierte Abfragen, wodurch Entwickler jede Woche über 6 Stunden sparen.

• Mehrsprachige Unterstützung: Unterstützt Sprachen und Frameworks wie Java, JavaScript, TypeScript, Go, Python und C#.

• Scannen und Analysieren: Scannt Code mit der Corgea-Blast-Engine; der Bericht enthält den Schweregrad der Schwachstelle (Critical/High/Medium/Low), den Behebungsstatus und ähnliche Inhalte.

• Richtlinien und Blockierungsregeln: Geschäftsrichtlinien können in natürlicher Sprache definiert werden, z. B. Verschlüsselungsanforderungen für medizinische Daten. Außerdem können Blockierungsregeln festgelegt werden, um das Zusammenführen nicht konformen Codes zu verhindern.

• Integration und Entwicklungserlebnis: Integration mit GitHub und Azure DevOps möglich (GitLab und Bitbucket werden in Zukunft ebenfalls unterstützt); Code-Korrekturen können direkt in die IDE übertragen werden.

Anwendungsszenarien

• Schwachstellenprävention: Schwachstellen können vor dem Einreichen des Codes erkannt werden, z. B. Authentifizierungsumgehungen im pygoat-Projekt, sodass diese nicht von Angreifern oder Penetrationstestern entdeckt werden.

• Effizienzsteigerung: Kann automatisch Reparaturcode generieren, z. B. die Umwandlung hartcodierter SQL-Abfragen in parametrisierte Abfragen, wodurch viel manuelle Behebungsarbeit entfällt.

• Compliance-Management: Durch benutzerdefinierte Richtlinien werden Unternehmensarchitekturen abgeglichen, z. B. private Netzwerkkommunikation und ORM-Nutzungsrichtlinien, wodurch Compliance-Risiken reduziert werden.

Verwendung

1. Installation und Integration: Unterstützt GitHub-App, Azure DevOps-Plugin und CLI-Tool (npm install -g corgea-cli).

2. Scan-Konfiguration: Scan-Regeln werden über die Datei .corgearc konfiguriert; es werden mehrere Sprachen (z. B. JavaScript, TypeScript) und Regelkategorien (z. B. Authentifizierung) unterstützt.

3. Reparaturablauf: Erstellt automatisch Reparatur-PRs, die von Entwicklern geprüft und zusammengeführt werden, während der Schwachstellenstatus verfolgt wird.

Vor- und Nachteile

Vorteile:

• Schwachstellenerkennungsrate um 74 % gesteigert.

• Geringe Falsch-positiv-Rate, unter 5 % (Branchendurchschnitt 30 %).

• Unterstützung mehrerer Sprachen (Java, JS, Go, Python usw.).

• Entwicklerzentriertes Designkonzept.

Nachteile:

• Mobile Sprachen (Kotlin/Swift) werden vorläufig nicht unterstützt.

• Höherer Einstiegspreis für die Enterprise-Version.

• Private Bereitstellung nur in der Enterprise-Version verfügbar.

Preispläne

• Kostenlose Version: 2 Repositories, 10 PR-Scans pro Monat, 10 automatische Behebungen.

• Starter-Version (14 $): 5 Repositories, 30 PR-Scans pro Monat, 50 automatische Behebungen.

• Wachstums-Version (29 $): 10 Repositories, 150 PR-Scans pro Monat, unbegrenzte automatische Behebungen.

• Skalen-Version (49 $): Unbegrenzte Anzahl an Repositories, unbegrenzte PR-Scans, unbegrenzte automatische Behebungen, mit Unterstützung für Schadcode-Scans und SLA-Management.

• Enterprise-Version: Unbegrenzte Anzahl an Repositories, unbegrenzte PR-Scans, unbegrenzte automatische Behebungen, mit Unterstützung für Schadcode-Scans, SLA-Management und privates ai-Modell.