Pengembangan Ekosistem Static Application Security Testing Untuk Mengidentifikasi Kerentanan Keamanan Sumber Kode Aplikasi Menggunakan Pendekatan Devsecops

Latar Belakang: Pengembangan perangkat lunak konvensional sering mengabaikan keamanan dalam Software Development Life Cycle (SDLC), menyebabkan aplikasi rentan terhadap serangan seperti injeksi dan cross-site scripting (XSS). Penelitian ini mengembangkan ekosistem DevSecOps dengan mengintegrasikan Secure Software Development Life Cycle (SSDLC).
Tujuan: Mengintegrasikan Continuous Integration/Continuous Deployment (CI/CD) untuk mengidentifikasi kerentanan kode sumber aplikasi website menggunakan Static Application Security Testing (SAST) dengan SonarQube, serta mengevaluasi hasilnya dalam ekosistem Docker.
Metode Penelitian: Mengadopsi pendekatan SSDLC, Dalam tahap identifikasi dan analisis, Vulnerability Assessment (VA) menggunakan reNgine mengidentifikasi kelemahan eksternal, sementara SAST dengan SonarQube memindai kode sumber secara statis untuk kelemahan keamanan internal (insecure coding practices, hardcoded credentials). Alat analisis keamanan diintegrasikan ke dalam pipeline Jenkins.
Hasil: Pengujian awal VA reNgine mendeteksi temuan informasional dan potensi “Credentials Disclosure Check” berstatus UNKNOWN. Analisis SAST dengan SonarQube mengidentifikasi total 23 kerentanan kode (Tinggi, Sedang, Rendah).
Kesimpulan: Seluruh kerentanan berhasil direduksi dan dieliminasi setelah implementasi perbaikan kode. Pemindaian ulang menunjukkan VA reNgine berstatus “Closed” dan SAST SonarQube melaporkan semua 23 kerentanan kode telah “Fixed”. Pendekatan DevSecOps dan tujuan SSDLC untuk deteksi dini serta mitigasi kelemahan keamanan pada aplikasi web telah tercapai.