Хватит копировать security YAML: AppSec-слой для Java-проектов через Gradle convention plugin

script:
  - ./gradlew test
  - ./gradlew dependencyCheckAnalyze
  - ./gradlew cyclonedxBom
  - ./gradlew sonar

./gradlew clean securityAnalyze --no-daemon

security behavior должен жить ближе к коду,
а CI/CD должен запускать тот же behavior без повторной реализации

• как запускать Dependency-Check;
  
• куда складывать отчеты;
  
• какие форматы генерировать;
  
• как делать SBOM;
  
• как передавать coverage в SonarQube;
  
• как различать branch и merge request analysis;
  
• как жить с multi-module проектами;
  
• как дать разработчику одну понятную команду.

plugins {
  id "java"
  id "io.github.niki1337.securebuild.gradle-java" version "0.1.0"
}

securityConventions {
  serviceName = "payment-api"
  sonarProjectKey = "payment-api"
  allowLocalSonar = false
}

plugins {
  id "io.github.niki1337.securebuild.gradle-java" version "0.1.0"
}
securityConventions {
  serviceName = "payments-platform"
  sonarProjectKey = "payments-platform"
  includedModules = ["api", "service"]
  excludedModules = ["test-fixtures"]
}

• SonarQube analysis;
  
• OWASP Dependency-Check;
  
• CycloneDX SBOM;
  
• JaCoCo или Kover coverage;
  
• Gradle single-module и multi-module behavior;
  
• Git branch metadata;
  
• GitLab merge request metadata.

./gradlew clean securityAnalyze --no-daemon

./gradlew cyclonedxDirectBom --no-daemon
./gradlew dependencyCheckAnalyze --no-daemon
./gradlew sonarHelp --no-daemon

./gradlew dependencyCheckAggregate --no-daemon

• пути отчетов расходятся;
  
• scanner settings расходятся;
  
• SonarQube metadata забывается;
  
• локальный запуск отличается от pipeline;
  
• multi-module проекты требуют отдельных костылей;
  
• новые сервисы копируют старый boilerplate;
  
• security-команда получает разные форматы артефактов;
  
• разработчики не понимают, какую команду запускать до MR.

GitLab CI / Jenkins
  запускает ./gradlew securityAnalyze
  собирает artifacts
  применяет gates

Gradle plugin
  знает tasks
  знает report paths
  знает multi-module structure
  знает SonarQube metadata conventions

export SONAR_HOST_URL="https://sonarqube.example.com"
export SONAR_PROJECT_KEY="payment-api"
export SONAR_TOKEN="token-value"

sonar.sources
sonar.tests
sonar.java.binaries
sonar.java.test.binaries
sonar.java.libraries
sonar.java.test.libraries
sonar.coverage.jacoco.xmlReportPaths
sonar.exclusions
sonar.test.exclusions
sonar.cpd.exclusions
sonar.coverage.exclusions

CI_MERGE_REQUEST_IID                  -> sonar.pullrequest.key
CI_MERGE_REQUEST_SOURCE_BRANCH_NAME   -> sonar.pullrequest.branch
CI_MERGE_REQUEST_TARGET_BRANCH_NAME   -> sonar.pullrequest.base

HTML
JSON
SARIF
XML

build/reports/dependency-check

• OSS Index;
  
• RetireJS;
  
• Node audit;
  
• Node package analyzer;
  
• hosted suppressions;
  
• CISA KEV analyzer.

DT_API_URL=https://dependency-track.example.com \
./gradlew dependencyCheckAnalyze --no-daemon

failBuildOnCVSS = 11

• runtime dependencies включаются;
  
• test dependencies не добавляются;
  
• license text не встраивается;
  
• serial number можно отключить;
  
• лишняя metadata уменьшается.

./gradlew cyclonedxDirectBom --no-daemon
./gradlew cyclonedxBom --no-daemon

build/reports/cyclonedx
build/reports/cyclonedx-direct

• JaCoCo;
  
• Kover.

securityConventions {
  coverageProvider = "auto"
}

• использует JaCoCo 0.8.13;
  
• делает jacocoTestReport зависимым от tests;
  
• включает XML output;
  
• передает XML path в SonarQube.

build/reports/jacoco/test/jacocoTestReport.xml

root
  api
  service
  domain
  client
  test-fixtures

java
java-library

securityConventions {
  includedModules = ["api", "service"]
  excludedModules = ["test-fixtures"]
}

• настраивает coverage по Java-модулям;
  
• собирает coverage XML paths;
  
• конфигурирует root-level SonarQube analysis;
  
• задает module-level source/test/binary/library paths;
  
• запускает aggregate Dependency-Check;
  
• старается не генерировать шумный root-level SBOM;
  
• использует deployable module для SBOM, когда это возможно;
  
• оставляет единый root-level securityAnalyze.

security:gradle:
  image: eclipse-temurin:17
  stage: test
  variables:
    GRADLE_USER_HOME: "$CI_PROJECT_DIR/.gradle"
  script:
    - ./gradlew clean securityAnalyze --no-daemon
  artifacts:
    when: always
    expire_in: 7 days
    paths:
      - build/reports/dependency-check/
      - build/reports/cyclonedx/
      - build/reports/cyclonedx-direct/
      - "**/build/reports/jacoco/"

sonarqube:gradle:
  image: eclipse-temurin:17
  stage: test
  script:
    - ./gradlew sonar --no-daemon
  rules:
    - if: '$SONAR_TOKEN'

CI/CD вызывает build tasks,
а не заново реализует security conventions

• SonarQube;
  
• OWASP Dependency-Check;
  
• CycloneDX;
  
• DefectDojo или Dependency-Track;
  
• ручной vulnerability triage;
  
• risk acceptance;
  
• secret scanning;
  
• DAST;
  
• container scanning;
  
• IaC scanning;
  
• release approval process.

SCA
SBOM
coverage
SonarQube metadata
local and CI/CD behavior
report conventions

./gradlew securityAnalyze

• Secure Build Gradle Plugin: https://github.com/Niki-1337/secure-build-gradle-plugin
  
• Secure Build Maven Extension: https://github.com/Niki-1337/secure-build-maven-extension