Pruebas estáticas de seguridad en GitLab para detectar vulnerabilidades
Contenido del curso
Everardo Sánchez
Carlos Velasquez
Everardo Sánchez
José Luis Mendez Marcano
Martin DAVILA
Jehiel Martinez
Leonardo Buezo
Juan Stiven Muñoz Garcia
Para hacer solamente las pruebas de SAST es necesaria la configuración del cluster de kubernetes?
Si, lo podes correr con docker. https://docs.gitlab.com/ee/user/application_security/sast/
Si, pero me dí cuenta que aparentemente tienen un sistema de discovery para saber que app será. Al final del día preferí correr la misma herramienta(bandit) para mi proyecto de python. Creo que es más controlado y flexible hacerlo así que con los templates.
Bueno! Veo que los comentarios tienen unos añitos. Voy a dejar este por aqui para actualizar un poco! "Viva Platzi!"
GitLab SAST
docker run \ --interactive --tty --rm \ --volume "$PWD":/code \ --volume /var/run/docker.sock:/var/run/docker.sock \ registry.gitlab.com/gitlab-org/security-products/sast:${VERSION:-latest} /app/bin/run /code
Coloque el template de SAST en mi .gitlab-ci.yml y me encontro problemas en los node_modules. Que recomiendan hacer en ese caso? SAST escanea los node_modules tambien?
Pasaron 3 años desde esta pregunta, pero respondo para aquellos interesados con resolver esta inquietud. En mi opinión, revisar el log y ver si especifica dónde está la vulnerabilidad. En el caso de node_modules, puede que estés utilizando una versión desactualizada de Node.js por lo que siempre se recomienda (en todos casos) tener la última versión.
El widgt del sast no se muestra en el mr. que hago
