Análise estática de código com Sonarqube: avaliação da efetividade na detecção de vulnerabilidades

Abstract

A crescente complexidade dos sistemas e o aumento das ameaças digitais exigem maior atenção à segurança no desenvolvimento de software. Neste contexto, este trabalho analisa a efetividade da ferramenta SonarQube na identificação de vulnerabilidades em código-fonte por meio da Análise Estática de Código (SAST - Static Application Security Testing). A pesquisa parte de uma revisão bibliográfica sobre segurança no ciclo de desenvolvimento e ferramentas SAST, seguida da aplicação prática do SonarQube em repositórios de código, utilizando o OWASP Benchmark como base de testes. A análise contempla a categorização dos alertas emitidos e a avaliação de sua relevância, permitindo propor recomendações para o uso eficaz da ferramenta em ambientes ágeis. Os resultados esperados incluem a identificação dos principais tipos de vulnerabilidades detectadas, as limitações do SonarQube e sugestões para sua integração ao ciclo de desenvolvimento seguro.

The growing complexity of software systems and the increase in digital threats demand greater attention to security in software development. In this context, this study analyzes the effectiveness of the SonarQube tool in identifying source code vulnerabilities through Static Application Security Testing (SAST). The research begins with a literature review on secure development practices and SAST tools, followed by a practical application of SonarQube in code repositories, using the OWASP Benchmark as the test base. The analysis includes the categorization of alerts issued and the assessment of their relevance, allowing for recommendations for the effective use of the tool in agile environments. Expected results include the identification of the main types of vulnerabilities detected, the tool's limitations, and suggestions for its integration into the secure software development lifecycle.