Semgrep IaC

Définition

Semgrep est un outil d'analyse statique de code (SAST) polyvalent qui supporte également la sécurité IaC via des règles pour Terraform, CloudFormation, Kubernetes YAML, Dockerfile et d'autres formats. Sa puissance réside dans son langage de règles déclaratif qui permet d'écrire des règles de détection en utilisant la syntaxe native du fichier analysé (HCL pour Terraform, YAML pour Kubernetes), rendant les règles très lisibles et faciles à écrire. Pour les fichiers Terraform, Semgrep analyse l'AST (Abstract Syntax Tree) du HCL et permet de détecter des patterns comme : des ressources S3 sans chiffrement activé, des Security Groups avec des règles trop permissives, des providers cloud sans contrainte de version, et des secrets hardcodés dans les configurations. La bibliothèque Semgrep Registry contient des centaines de règles IaC maintenues par la communauté et l'équipe Semgrep. Semgrep se distingue par ses capacités d'analyse inter-fichiers (taint tracking) permettant de suivre le flux des données entre les fichiers Terraform : détecter une variable déclarée dans un module, transmise à un autre module, et utilisée dans une configuration dangereuse. Cette analyse contextuelle réduit les faux positifs en comprenant le contexte complet de la configuration. L'intégration de Semgrep dans les workflows CI/CD est simplifiée via semgrep ci (commande dédiée pour les pipelines) qui analyse uniquement les fichiers modifiés dans un diff (PR/MR), réduisant le temps d'analyse dans les grandes bases de code IaC. Les résultats sont publiés comme commentaires de PR via l'intégration GitHub/GitLab. Semgrep Pro (payant) ajoute des capacités avancées : l'analyse inter-fichiers étendue, les règles propriétaires pour les frameworks enterprise, et l'intégration avec les systèmes de gestion des vulnérabilités. La version open source est gratuite et suffit pour la plupart des cas d'usage IaC.