Praktik Minggu 5 DevSecOps

Konsep Dasar SAST & DAST

SAST (Static Application Security Testing) adalah metode pengujian keamanan yang dilakukan tanpa menjalankan aplikasi. Pengujian fokus pada kode sumber, bytecode, atau binary untuk mencari kerentanan seperti SQL Injection, buffer overflow, hardcoded secrets, dan kesalahan logika.

Karakteristik:

Dilakukan sebelum aplikasi berjalan
Bersifat white-box testing
Mendeteksi bug lebih awal (shift-left security)
Tools umum: SonarQube, Bandit, Checkmarx

DAST (Dynamic Application Security Testing) adalah metode pengujian yang dilakukan pada aplikasi yang sedang berjalan untuk melihat bagaimana sistem merespons input dan serangan dari luar.

Karakteristik:

Dilakukan saat aplikasi aktif
Bersifat black-box testing
Mendeteksi celah runtime seperti XSS, SQL Injection, CSRF
Tools umum: OWASP ZAP, Burp Suite, Nikto

Mengapa SAST & DAST Penting

Penerapan kedua metode ini mendukung prinsip DevSecOps:

Shift-left security — menemukan bug lebih awal.
Continuous security — pengujian otomatis setiap commit.
Security gate — build pipeline bisa dihentikan saat ada vulnerability kritis.
Meningkatkan kualitas kode dan keamanan secara keseluruhan.

Pipeline DevSecOps dengan SAST & DAST

Pipeline umum:

Developer melakukan commit kode
Unit test berjalan
SAST dengan SonarQube
Build dan deploy ke staging
DAST menggunakan OWASP ZAP
Deployment ke production setelah lulus security gate

Pendekatan ini memastikan aplikasi diuji secara menyeluruh — baik dari sisi kode maupun sisi perilaku aplikasi.

Menjalankan SAST Menggunakan SonarQube

Berikut langkah-langkah menjalankan analisis statis menggunakan SonarQube.

1. Menjalankan SonarQube via Docker

Akses melalui browser: http://localhost:9000

Ambil token : My Account > Security > Generate Token

2. Install Sonar Scanner (Windows)

1. Download Sonar Scanner

Buka website resmi: https://docs.sonarsource.com/sonarqube/latest/analyzing-source-code/scanners/sonarscanner/
Cari bagian SonarScanner for Windows
Download file ZIP: sonar-scanner-cli-7.3.0.5189-windows-x64.zip

2. Extract ZIP

Setelah di-download, klik kanan → Extract All
Pindahkan folder hasil extract ke lokasi permanen, misalnya:

Di dalamnya akan ada folder seperti:

3. Tambahkan ke PATH Windows

Agar bisa menjalankan sonar-scanner di Command Prompt / PowerShell.

Tekan Start → ketik Edit the system environment variables
Klik Environment Variables
Pada “System variables”, cari Path → klik Edit

Klik New
Masukkan path:

Klik OK sampai selesai

4. Cek instalasi

Buka Command Prompt atau PowerShell, kemudian jalankan:

Jika berhasil, akan muncul informasi versi.

5. Konfigurasi file sonar-project.properties

Di dalam folder project kamu, buat file:

Isinya contoh:

6. Jalankan scan

Dari CMD/PowerShell di folder project:

Sonar Scanner akan mengirimkan analisis ke SonarQube di http://localhost:9000.

Menjalankan DAST Menggunakan OWASP ZAP

OWASP ZAP digunakan untuk menguji kerentanan runtime.

Buka Command Prompt (CMD) lalu masuk ke direktori proyek:

Jalankan OWASP ZAP Baseline Scan menggunakan perintah berikut:

Hasil Scan:

Setelah proses selesai, buka laporan hasil pemindaian pada:

C:\xampp\htdocs\antrian\zap_report.html

High	Medium	Low	Informational
	• Content Security Policy (CSP) Header Not Set • Missing Anti-clickjacking Header • Source Code Disclosure - SQL • Sub Resource Integrity Attribute Missing	• Big Redirect Detected (Potential Sensitive Information Leak) • Cookie No HttpOnly Flag • Cookie without SameSite Attribute • Cross-Domain JavaScript Source File Inclusion • In Page Banner Information Leak • Insufficient Site Isolation Against Spectre Vulnerability • Permissions Policy Header Not Set • Server Leaks Information via "X-Powered-By" Header • Server Leaks Version Information via "Server" Header • Timestamp Disclosure - Unix • X-Content-Type-Options Header Missing	• Authentication Request Identified • Information Disclosure - Suspicious Comments • Modern Web Application • Non-Storable Content • Session Management Response Identified • Storable and Cacheable Content • User Controllable HTML Element Attribute (Potential XSS)

Integrasi CI/CD

Kedua tools dapat diintegrasikan ke dalam GitHub Actions atau Jenkins untuk mengotomatisasi proses SAST dan DAST. Pipeline ini membuat setiap commit diuji keamanannya secara otomatis.

1. Membuat Repository GitHub (Langkah Awal)

Buat repository baru

Masuk ke GitHub: https://github.com
Klik tombol New repository
Isi:
- Repository name: devsecops-week5
- Description: Repository untuk tugas DevSecOps — SAST & DAST
- Visibility: Public

Klik Create repository

Repo kamu sekarang siap digunakan.

Push kode aplikasi ke GitHub

Jalankan di Git Bash / CMD:

Setelah push, seluruh kode aplikasi akan muncul di repository GitHub.

2. Menambahkan Konfigurasi SAST (SonarQube)

SonarQube membutuhkan sebuah file konfigurasi bernama:

File ini harus ditaruh di root repository.

Commit dan push:

3. Menambahkan Dockerfile (Wajib Agar Bisa DAST)

OWASP ZAP membutuhkan aplikasi berjalan dalam CI/CD. Karena GitHub Actions menjalankan pipeline di server Ubuntu, aplikasi harus dapat dijalankan di dalam container Docker.

Buat file:

Isi:

Commit dan push:

4. Membuat Folder Pipeline GitHub Actions

Buat folder:

Di dalamnya buat file:

5. Workflow CI/CD SAST + DAST

SonarQube SAST
Build & Run aplikasi dalam Docker
Jalankan ZAP Baseline Scan (DAST)
Upload laporan
Optional: fail pipeline jika High Risk ditemukan

File yang telah dibuat:

Isi:

name: CI - SAST & DAST

on:
  push:
    branches: [ main ]
  pull_request:
    branches: [ main ]

jobs:
  security:
    runs-on: ubuntu-latest
    env:
      APP_PORT: 8080
      APP_URL: http://localhost:8080

steps:
      - name: Checkout repository
        uses: actions/checkout@v4

- name: Install utils
        run: sudo apt-get update && sudo apt-get install -y jq curl || true

# -------------------- Setup Java --------------------
      - name: Set up JDK 17
        uses: actions/setup-java@v4
        with:
          distribution: 'temurin'
          java-version: '17'

# -------------------- Sanity: Sonar connectivity (debug) --------------------
      - name: Check Sonar connectivity (debug)
        env:
          SONAR_HOST_URL: ${{ secrets.SONAR_HOST_URL }}
        run: |
          if [ -z "${SONAR_HOST_URL}" ]; then
            echo "SONAR_HOST_URL not set (secret missing). Skipping remote Sonar connectivity check."
          else
            echo "Testing Sonar URL: ${SONAR_HOST_URL}"
            curl -v --fail --max-time 10 "${SONAR_HOST_URL}/api/server/version" || echo "Sonar not reachable (will fail later if required)."
          fi

# -------------------- SAST: SonarQube Scan --------------------
      - name: Run SonarQube Scanner
        uses: sonarsource/sonarqube-scan-action@v2
        with:
          projectBaseDir: .
          args: >
            -Dsonar.projectKey=antrian-app
            -Dsonar.host.url=${{ secrets.SONAR_HOST_URL }}
            -Dsonar.login=${{ secrets.SONAR_TOKEN }}

- name: Show Sonar scanner metadata (debug)
        if: always()
        run: |
          echo "PWD: $(pwd)"
          echo "Listing .scannerwork if exists:"
          ls -la .scannerwork || true
          if [ -f ".scannerwork/report-task.txt" ]; then
            echo "---- report-task.txt ----"
            sed -n '1,200p' .scannerwork/report-task.txt
          else
            echo ".scannerwork/report-task.txt not found"
          fi

# -------------------- Sonar Quality Gate (non-blocking for tests) --------------------
      - name: Wait for SonarQube Quality Gate (non-blocking)
        continue-on-error: true
        uses: sonarsource/sonarqube-quality-gate-action@v1
        with:
          scanMetadataReportFile: .scannerwork/report-task.txt
        env:
          SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}
          SONAR_HOST_URL: ${{ secrets.SONAR_HOST_URL }}

- name: Print Quality Gate JSON (debug)
        if: always()
        env:
          SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}
          SONAR_HOST_URL: ${{ secrets.SONAR_HOST_URL }}
        run: |
          if [ -f ".scannerwork/report-task.txt" ]; then
            ANALYSIS_ID=$(sed -n 's/^analysisId=//p' .scannerwork/report-task.txt)
            if [ -n "$ANALYSIS_ID" ]; then
              echo "Analysis ID: $ANALYSIS_ID"
              echo "Quality Gate API result (may be stale/fail if server unreachable):"
              curl -s -u "${SONAR_TOKEN}:" "${SONAR_HOST_URL}/api/qualitygates/project_status?analysisId=${ANALYSIS_ID}" | jq . || true
            else
              echo "analysisId not found in report-task.txt"
            fi
          else
            echo "No report-task.txt to query Quality Gate."
          fi

# -------------------- Build & Run App Container --------------------
      - name: Build Docker image for app
        run: docker build -t antrian-app .

- name: Run app container
        run: docker run -d --name antrian -p 8080:80 antrian-app

- name: Wait for app to be healthy
        run: |
          echo "Waiting for ${APP_URL} to respond..."
          for i in {1..30}; do
            if curl -sSf "${{ env.APP_URL }}" >/dev/null 2>&1; then
              echo "App is up"
              exit 0
            fi
            echo "Waiting... ($i)"
            sleep 2
          done
          echo "App did not start in time" && exit 1

- name: App quick check (from runner)
        run: |
          echo "curl headers:"
          curl -I --max-time 10 "${{ env.APP_URL }}" || true

# -------------------- Prepare workspace for ZAP --------------------
      - name: Make workspace writable for ZAP (if permissions block)
        run: |
          echo "Adjusting permissions for workspace so ZAP can write reports"
          sudo chmod -R a+rw "${{ github.workspace }}" || true

# -------------------- DAST: Run OWASP ZAP (host network) --------------------
      - name: Pull ZAP image
        run: docker pull ghcr.io/zaproxy/zaproxy:stable

- name: Run ZAP Baseline (ignore non-zero exit)
        run: |
          set +e
          docker run --rm -u root --network host -v "${{ github.workspace }}":/zap/wrk:rw \
            ghcr.io/zaproxy/zaproxy:stable \
            zap-baseline.py -t "${{ env.APP_URL }}" -r zap_report.html || true
          set -e

# -------------------- Always upload ZAP report so testers can inspect --------------------
      - name: Upload ZAP report
        if: always()
        uses: actions/upload-artifact@v4
        with:
          name: zap-report
          path: zap_report.html

- name: Print ZAP High Alerts (debug)
        if: always()
        run: |
          if [ -f "zap_report.html" ]; then
            echo "=== ZAP High Alerts (first hits) ==="
            grep -n -C3 "High" zap_report.html || true
          else
            echo "No zap_report.html"
          fi

# Non-fatal: do not fail the job based on ZAP High (suitable for testers)
      - name: Fail if ZAP found High (non-fatal)
        continue-on-error: true
        run: |
          if [ -f "zap_report.html" ] && grep -q "High" zap_report.html; then
            echo "High risk found (non-fatal in this workflow). See zap-report artifact for details."
            exit 1
          else
            echo "No High risk found; continuing."
          fi

- name: Show ZAP report snippet (debug)
        if: always()
        run: |
          if [ -f "zap_report.html" ]; then
            echo "ZAP report exists, showing first 200 lines:"
            sed -n '1,200p' zap_report.html || true
          else
            echo "zap_report.html not found"
          fi

# -------------------- Cleanup (always run) --------------------
      - name: Stop and remove containers
        if: always()
        run: |
          echo "Cleaning up containers..."
          docker rm -f antrian || true

6. Menambahkan Secrets di GitHub

Masuk ke:

GitHub → Repository → Settings → Secrets → Actions

Tambahkan:

Secret Name	Value
SONAR_HOST_URL SONAR_TOKEN	http://IP_SONARQUBE:9000 Token dari SonarQube

7. Menjalankan Pipeline

Setelah semua file dipush, pipeline akan otomatis berjalan setiap:
✔ Push ke branch main
✔ Pull request ke main

Masuk ke:
GitHub → Actions → CI - SAST & DAST

Di bagian output akan terlihat:

Hasil SAST dari SonarQube

Hasil DAST dari ZAP

Laporan zap_report.html: https://github.com/kimookoii/devsecops-week5/actions/runs/19732586524/artifacts/4696036645

Temuan dan Mitigasi : SonarQube

1. Add password protection to this database

Ini bukan bug 100% (Sonar tidak bilang “vulnerability”), tetapi peringatan bahwa koneksi database kamu menggunakan username = root dan password kosong, yang tidak aman untuk environment apa pun (bahkan untuk development).

Kenapa Sonar memberi peringatan ini?

Karena baris:

Tidak ada password: akses database terbuka.
Menggunakan root: role paling tinggi (akses penuh ke mysql).
Ditulis langsung di file: credential hardcoded → praktik tidak aman.

Sonar menganggap ini high-risk hotspot, karena jika code ini digunakan dalam deployment, database kamu bisa diambil alih.

Perbaikan yang benar

Buat user baru MySQL:

Lalu update file auth/db.php:

2. Remove the parentheses from this echo call

Kenapa Sonar memberi peringatan ini?

SonarQube menganggap bahwa tanda kurung ( ... ) setelah echo tidak diperlukan dan membuat kode “kurang clean”.
Ini bukan bug dan bukan celah keamanan — hanya Code Smell / gaya penulisan.

Perbaikan yang benar

Cukup hapus tanda kurung luar, karena echo tidak membutuhkan ekspresi di dalam ().

Output-nya tetap sama.

Untuk masalah "Remove the parentheses from this echo call." yang lain. Perbaikan tetap sama, cukup hapus tanda kurung luar. Karena echo tidak membutuhkan ekspresi di dalam ().

3. include_once

Ini BUKAN bug atau vuln. Ini hanya "Code Smell" bersifat rekomendasi, dan dalam project PHP procedural seperti punyamu, warning ini boleh diabaikan.

Kenapa Sonar memberi peringatan ini?

Sonar menunjukkan:
Replace "include_once" with namespace import mechanism through the "use" keyword.
Ini rule milik Sonar untuk PHP berbasis OOP + namespace modern (PSR-4). Rule ini menganggap kamu memanggil file PHP seolah-olah kamu memanggil class/function di namespace, padahal bentuk kode kamu adalah:

Dalam project lama / procedural PHP, ini normal.
Sonar tidak secara otomatis tahu struktur aplikasi kamu — jadi dia memberikan false positive recommendation.

Perbaikan yang benar (jika ingin menghilangkan warning)

Tambahkan komentar Sonar untuk menandai rule ini sebagai “won’t fix”.
Tambahkan di atas baris include:

SonarQube otomatis mengabaikan baris tersebut.
Ini adalah BEST PRACTICE saat rule tidak applicable.

Temuan dan Mitigasi : OWASP ZAP

1. Content Security Policy (CSP) Header Not Set

Kenapa terjadi?

ZAP menandai temuan “Content Security Policy (CSP) Header Not Set” karena halaman web tidak mengirimkan header Content-Security-Policy.

Cross-Site Scripting (XSS)
Data injection / malicious scripts
Loading script atau resource dari domain berbahaya

CSP adalah lapisan keamanan tambahan yang membatasi JavaScript, CSS, gambar, font, iframe, dan resource lain agar hanya berasal dari sumber yang dipercaya.

Cara Mengatasinya

Tambahkan header CSP pada web server atau aplikasi. Format paling sederhana:

Apache / .htaccess

PHP (per halaman)

2. Insufficient Site Isolation Against Spectre

Kenapa terjadi?

Cross-Origin-Resource-Policy (CORP)
Cross-Origin-Embedder-Policy (COEP)

Header-header ini dirancang untuk melindungi browser dari side-channel attacks, terutama Spectre, yang memungkinkan website jahat membaca informasi sensitif dari website lain melalui mekanisme spekulatif CPU.

Tanpa header ini, browser tidak dapat sepenuhnya mengisolasi sumber daya (resource isolation), sehingga risiko kebocoran data antar-origin menjadi lebih tinggi.

Cara Mengatasinya

Tambahkan header berikut pada web server atau aplikasi:

Header Wajib (nilai paling aman)

Cross-Origin-Resource-Policy (CORP)

Cross-Origin-Embedder-Policy (COEP)

Contoh implementasi lengkap (Apache / .htaccess)

Menggunakan PHP (per halaman)

3. Server Leaks Version Information via "Server" HTTP Response Header

Kenapa terjadi?

ZAP menemukan bahwa server web mengirimkan header:

Mengungkap jenis server (Apache / Nginx / IIS)
Mengungkap versi dan OS (Debian)
Membantu penyerang menargetkan eksploit yang cocok dengan versi tersebut

Singkatnya: fingerprinting → memudahkan attacker mengetahui kelemahan dan exploit apa yang kemungkinan bekerja.
Tidak mematikan, tapi low-risk hardening issue yang wajib diperbaiki untuk mengurangi attack surface.

Cara Mengatasinya

Apache (httpd / Debian / Docker php:apache)

Tambahkan ini ke config Apache:

Atau di .htaccess (jika diizinkan):

Jika pakai container Docker berdasarkan apache

Tambahkan ke Dockerfile:

PHP (hilangkan X-Powered-By)

Di php.ini atau file config:

Kesimpulan

SAST dan DAST adalah dua pendekatan penting untuk menjaga keamanan aplikasi dalam DevSecOps. SAST membantu mendeteksi kerentanan pada tahap awal, sedangkan DAST memastikan aplikasi aman saat dijalankan. Integrasi keduanya ke pipeline otomatis membuat proses pengembangan lebih aman, cepat, dan efisien.

88032023006 | ZICO

Praktik Minggu 5 DevSecOps

Menggunakan SAST & DAST dalam Praktik DevSecOps

Konsep Dasar SAST & DAST

Mengapa SAST & DAST Penting

Pipeline DevSecOps dengan SAST & DAST

Menjalankan SAST Menggunakan SonarQube

1. Menjalankan SonarQube via Docker

2. Install Sonar Scanner (Windows)

1. Download Sonar Scanner

2. Extract ZIP

3. Tambahkan ke PATH Windows

4. Cek instalasi

5. Konfigurasi file sonar-project.properties

6. Jalankan scan

Menjalankan DAST Menggunakan OWASP ZAP

Integrasi CI/CD

1. Membuat Repository GitHub (Langkah Awal)

Buat repository baru

Push kode aplikasi ke GitHub

2. Menambahkan Konfigurasi SAST (SonarQube)

3. Menambahkan Dockerfile (Wajib Agar Bisa DAST)

4. Membuat Folder Pipeline GitHub Actions

5. Workflow CI/CD SAST + DAST

6. Menambahkan Secrets di GitHub

7. Menjalankan Pipeline

Temuan dan Mitigasi : SonarQube

1. Add password protection to this database

2. Remove the parentheses from this echo call

3. include_once

Temuan dan Mitigasi : OWASP ZAP

1. Content Security Policy (CSP) Header Not Set

2. Insufficient Site Isolation Against Spectre

3. Server Leaks Version Information via "Server" HTTP Response Header

Kesimpulan