Baslinje revisions tripwire: CodeQL-konfiguration för leveranskedjesäkerhet

En baslinje revisions tripwire är en säkerhetsövervakningsmekanism som jämför en fils nuvarande revision mot en känd-god baslinje för att upptäcka obehöriga eller oväntade förändringar. Det är ett proaktivt lager i programvaruleveranskedjesäkerhet, efterlevnadsgenomdrift och integritetsverifiering – fångar drift innan det blir en intrång.

Vad det upptäcker

• Tillägg eller borttagning av specifika rader eller kodblock
• Modifiering eller borttagning av säkerhetskritiska kommentarer (t.ex. säkerhetsanteckningar, TODO-taggar med tilldelade)
• Förändringar av specifika funktioner, metoder, eller klassdefinitioner
• Ändringar av konfigurationsparametrar, konstanter, eller beroendeversioner
• Avvikelse från baslinjens kryptografiska hash/signatur

Incidentutlösare

Om den övervakade filen saknas, är otillgänglig, eller något definierat villkor misslyckas, genereras en incident för omedelbar utredning.

CodeQL-konfigurationsexempel

Följande YAML konfigurerar en baslinje revisions tripwire i CodeQL för att upptäcka tillägg/borttagning av TODO-kommentarer med tilldelade taggar i en Java-tjänstfil:

queries: - BaselineRevisionTripwire.ql policies: - name: BaselineRevisionTripwirePolicy enabled: true severity: Medium query_ids: - BaselineRevisionTripwire conditions: - BaselineRevisionTripwireCondition: file: src/main/java/org/example/Service.java comment_checks: - match: "TODO\(@[a-zA-Z0-9]+\)" 

Konfigurationsuppdelning

• file: Sökväg till övervakad källfil (relativt till repository root).
• comment_checks.match: Regex som riktar in sig på TODO-kommentarer med tilldelad hanterare (t.ex. TODO(@jdoe)).
• När en commit lägger till eller tar bort en matchande kommentar, flaggar queryn det och policyn höjer en Medium-allvarlighetsvarning.

Verkliga användningsfall

• Skydd av säkerhetskritiska kodsektioner (autentisering, kryptografi, åtkomstkontroll)
• Genomdrift av "inga TODO/FIXME i produktion" policyer
• Upptäckt av obehöriga beroendeversionsändringar i lockfiler (package-lock.json, Cargo.lock, go.sum)
• Övervakning av infrastructure-as-code (Terraform, Kubernetes-manifest) för konfigurationsdrift

Baslinje revisions tripwires kompletterar kodgranskning, CI/CD-portar, och körningsskydd – bildande en defense-in-depth-strategi som fångar vad andra lager missar.