Baseline Revision Tripwire: CodeQL-Konfiguration für Supply-Chain-Sicherheit

Ein Baseline-Revision-Tripwire ist ein Sicherheitsüberwachungsmechanismus, der die aktuelle Revision einer Datei mit einer bekannten-guten Basislinie vergleicht, um unbefugte oder unerwartete Änderungen zu erkennen. Es ist eine proaktive Ebene in der Software-Lieferketten-Sicherheit, Compliance-Durchsetzung und Integritätsprüfung – es erkennt Drift, bevor es zu einem Verstoß wird.

Was es erkennt

• Hinzufügen oder Löschen bestimmter Zeilen oder Codeblöcke
• Änderung oder Entfernung sicherheitskritischer Kommentare (z. B. Sicherheitsanmerkungen, TODO-Tags mit Zuweisungen)
• Änderungen an bestimmten Funktionen, Methoden oder Klassendefinitionen
• Veränderungen an Konfigurationsparametern, Konstanten oder Abhängigkeitsversionen
• Jede Abweichung vom Basislinien-kryptografischen Hash/Signatur

Incident-Auslöser

Wenn die überwachte Datei fehlt, nicht zugänglich ist oder eine definierte Prüfung fehlschlägt, wird ein Incident zur sofortigen Untersuchung generiert.

CodeQL-Konfigurationsbeispiel

Die folgende YAML konfiguriert ein Baseline-Revision-Tripwire in CodeQL, um das Hinzufügen/Entfernen von TODO-Kommentaren mit Zuweisungs-Tags in einer Java-Service-Datei zu erkennen:

queries: - BaselineRevisionTripwire.ql policies: - name: BaselineRevisionTripwirePolicy enabled: true severity: Medium query_ids: - BaselineRevisionTripwire conditions: - BaselineRevisionTripwireCondition: file: src/main/java/org/example/Service.java comment_checks: - match: "TODO\(@[a-zA-Z0-9]+\)" 

Konfigurationsaufschlüsselung

• file: Pfad zur überwachten Quelldatei (relativ zum Repository-Stamm).
• comment_checks.match: Regex zur Ansprache von TODO-Kommentaren mit Zugriffs-Handle (z. B. TODO(@jdoe)).
• Wenn ein Commit einen passenden Kommentar hinzufügt oder entfernt, markiert die Abfrage es und die Richtlinie löst eine Warnung von Medium-Schweregrad aus.

Praxisanwendungsfälle

• Schutz sicherheitskritischer Codeabschnitte (Authentifizierung, Kryptographie, Zugriffskontrolle)
• Durchsetzung von „kein TODO/FIXME in Produktion“-Richtlinien
• Erkennung unbefugter Abhängigkeitsversionsänderungen in Sperrdateien (package-lock.json, Cargo.lock, go.sum)
• Überwachung von Infrastructure-as-Code (Terraform, Kubernetes-Manifeste) auf Konfigurationsdrift

Baseline-Revision-Tripwires ergänzen Code-Reviews, CI/CD-Gates und Laufzeitschutz – sie bilden eine Defense-in-Depth-Strategie, die das auffängt, was andere Ebenen übersehen.