企业等级: | 普通会员 |
经营模式: | 商业服务 |
所在地区: | 北京 北京市 |
联系卖家: | 刘斌 先生 |
手机号码: | 18511298320 |
公司官网: | bjdmmf.tz1288.com |
公司地址: | 北京市海淀区上地信息路11号彩虹大厦北楼西段205室 |
发布时间:2021-11-17 09:03:00 作者:多面魔方
什么是代码审计?常见的自动化代码审计工具有哪些?
自从人类发明了工具开始,人类就在不断为探索如何更方便快捷的做任何事情,在科技发展的过程中,人类不断地试错,不断地思考,于是才有了现代伟大的科技时代。在安全领域里,每个安全研究人员在研究的过程中,也同样的不断地探索着如何能够自动化的解决各个领域的安全问题。其中自动化代码审计就是安全自动化绕不过去的坎。
这一次我们就一起聊聊自动化代码审计的发展史,也顺便聊聊如何完成一个自动化静态代码审计的关键。自动化代码审计在聊自动化代码审计工具之前,首先我们必须要清楚两个概念,漏报率和误报率。
- 漏报率是指没有发现的漏洞/Bug
- 误报率是指发现了错误的漏洞/Bug
在评价下面的所有自动化代码审计工具/思路/概念时,所有的评价标准都离不开这两个词,如何消除这两点或是其中之一也正是自动化代码审计发展的关键点。
我们可以简单的把自动化代码审计(这里我们讨论的是白盒)分为两类,一类是动态代码审计工具,另一类是静态代码审计工具。
怎么做代码安全审计
首先客户提出代码安全审计要求,内容包括测试范围和时间,在提交《代码审计申请》与源代码时,附带《免责声明》一起给客户,客户收到申请与免责声明之后,确认审计范围与时间无误之后。客户提交给项目接口人,接口人进行工作量台账记录,然后由项目负责人进行工作安排,开始编写代码审计方案,经过客户方面认可代码审计方案后,开始实施代码审计工作,在审计过程中通过代码审计设备进行详细审计记录,通过信息收集、漏洞分析和成果整理编写出《代码审计报告》,并提交给客户,并协助完成漏洞修复。
在漏洞修复工作之后,项目组进行代码审计复测,并输出《代码审计复测报告》,在客户方确认之后,单个系统代码审计工作完成。
软件开发所面临的安全问题
1、代码与架构复杂
几十万、几百万行代码、一个业务分几十个模块几十个代码仓库家常便饭;开发语言多种多样,各种自研框架、流行框架应接不暇、架构还非常复杂。
以上两个问题对审计人员、SAST工具来说无疑都是很大的挑战。
2、工具准召率
没有工具是所谓银弹,规则、插件准召率很低,需要根据开发语言、编码风格自定义;工具对逻辑漏洞的无力,与业务逻辑漏洞大量曝光的漏洞态势之间的矛盾,工具、系统的运营也需要专门人力投入,从而不断提高工具的准召率。
3、心态
审计人员出于KPI的考虑,想着既然花了很长时间做了代码审计,为了体现工作量就必须说点什么,如果系统本来没有问题却在那挑刺,会更加不信任你。对于甲方代码审计人员,审计任务多、代码庞大是常态,如果不考虑后果的只提高速度,这种方式会遗漏掉细节,导致不能的审查。
免责声明:以上信息由会员自行提供,内容的真实性、准确性和合法性由发布会员负责,天助网对此不承担任何责任。天助网不涉及用户间因交易而产生的法律关系及法律纠纷, 纠纷由您自行协商解决。
风险提醒:本网站仅作为用户寻找交易对象,就货物和服务的交易进行协商,以及获取各类与贸易相关的服务信息的平台。为避免产生购买风险,建议您在购买相关产品前务必 确认供应商资质及产品质量。过低的价格、夸张的描述、私人银行账户等都有可能是虚假信息,请采购商谨慎对待,谨防欺诈,对于任何付款行为请您慎重抉择!如您遇到欺诈 等不诚信行为,请您立即与天助网联系,如查证属实,天助网会对该企业商铺做注销处理,但天助网不对您因此造成的损失承担责任!
联系:tousu@tz1288.com是处理侵权投诉的专用邮箱,在您的合法权益受到侵害时,欢迎您向该邮箱发送邮件,我们会在3个工作日内给您答复,感谢您对我们的关注与支持!