PowerShell SAST / OWASP 10

Question

В настоящее время я разрабатываю сценарий PowerShell с 10 тыс. Строк кода, подключаемый к базе данных SQL. Хотя рекомендуется использовать плагины в среде IDE, например, для Java или C#, для сканирования кода (плагин Resharper/ Fortify или Sonarcube) и во время процесса сборки выполнять анализ SAST, я не могу найти подходящий инструмент для кода PowerShell, за исключением PSScriptAnalyzer, который хорош для устранения неприятных запахов, но не так сильно рассматривается как инструмент SAST.

Такой инструмент в настоящее время просто недоступен для PowerShell, или вы знаете какие-нибудь полезные инструменты?

KR Крис

Answer 1

NIST продолжает регулярно обновляемый список примеров SAST инструмента (не рекомендации) здесь . По состоянию на 20 августа 2021 г. единственным инструментом, в котором Powershell указан как поддерживаемый язык, является Static Reviewer от Atlassian :

Обеспечивает проверки безопасности в соответствии с OWASP, CWE, CVE, CVSS, MISRA, CERT. Доступен как модуль для анализа состава программного обеспечения (SCA) для поиска уязвимостей в библиотеках с открытым исходным кодом и сторонних разработчиков.

Лично я просто использую PSScriptAnalyzerмодуль с набором правил Microsoft InjectionHunter . В наши дни вы можете добавить их в правила плагина PowerShell VSCode.