Semgrep

Semgrepは、コードをパターンでスキャンします。ルールは照合する対象のコードに似た形で書くので、従来のアナライザーのクエリより書きやすくなります。チームは、よくある脆弱性にはコミュニティのルールを使い、自社の基準にはカスタムルールを書いて、CIと開発者のマシンでスキャンを走らせます。

商用プラットフォームには、依存関係のスキャン、シークレットの検出、AIで検出結果を説明し、修正を提案し、誤検知らしいものを除くトリアージのアシスタントが加わります。プルリクエストやIssueトラッカーとも連携します。

オープンソースのエンジンは無料で、プラットフォームは有料プランです。静的解析には必ずある程度のノイズが出るため、調整が必要です。代替にはSnyk Code、GitHub CodeQL、SonarQube、Checkmarx、Veracodeがあります。コードレビューにセキュリティを組み込みたい開発チームとセキュリティチームに向いています。