Qu’est-ce que Checkmarx ?

Checkmarx est une plateforme de test de sécurité des applications (AST) de niveau entreprise conçue pour aider les organisations à sécuriser leurs logiciels en identifiant et en corrigeant les vulnérabilités tout au long du cycle de vie du développement logiciel (SDLC). Elle fournit une solution unifiée qui intègre les tests statiques de sécurité des applications (SAST), l’analyse de la composition logicielle (SCA) et les tests interactifs de sécurité des applications (IAST), permettant aux développeurs de créer du code plus sûr dès le départ et offrant aux équipes de sécurité une visibilité complète sur les risques applicatifs.

Fonctionnalités Clés

• Tests Statiques de Sécurité des Applications (SAST) : Analyse le code source pour identifier les vulnérabilités de sécurité, telles que l’injection SQL, le Cross-Site Scripting (XSS) et les configurations non sécurisées, sans avoir besoin d’exécuter l’application.
• Analyse de la Composition Logicielle (SCA) : Identifie les composants open-source et les bibliothèques tierces dans votre base de code, signalant les vulnérabilités connues et les problèmes de conformité des licences.
• Tests Interactifs de Sécurité des Applications (IAST) : Analyse les applications en temps réel pendant les tests d’exécution pour détecter les vulnérabilités qui ne sont découvrables que par une interaction dynamique.
• Sécurité de l’Infrastructure en tant que Code (IaC) : Analyse les modèles IaC (comme Terraform, Kubernetes et CloudFormation) pour détecter les mauvaises configurations qui pourraient entraîner des failles de sécurité dans les environnements cloud.
• Intégration Transparente CI/CD : S’intègre directement dans les flux de travail des développeurs et les pipelines CI/CD (par ex., Jenkins, GitLab, Azure DevOps), fournissant un retour rapide et une analyse automatisée.
• Meilleur Emplacement de Correction (Best Fix Location) : Identifie intelligemment l’endroit optimal dans le code pour corriger plusieurs vulnérabilités avec une seule modification, économisant un temps de développement considérable.

Cas d’Utilisation

• Mise en œuvre de DevSecOps : Intégration de contrôles de sécurité automatisés directement dans le pipeline CI/CD pour détecter les vulnérabilités tôt et souvent.
• Conformité et Audit : Génération de rapports pour démontrer la conformité avec les normes de l’industrie comme PCI DSS, HIPAA et GDPR.
• Gestion des Risques Open Source : Obtenir une visibilité sur les dépendances open-source pour gérer les vulnérabilités et assurer la conformité des licences.
• Sécurisation des Applications Cloud-Natives : Analyse des microservices, des conteneurs et des modèles IaC pour sécuriser les architectures modernes basées sur le cloud.
• Triage et Remédiation des Vulnérabilités : Fournir aux équipes de sécurité et aux développeurs une plateforme centralisée pour prioriser et corriger efficacement les failles de sécurité.

Pour Commencer

Checkmarx est une plateforme commerciale qui nécessite une installation et une configuration. Un exemple “Hello World” implique de l’intégrer dans un pipeline CI. Voici un exemple conceptuel de ce à quoi pourrait ressembler une étape d’analyse Checkmarx dans un fichier gitlab-ci.yml.

```yaml

.gitlab-ci.yml

stages:

• build
• test

build_job: stage: build script: - echo “Construction de l’application…” # Étapes de construction ici

checkmarx_sast_scan: stage: test script: - echo “Lancement de l’analyse SAST Checkmarx…” - | /opt/cx/runCxScan.sh
–projectname=”${CI_PROJECT_NAME}”
–cxserver=”${CX_SERVER_URL}”
–cxuser=”${CX_USER}”
–cxpassword=”${CX_PASSWORD}”
–locationtype=git
–giturl=”${CI_REPOSITORY_URL}”
–branch=”${CI_COMMIT_REF_NAME}”
–preset=”Checkmarx Default”
–comment=”Analyse CI GitLab”
–asynchronous rules: - if: ‘$CI_COMMIT_BRANCH == “main”’

Note : Ceci est un exemple représentatif. Le script et les paramètres réels varieront en fonction de votre configuration spécifique de Checkmarx et de votre environnement CI/CD. La première étape consiste généralement à contacter Checkmarx pour une démo et une licence d’essai.

Tarification

Checkmarx fonctionne sur un modèle de tarification Payant (basé sur un abonnement). Le coût est généralement basé sur des facteurs tels que le nombre de développeurs, le nombre d’applications analysées et les produits spécifiques requis (SAST, SCA, IAST, etc.). Ils proposent des devis sur mesure pour les entreprises et ne publient pas de liste de prix fixe publiquement.