Offensive360 SAST スキャン — GitHub Action

Offensive360 の静的アプリケーションセキュリティスキャン（SAST）を、プッシュまたはプルリクエストのたびに実行します。60以上の言語に対応したディープな汚染解析（taint）とデータフロー解析を実施し、結果は GitHub の code scanning タブ用に SARIF 形式で出力します。さらに、パイプライン用の重大度ゲートも備えています。

オープンソース向け無料: パブリックリポジトリでは無料のスキャントークンをリクエストできます。詳細は offensive360.com/free-for-open-source をご覧ください。

クイックスタート

name: SAST
on:
  push:
    branches: [main]
  pull_request:

permissions:
  contents: read
  security-events: write   # only needed when upload-sarif is enabled

jobs:
  sast:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: offensive360/sast-scan-action@v1
        with:
          api-url: https://sast.offensive360.com   # or your own on-prem instance
          api-token: ${{ secrets.O360_API_TOKEN }}
          upload-sarif: 'true'
          fail-on: high

検出結果は Security → Code scanning にファイル・行番号、影響と修正のガイダンス、そして Offensive360 ダッシュボード上の完全なトレースとともに表示されます。

トークンの取得

オープンソース / パブリックリポジトリ: offensive360.com/free-for-open-source で無料トークンをリクエストしてください。

Input	Default	Description
`api-url`	— (required)	Offensive360 インスタンスのベース URL
`api-token`	— (required)	外部スキャントークン（リポジトリシークレット）
`project-name`	repository name	Offensive360 ダッシュボード上のプロジェクト名
`path`	`.`	スキャンするディレクトリ
`dependency-scan`	`false`	依存関係（SCA）解析も実行
`malware-scan`	`false`	マルウェア / バイナリ改ざん解析も実行
`license-scan`	`false`	ライセンスコンプライアンス解析も実行
`fail-on`	`high`	この重大度以上でジョブを失敗させる: `none`, `low`, `medium`, `high`, `critical`
`sarif-file`	`offensive360.sarif`	書き込む SARIF レポートのパス
`timeout-seconds`	`3000`	スキャンの最大待機秒数
`exclude`	`.git node_modules dist …`	アップロードから除外するディレクトリ名（スペース区切り）
`upload-sarif`	`false`	SARIF を GitHub code scanning にアップロード（`security-events: write` が必要）

Output	Description
`total`, `critical`, `high`, `medium`, `low`	検出件数
`status`	スキャンステータス（`Succeeded`, `PartialFailed`, …）
`sarif-file`	生成された SARIF レポートのパス
`project-id`	このリポジトリの Offensive360 プロジェクト ID

sast-scan-action

人気

入力

出力

GitLab CI

注意事項

Offensive360 について