False Positive SAST

Définition

Un False Positive SAST (faux positif d'analyse statique de sécurité) est une alerte générée par un outil SAST sur du code qui n'est en réalité pas vulnérable, malgré l'apparence d'un pattern dangereux. Les faux positifs sont le principal frein à l'adoption des outils SAST par les équipes de développement : si un outil génère 80% de faux positifs, les développeurs vont ignorer systématiquement toutes les alertes (Alert Fatigue), y compris les vrais positifs représentant des vulnérabilités réelles. Les causes des faux positifs SAST sont multiples. L'analyse de flux simplifiée : l'outil détecte qu'une variable provient d'une entrée utilisateur et est utilisée dans une requête SQL, sans réaliser que cette variable passe par une fonction de validation qui la rend sûre (l'outil ne "voit" pas le contexte complet du flux de données). Les patterns superficiels : une règle regex basique détectant ".exec()" comme potential Command Injection va aussi alerter sur des appels légitimes à .exec() d'une connexion à une base de données. Le manque de compréhension sémantique : l'outil détecte toute utilisation de MD5 comme cryptographie faible, même quand MD5 est utilisé pour un hash de données non-sécuritaires (etag HTTP, fingerprint de fichier non-critique). La gestion des faux positifs dans une organisation DevSecOps passe par plusieurs approches. La suppression documentée : des annotations de code (// nosec, # noqa, @SuppressWarnings) avec une justification obligatoire marquent les alertes légitimement fausses. La configuration de l'outil : la désactivation des règles générant systématiquement des faux positifs dans le contexte technologique spécifique (un ORM comme Hibernate élimine structurellement les injections SQL, les règles d'injection SQL peuvent être désactivées pour ce contexte). La mesure du taux de faux positifs : un tableau de bord tracant le ratio "alertes confirmées/alertes totales" par outil et par règle permet d'identifier les règles problématiques et de prioriser leur tuning. Le taux de faux positifs acceptable varie selon le contexte : 50-70% est courant pour les premiers scans sur une nouvelle codebase, 20-30% est un objectif réaliste après tuning, et moins de 10% est atteignable pour des règles très ciblées dans des contextes technologiques maîtrisés.