Semgrep

Semgrep, Inc. (anteriormente r2c ^{[ 3 ]} ) es una empresa de ciberseguridad con sede en San Francisco . La empresa desarrolla la plataforma Semgrep AppSec , una oferta comercial para SAST , SCA y escaneo de secretos, y mantiene la herramienta de análisis de código estático de código abierto semgrep , que admite más de 30 lenguajes de programación. ^{[ 4 ]}

El nombre es una combinación de semántico y grep , lo que hace referencia a que semgrep es una utilidad de búsqueda de texto que conoce la semántica del código fuente. ^{[ 5 ]}

Semgrep, Inc. proporciona un servicio de integración continua (Semgrep CI), herramientas para escribir reglas (Semgrep Playground) y una biblioteca de reglas (Semgrep Registry) de forma gratuita tanto para usuarios comerciales como de código abierto. ^{[ 6 ]}

Las reglas de Semgrep suelen escribirse en YAML . Se pueden bifurcar y personalizar para adaptarlas al código fuente del usuario; sin embargo, solo los usuarios comerciales pueden personalizar las reglas comerciales. Todos los usuarios pueden bifurcar y modificar las reglas de código abierto (comunitarias). ^{[ 7 ]}

Semgrep se basó en sgrep, una parte de código abierto de pfff, una biblioteca de análisis de programas desarrollada en Facebook en 2009. Pfff se inspiró en Coccinelle , una utilidad de código abierto para programas escritos en C. Yoann Padioleau, el autor original de sgrepy un colaborador de Coccinelle, se unió a r2c en 2019. ^{[ 8 ] [ 9 ] [ 10 ]}sgrep fue bifurcado de pfff por r2c, y en 2020 la sgrepbifurcación fue renombrada semgreppara evitar colisiones de nombres con proyectos existentes. ^{[ 11 ] [ 12 ] [ 13 ]}

Redpoint Ventures y Sequoia Capital respaldaron a r2c en una ronda semilla no anunciada y posteriormente financiaron una ronda Serie A de 13 millones de dólares en 2020. En ese momento, la cartera de productos de la empresa consistía únicamente en Semgrep OSS y su ecosistema. ^{[ 14 ] [ 15 ]}

Semgrep, Inc. anunció en 2023 que había recaudado 53 millones de dólares en una ronda de financiación Serie C liderada por Lightspeed Venture Partners y con la participación de inversores anteriores como Felicis Ventures , Redpoint Ventures y Sequoia Capital. La compañía ha recaudado un total de 93 millones de dólares, incluyendo su financiación Serie C. ^{[ 3 ]}

El Open Web Application Security Project ( OWASP ) incluyó a Semgrep en su lista de herramientas de análisis de código fuente. ^{[ 16 ]} A abril de 2023, Semgrep tenía 132 colaboradores y más de 9000 estrellas en GitHub . ^{[ 17 ]} Desde Docker Hub, la imagen de Docker se ha descargado más de 60 millones de veces. ^{[ 18 ]}

Semgrep se puede instalar con Homebrew ^{[ 19 ]} o pip ^{[ 20 ]} . Además, se puede ejecutar sin instalación en Docker . El análisis se puede realizar sin necesidad de configuración personalizada, utilizando conjuntos de reglas creados por Semgrep Inc. y colaboradores de código abierto. La herramienta también permite a los usuarios escribir sus propios patrones y reglas a través de la CLI utilizando un lenguaje de patrones exclusivo de semgrep. También están disponibles un editor de reglas en línea gratuito y un tutorial ^{[ 21 ] [ 22 ] .}

• Lista de herramientas para el análisis estático de código

• Sitio web oficial de Semgrep, Inc.
• Semgrep en GitHub
• Pfff en GitHub
• Artículo de Medium sobre Semgrep escrito por Isaac Evans, CEO de r2c.