Corgea: ИИ-инструмент SAST для сканирования и исправления безопасности кода 118

Corgea — это инструмент SAST для обнаружения угроз безопасности, способный выявлять уязвимости бизнес-логики, уязвимости в коде и другие проблемы безопасности. Он может обнаруживать SQL-инъекции и межсайтовый скриптинг (XSS), при этом уровень ложных отрицательных результатов очень низкий — не более 5%. Кроме того, он автоматически устраняет 74% проблем безопасности, экономя каждому разработчику до 6 часов в неделю. Поддерживает множество языков, включая Java, Python, и другие. Предоставляет рекомендации по исправлению кода, управление политиками и правила блокировки.

Функциональные модули

• Обнаружение уязвимостей: позволяет выявлять уязвимости бизнес-логики, такие как обход аутентификации; уязвимости в коде, например SQL-инъекции, межсайтовый скриптинг (XSS), небезопасную десериализацию; а также проблемы с захардкоженными учётными данными и утечкой конфиденциальной информации.

• Оптимизация: отфильтровывает значительное количество ложных срабатываний, позволяя сократить число тикетов примерно на 30%, а уровень ложных срабатываний удерживается ниже 5%.

• Автоматическое исправление: 74% проблем безопасности устраняются автоматически, также предоставляются рекомендации по изменению кода, например преобразование проблемы SQL-инъекции в параметризованный запрос. Это экономит разработчикам более 6 часов в неделю.

• Поддержка нескольких языков: совместим с языками и фреймворками, такими как Java, JavaScript, TypeScript, Go, Python, C#.

• Сканирование и анализ: сканирование кода с помощью движка Corgea-Blast; в отчётах указываются уровень критичности уязвимости (Critical/High/Medium/Low), статус исправления и другая информация.

• Политики и правила блокировки: позволяет определять бизнес-политики на естественном языке, например требования к шифрованию медицинских данных, а также задавать правила блокировки, препятствующие слиянию несоответствующего кода.

• Интеграция и удобство разработки: интегрируется с GitHub, Azure DevOps (поддержка GitLab, Bitbucket появится позднее), исправления кода можно отправлять напрямую в IDE.

Сценарии применения

• Предотвращение уязвимостей: уязвимости выявляются ещё до отправки кода, например, уязвимость обхода аутентификации в проекте pygoat не будет обнаружена злоумышленниками или пентестерами.

• Повышение эффективности: автоматическая генерация исправлений кода, например преобразование захардкоженных SQL-запросов в параметризованные, что экономит значительные усилия по ручному исправлению.

• Управление соответствием: соответствие корпоративной архитектуре с помощью пользовательских политик, таких как правила связи в частных сетях и стандарты использования ORM, что снижает риски несоблюдения требований.

Инструкция по использованию

1. Установка и интеграция: поддерживаются приложение GitHub, плагин Azure DevOps и инструмент CLI (npm install -g corgea-cli).

2. Настройка сканирования: конфигурация правил сканирования через файл .corgearc, поддержка нескольких языков (например, JavaScript, TypeScript) и категорий правил (например, аутентификация).

3. Процесс исправления: автоматическое создание PR с исправлением, разработчик проверяет и сливает, отслеживание статуса уязвимости.

Преимущества и недостатки

Преимущества:

• Уровень обнаружения уязвимостей повышен на 74%.

• Низкий уровень ложных срабатываний — ниже 5% (средний показатель по отрасли — 30%).

• Поддержка множества языков (Java, JS, Go, Python и др.).

• Подход, ориентированный на разработчиков.

Недостатки:

• В настоящее время не поддерживаются мобильные языки (Kotlin/Swift).

• Корпоративная версия имеет довольно высокую начальную цену.

• Частное (on-premise) развёртывание доступно только в корпоративной версии.

Тарифные планы

• Бесплатная версия: 2 репозитория, 10 PR-сканирований и 10 автоматических исправлений в месяц.

• Стартовый ($14): 5 репозиториев, 30 PR-сканирований и 50 автоматических исправлений в месяц.

• Развитие ($29): 10 репозиториев, 150 PR-сканирований в месяц, неограниченное количество автоматических исправлений.

• Масштаб ($49): неограниченное количество репозиториев, неограниченное количество PR-сканирований, неограниченное количество автоматических исправлений, поддержка сканирования вредоносного кода и управление SLA.

• Корпоративный: неограниченное количество репозиториев, неограниченное количество PR-сканирований, неограниченное количество автоматических исправлений, поддержка сканирования вредоносного кода, управление SLA и частная ai модель.