Corgea : Scan et correction de sécurité du code SAST basés sur l'IA 119

Corgea est un outil de détection de sécurité SAST, capable de découvrir les failles de logique métier, les failles de logique de code et d'autres problèmes de sécurité. Il peut détecter les injections SQL, les attaques de script intersite (XSS), avec un taux très faible de faux négatifs (inférieur à 5 %), et corrige automatiquement 74 % des problèmes de sécurité, permettant d'économiser jusqu'à 6 heures par personne et par semaine. Il prend en charge plusieurs langages comme Java, Python, et offre également des suggestions de correction de code, la gestion des politiques et des règles de blocage.

Modules fonctionnels

• Détection des vulnérabilités : capable de repérer les failles de logique métier, telles que le contournement de l'authentification ; les failles de logique de code, comme les injections SQL, les attaques de script intersite (XSS), la désérialisation non sécurisée ; ainsi que les problèmes d'identifiants codés en dur et d'exposition d'informations sensibles.

• Optimisation : permet d'éliminer de nombreux faux positifs, réduisant environ 30 % des tickets, avec un taux de faux positifs maintenu en dessous de 5 %.

• Correction automatique : 74 % des problèmes de sécurité peuvent être corrigés automatiquement, et des suggestions de modification de code sont fournies, comme la transformation d'un problème d'injection SQL en requête paramétrée, ce qui fait gagner aux développeurs plus de 6 heures par semaine.

• Prise en charge multilingue : fonctionne avec les langages et frameworks Java, JavaScript, TypeScript, Go, Python, C#, etc.

• Analyse et exploration : utilise le moteur Corgea-Blast pour analyser le code ; les rapports contiennent la gravité des vulnérabilités (Critical/High/Medium/Low) ainsi que le statut de correction.

• Politiques et règles de blocage : permet de définir des politiques métier en langage naturel, telles que les exigences de chiffrement des données médicales, et de configurer des règles de blocage pour empêcher la fusion de code non conforme.

• Intégration et expérience développeur : s'intègre à GitHub et Azure DevOps (GitLab et Bitbucket seront pris en charge ultérieurement), et les corrections de code peuvent être directement envoyées dans l'IDE.

Cas d'utilisation

• Prévention des vulnérabilités : les vulnérabilités sont détectées avant la soumission du code, comme la faille de contournement d'authentification dans le projet pygoat, évitant ainsi qu'elles ne soient découvertes par des attaquants ou des testeurs d'intrusion.

• Gain de productivité : génère automatiquement du code corrigé, par exemple en transformant une requête SQL codée en dur en requête paramétrée, ce qui réduit considérablement le travail manuel de correction.

• Gestion de la conformité : grâce à des politiques personnalisées correspondant à l'architecture de l'entreprise, comme les règles de communication réseau privé et d'utilisation d'ORM, les risques de conformité sont réduits.

Mode d'emploi

1. Installation et intégration : prend en charge l'application GitHub, le plugin Azure DevOps et l'outil CLI (npm install -g corgea-cli).

2. Configuration de l'analyse : configure les règles d'analyse via le fichier .corgearc, prenant en charge plusieurs langages (comme JavaScript, TypeScript) et catégories de règles (comme l'authentification).

3. Processus de correction : crée automatiquement des Pull Requests de correction ; les développeurs les examinent et les fusionnent, tout en suivant le statut des vulnérabilités.

Avantages et inconvénients

Avantages :

• Taux de détection des vulnérabilités amélioré de 74 %.

• Faible taux de faux positifs, inférieur à 5 % (contre 30 % en moyenne dans le secteur).

• Prise en charge de plusieurs langages (Java, JS, Go, Python, etc.).p>

• Concept de conception centré sur le développeur.

Inconvénients :

• Ne prend pas encore en charge les langages mobiles (Kotlin/Swift).

• Le prix d'entrée de la version entreprise est relativement élevé.

• Le déploiement sur site est réservé à la version entreprise.

Formules tarifaires

• Version gratuite : 2 dépôts, 10 analyses de PR par mois, 10 corrections automatiques.

• Version Starter (14 $) : 5 dépôts, 30 analyses de PR par mois, 50 corrections automatiques.

• Version Growth (29 $) : 10 dépôts, 150 analyses de PR par mois, corrections automatiques illimitées.

• Version Scale (49 $) : nombre illimité de dépôts, nombre illimité d'analyses de PR, nombre illimité de corrections automatiques, avec prise en charge de l'analyse de code malveillant et de la gestion SLA.

• Version entreprise : nombre illimité de dépôts, nombre illimité d'analyses de PR, nombre illimité de corrections automatiques, avec prise en charge de l'analyse de code malveillant, de la gestion SLA et d'un modèle ai privé.