静的トークンおよび認証情報スキャナー
STACS は YARA を搭載した静的認証情報スキャナーであり、バイナリファイル形式、ネストされたアーカイブの解析、構成可能なルールセットと無視リスト、および SARIF レポートをサポートしています。
現在、STACS は以下の再帰的な展開をサポートしています。
STACS は検出されたファイルタイプに基づいて動作するため、これらの形式を使用した独自のファイル形式やその他のファイルタイプが自動的にサポートされます。これには、Docker イメージ、Android APK、Java JAR ファイル、RPM、Debian パッケージ（.deb）、macOS パッケージ（.pkg）などが含まれます。
STACS は、バイナリアーティファクトをリリースするすべてのチームが使用できるように設計されています。STACS は、開発者がリリースに静的な認証情報やキーマテリアルが誤って含まれていないかを自動的にチェックする機能を提供します。
ただし、これは STACS が SaaS アプリケーション、エンタープライズソフトウェア、さらにはソースコードに役立たないという意味ではありません。
例として、STACS を使用して、パブリックおよびプライベートのコンテナレジストリにアップロードされた Docker イメージ内の静的認証情報を見つけることができます。また、実行可能ファイル、モバイルデバイス用のパッケージ、Java アプリケーションサーバーで使用される「エンタープライズアーカイブ」などに誤ってコンパイルされた認証情報を見つけるためにも使用できます。
STACS は、実行時に提供される「ルールパック」を使用して静的認証情報を検出します。これらのルールパックは、STACS に提供されたファイルに対して実行する一連の YARA ルールを定義します。ルールに一致するものが見つかると、「ファインディング」が生成されます。これらのファインディングは、ファイル内の潜在的な認証情報を表し、開発者が修正または「無視」するために報告されます。
ファインディングが誤検出（実際の認証情報以外のものに一致した場合）であると判明した場合、開発者は「無視リスト」のセットを生成して、これらの一致が将来のレポートに表示されないようにすることができます。
STACS の真の力は、ネストされたアーカイブの自動検出と展開、および構成可能な無視リストとルールパックにあります。
柔軟で協調的な使用を可能にするために、STACS は構成可能な無視リストをサポートしています。これにより、無視リストは他の無視リストを含めることができ、組織のガイドラインに基づいた「無視のツリー」の構成が可能になります。これらの無視リストは、同じフレームワークや製品を多く使用する組織で特に役立ちます。あるチームがすでにファインディングを誤検出としてマークした場合、他のチームは同じファインディングをトリアージする必要がなくなります。
無視リストと同様に、ルールパックも構成可能です。これにより、組織はすべてのチームが使用するベースラインのルールセットを定義しながら、チームが自社製品に固有のルールセットを維持することができます。
STACS を使用する最も簡単な方法は、Docker Hub に公開されている Docker イメージを使用することです。ただし、STACS は Python の PyPI から直接インストールするか、このリポジトリをクローンしてインストールすることもできます。以下の該当するセクションを参照して始めてください！
ビルドおよびリリースパイプラインに直接統合し、リリース前に静的認証情報を検出できるクラウドベースのサービスが近日公開予定です。
公開されているイメージを使用すると、STACS ですぐにアーティファクトをスキャンできます。STACS の Docker イメージは、スキャンしたいファイルをスキャンコンテナに直接マウントするための複数のボリュームマウントを提供します。
例として、現在のフォルダ内のすべてをスキャンするには、次のコマンドを実行できます（Docker がインストールされている必要があります）。
docker run \
--rm \
-v "$(pwd):/mnt/stacs/input:ro" \
stacscan/stacs:latest
「見やすい」読み取り可能な出力を受け取りたい場合は、次のコマンドを使用してください。
docker run \
--rm \
-e STACS_OUTPUT_PRETTY=1 \
-v "$(pwd):/mnt/stacs/input:ro" \
stacscan/stacs:latest
デフォルトでは、STACS はすべてのファインディングを SARIF 形式で STDOUT に直接出力し、整理された状態を保つためにすべてのログメッセージを STDERR に送信します。より高度なユースケースでは、他のいくつかのボリュームマウントが提供されています。これにより、ユーザーは使用するルールパック、無視リスト、およびキャッシュディレクトリを制御できます。
STACS は Python の PyPI から直接インストールすることもできます。これにより、stacs コマンドが提供され、開発者はローカルの開発環境でプロジェクトを直接スキャンできるようになります。
STACS は PyPI から次のように直接インストールできます。
pip install stacs
注意: PyPI リリースの STACS にはルールが含まれていません。STACS を動作させるには、コミュニティルールリポジトリ からルールをクローンする必要もあります。
まだありません。ただし、既存のビルドシステムに簡単に統合でき、追加のプリビルドルールパックと無視リストを含むホスト版 STACS の計画があります。
残念ながら、誤検出は静的認証情報の検出中に避けられない副作用です。ルールが細かすぎるとルールのメンテナンスが負担になり、STACS が認証情報を見逃す可能性があります。ルールが粗すぎると、STACS が多くの誤検出を生成する可能性があります。
これを支援するために、STACS は最終レポートに含まれる誤検出の数を減らすためのいくつかのツールを提供しています。
主に、STACS はユーザーが構成可能な無視リストを定義できるメカニズムを提供し、一連のファインディングを「無視」できるようにします。これらのルールは、パターンに基づいてすべてのファイルを無視するような粗いものから、ファイルの特定の行に対する特定のファインディングを無視するような細かいものまで指定できます。
この情報は自動的にレポートに反映されるため、「無視された」ファインディングは SARIF 出力で「抑制済み」としてマークされ、追跡のために無視の理由も出力に含まれます。
「見やすい」出力（--pretty / STACS_OUTPUT_PRETTY）を使用している場合、結果は人間が読める形式でコンソールに表示されます。
SARIF を使用している場合、このデータを読みやすくするためのビューアがいくつかあります。たとえば、Microsoft のこの優れた Web ベースのビューア などがあります。Docker コンテナイメージからのファインディングの例を以下に示します。
残念ながら、これは Docker Desktop for Mac の制限によるものと思われます。バインドマウントの I/O は非常に遅いです。