Integrando Veracode com Azure DevOps

Antes de ler esse artigo, vou recomendar que leia meu artigo sobre o Pipeline Scan, já que utilizaremos ele aqui.

Pipeline Scan é uma ferramenta da Veracode que nos permite fazer análises de segurança com scripts e pipelines de forma simples e pratica.

Nesse artigo utilizaremos como base o projeto PIVAA, criado para demonstrar falhas de segurança num projeto Android, enviando o seu APK para análise.

Utilizaremos o YAML para poder criar um pipeline que vai fazer o processo de build e então utilizar o Pipeline Scan para verificar o APK.

Nosso código em YAML ficara assim:

trigger:
- main

pool:
  vmImage: 'ubuntu-latest'

steps:
- task: Bash@3
  inputs:
    targetType: 'inline'
    script: 'rm -rf local.properties'
  displayName: 'Removendo Local Properties'
- task: Gradle@2
  inputs:
    gradleWrapperFile: './gradle/wrapper/gradle-wrapper.properties'
    tasks: 'assembleDebug'
    publishJUnitResults: false
    javaHomeOption: 'JDKVersion'
    gradleOptions: '-Xmx512m'
    sonarQubeRunAnalysis: false

- task: Bash@3
  inputs:
    targetType: 'inline'
    script: |
      # Configuracoes
      urlPipeScan="https://downloads.veracode.com/securityscan/pipeline-scan-LATEST.zip"
      veracodeID="$(APIID)"
      veracodeAPIkey="$(APIKEY)"
      # Faz o download da ferramenta
      curl -o pipescan.zip $urlPipeScan
      # Descompacta a ferramenta
      unzip -o pipescan.zip -d "./"
      # Faz a análise
      java -jar "pipeline-scan.jar" -f "pivaa.apk" -vid $veracodeID -vkey $veracodeAPIkey
    workingDirectory: '$(system.defaultworkingdirectory)/apks'
  displayName: 'Pipeline Scan'

É uma estrutura bem simples, utilizando a opção padrão de compilação para Android do Azure e por meio de um Bash, fazendo a instalação e uso do Pipeline Scan.

Para que ele funcione, precisamos configurar duas variáveis:
APIID e APIKEY são informações da sua conta Veracode

Como a ferramenta é um JAR, é preciso que o Pipeline tenha o Java configurado.

Não recomendo que deixe no código as variáveis, já que elas são credenciais. Como esse projeto tem falhas de segurança, o Pipeline vai localizá-las e "quebrar".

Notamos que o uso da ferramenta é bem simples, e que podemos integrá-la com facilidade nos scripts. Basta informar o caminho do arquivo no parâmetro f e as credenciais.

A análise é feita e o resultado exibido.

Com base nas orientações, pode seguir com a correção das falhas encontradas.