コードのセキュリティを、 再販可能なルールへ。
SAST(コード静的解析、Semgrep 構文)ルールのフィード。寛容なライセンスのオープンソースから集約し、各ルールを本物の Opengrep エンジンで検証、ライセンスをファイル単位で確認、CWE + OWASP-2021 にマッピング。さらに 1,371 件のシークレット検出パターンと、自社で作成した taint-mode ルール。CI/CD、コードレビュー、DevSecOps パイプラインに読み込めます。Ed25519 署名。
What we added recently
A living feed: here is the coverage added to it, dated.
- +95 règles
広いカバレッジ、マッピング済み、CI 対応。
SQL インジェクション(CWE-89)、コマンドインジェクション(CWE-78)、パストラバーサル(CWE-22)、LDAP/XPath インジェクション、XXE。アプリリスクの中核を、検証済み Semgrep ルールで。
クロスサイトスクリプティング(CWE-79)、安全でないデシリアライズ(CWE-502)、SSRF(CWE-918)、オープンリダイレクト。Web ペンテスト報告書を占めるカテゴリ。
正規化した 1,371 件の正規表現パターン(クラウドキー、トークン、ハードコードされたパスワード、秘密鍵)を gitleaks、noseyparker、kingfisher から集約。各正規表現はコンパイル可能、重複排除済み、移植可能。
自社の taint-mode ルール(source → sink、サニタイザ付き)と CVE 駆動のルール。パックの複製不可能な部分です。各ルールは納品前にテストゲート(opengrep --test)を通過します。
Python、JavaScript/TypeScript、Go、Java、C/C++、PHP、Ruby、C#、Kotlin、Rust……一つのルール構文で、コード資産全体を。
OWASP を超えて、各カテゴリはコンプライアンス基準に紐づきます:OWASP ASVS 4.0、PCI-DSS 4.0、ISO/IEC 27001:2022、NIST SSDF、そして EU Cyber Resilience Act。compliance.json バンドルが監査対応のレポートを提供します, ルールだけでなく規制上の統制です。これが再販される本当の価値です。
リスクはアプリコードで終わりません。Terraform(平文シークレット、公開バケット、全開放のセキュリティグループ)や Dockerfile(USER root、latest タグ、ビルド時シークレット)の設定ミス検出ルール。Infrastructure-as-Code を同じ Opengrep スキャンで監査、二つ目のツールは不要です。
有用な 215 件の LGPL/GPL ルールは元のライセンスのまま別途保持(帰属表示付きで再配布可、再ライセンスなし)。読み込むかどうかはあなたが選べます。
寛容なライセンスの Semgrep リポジトリから集約したルールを重複排除し、本物の Opengrep エンジンで検証(各ルールを読み込みコンパイル)後、CWE + OWASP-2021 に正規化(index.json + OWASP カテゴリ別バンドル)。さらに自社製ルール(taint / CVE)と 1,371 件のシークレットパターンを追加。出所とライセンスをファイル単位で保持。
Semgrep / Opengrep が動くあらゆる場所で。
公式 semgrep-rules リポジトリではもうできないこと。
semgrep/semgrep-rules リポジトリは再販不可のライセンス(Semgrep Rules License v1.0、2024 年末)に移行しました。当社のフィードは寛容なソース(MIT/Apache/BSD)のみを、ファイル単位で確認して集約:再配布可、MSSP 利用込み。
各ルールは本物の Opengrep エンジン(Semgrep の LGPL フォーク、商用エコシステムへの依存なし)で読み込まれます。コンパイルできないものは除外され、CI で壊れた構文はありません。
リポジトリのライセンスバッジはしばしば実態と異なります:あるリポジトリはルートでは MIT でも、ファイルには EE/LGPL/Commons-Clause のヘッダーが。各ルールをヘッダーで分類し、再販不可(Commons-Clause/EE)は除外、copyleft は分離、permissive のみ再販します。
各ルールは CWE と OWASP Top-10 2021 カテゴリに正規化され、index.json とカテゴリ別バンドルが付きます。これが堀です:ルール名ではなくリスク単位で報告でき、監査やコンプライアンスレビューにそのまま使えます。
集約に加え、当社の taint-mode ルール(source→sink、サニタイザ付き)と CVE 駆動のルールが、公開リストにないカバレッジを補います。各ルールは出荷前に opengrep --test を通過します。
フィードは署名済み。CI に組み込む前に完全性を検証できます。
公式 semgrep-rules リポジトリは無料では?
使用は無料ですが、2024 年末以降、semgrep/semgrep-rules リポジトリは Semgrep Rules License v1.0 の下にあり、再販や競合製品・サービスでの利用を禁じています。したがって MSSP やベンダーは顧客に再配布できません。当社のフィードはこれを解決します:寛容なソース(MIT/Apache/BSD)のみをファイル単位で確認して集約し、再配布可能・MSSP 利用可能にします。内容は異なり(別ソース + 自社ルール)、切り口はライセンス適合性です。
Semgrep ではなく Opengrep?ルールは動く?
Opengrep は Semgrep のオープンソース(LGPL)フォークで、ルール構文は同じです。商用コンポーネントに依存しないよう Opengrep で検証しますが、ルールは標準の Semgrep 構文なので、Semgrep OSS CLI でも Opengrep でも同様に動作します。特定のエンジンに縛られません。
CWE / OWASP マッピングは何のため?
各ルールはメタデータに CWE ID と OWASP Top-10 2021 カテゴリを持ち、さらにグローバルな index.json と OWASP カテゴリ別に切り分けたバンドルが付きます。具体的には「A03 インジェクションを全部見せて」とフィルタでき、ルール名ではなくリスクカテゴリ別のレポートを作成し、コンプライアンスレビュー(PCI-DSS、ISO 27001、SSDLC)に直接投入できます。価値は生ルールではなく、この正規化作業にあります。
どう使う?
パックには `rules/` フォルダ(permissive、再販可)、`rules-copyleft/`(分離した LGPL/GPL)、`secrets/secrets.json`(1,371 パターン)、`index.json`、OWASP カテゴリ別の `bundles/` が含まれます。CI で opengrep(または semgrep)を rules/ に向けます:`opengrep scan --config rules/ .`。カテゴリを狙うなら OWASP バンドルを選び、プロジェクトが許すなら copyleft を有効化。まずレポートモードで運用し、その後ブロッキングゲートに。
ライセンスは?再販 / MSSP は可能?
`rules/` フォルダは permissive なコンテンツ(MIT / Apache-2.0 / BSD)のみをファイル単位で確認し、帰属表示を保持して集約:再配布可、MSSP 利用込み。Commons-Clause / Enterprise Edition(再販不可)ルールは最初から除外、copyleft(LGPL/GPL)は元のライセンスのまま `rules-copyleft/` に分離、読み込むかはあなた次第。正規化、エンジン検証、CWE/OWASP マッピング、自社ルールが ThreatClaw の独自価値です。 当社の自社製ルール(rules/maison/)は専有です，(c) CyberConsulting.fr、パックの EULA に従います:自組織のセキュリティ運用での利用に限り、再配布不可(permissive な集約部分は再配布可)。