カスタムSASTおよびIaCルールを追加する

はじめに

これらのカスタムルールを使うと、コードベース内の特定のリスク、特にあなたの環境にとって重要なリスクをAikidoにスキャンさせることができます。これにより、より広範なSASTやIaCのルールでは見落とされる可能性のある脆弱性を検出できます。

手順ガイド

この機能は、デフォルトではワークスペースで有効になっていません。有効化するにはAikidoにお問い合わせください。

手順1: へ移動します。 リポジトリチェック ページ。

手順2: 「カスタムルールを作成」をSASTセクションで 

カスタムのセキュリティおよびコンプライアンスルールを作成するためのオプションがある、リポジトリチェックのダッシュボード。

手順3: ルールに次の詳細を入力します:

• Opengrepルール: Aikidoが検索するルールを定義します。 ヒント: 以下を使って Opengrep playground 保存する前にルールの有効性をテストします。
• タイトル: 識別しやすいようにルールに名前を付けます。
• 要約: 問題の簡潔な説明を記載してください。これはサイドバーに表示されます。
• 修正方法: この問題を修正する最善の方法をチームに知らせます。
• 言語: プログラミング言語を指定します。
• Aikidoスコア: メインフィードでの問題報告の優先度レベルを設定します。

手順4: ルールの設定に満足したら、「保存」をクリックしてAikidoのSASTチェックに追加します。これでカスタムルールは有効になり、今後のスキャンに自動的に適用されます。

追加情報

• 全体として、Opengrepルールのlanguage属性が常に優先されます。これは、すべての言語とファイルに一度に適用する必要があるカスタムルールを実装したい場合に役立ちます。
• IaCルールを作成したい場合は、言語をyaml/terraform/...に設定することで行えます。

例

• SASTルール: javascriptで弱いMD5ハッシュアルゴリズムの使用を検出しています。

  rules:
    - id: CUSTOM-RULE-XXXX
      message: MD5が使用されているようです 
      languages:
        - javascript
      paths: 
        include
          - "*.js"
      severity: WARNING
      pattern-either:
        - pattern: $CRYPTO.createHash("md5")
        - pattern: CryptoJS.MD5(...)

• IaCルール: 危険である可能性のあるLambda関数を検出するためのカスタムルール。

  rules:
     - id: CUSTOM-RULE-530
       languages:
         - hcl
       severity: WARNING
       message: >
         "type:monitored"タグを持つLambda関数が見つかりましたが、"service"タグがありません。
       patterns:
         - pattern: |-
             resource "aws_lambda_function" $ANYTHING {
               ...
               tags = {..., type = "monitored", ...}
             }
         - pattern-not: |-
             resource "aws_lambda_function" $ANYTHING {
               ...
               tags = {..., service= "...", ...}
             }