代理源代码存放试用免费咨询「多面魔方」

商业化源代码审计工具对比

近年来，大部分安全问题来自于应用层安全，应用层的安全问题主要由软件源代码中的安全缺陷所导致。有关源代码安全的研究越来越多，源代码安全成为了解决信息安全问题的一个重要方向，也是信息安全中的一个新兴领域。

在开发阶段引入代码检测解决安全问题的思路开始被很多企业所认可。源代码检测属于程序分析领域，需要具有相关领域的技术储备，很多传统的安全厂商都没有相关的商业化技术产品。网上有很多开源的审计工具，但检测能力、检测精度较差，本文结合多年对源代码检测产品的了解，介绍三款较为成熟的商业化源代码检测产品。

Fortify Software公司是一家总部位于美国硅谷，致力于提供应用软件安全开发工具和管理方案的厂商。Fortify为应用软件开发组织、安全审计人员和应用安全管理人员提供工具并确立佳的应用软件安全实践和策略，帮助他们在软件开发生命周期中花少的时间和成本去识别和修复软件源代码中的安全隐患。

Checkmarx 是以色列的一家高科技软件公司。它的产品CheckmarxCxSuite专门设计为识别、跟踪和修复软件源代码上的技术和逻辑方面的安全风险。了以查询语言定位代码安全问题，其采用的词汇分析技术和CxQL查询技术来扫描和分析源代码中的安全漏洞和弱点。

360代码卫士是360企业安全集团基于多年源代码安全实践经验推出的新一代源代码安全检测解决方案，包括源代码缺陷检测、合规检测、溯源检测三大检测功能，同时360代码卫士还可实现软件安全开发生命周期管理，与企业已有代码版本管理系统、缺陷管理系统、构建工具等无缝对接，将源代码检测融入企业开发流程，实现软件源代码安全目标管理、自动化检测、差距分析、Bug修复等功能，帮助企业以小代价建立代码安全保障体系并落地实施，构筑信息系统的“内建安全”。

银行应用代码审计方案

银行是网络攻击的主要目标，企业也将信息安全作为其的关注点之一。近年来，银行系统的安全事件不绝于耳。导致这些攻击事件的主要根源是由于应用程序自身的漏洞，因此保障应用安全成了当前银行业信息安全的工作重点。

银行面临的应用安全问题主要有以下几个方面：

1、 应用数量庞大，实现全部安全测试并实时监控的难度很大。

要想实现对所有的应用进行详尽的安全测试，并在其版本更新时立即进行回归测试，无论是人工测试还是利用传统渗透测试工具及静态代码扫描工具都无法很好的达到目的。人工的方式太耗费人力。渗透测试工具依赖于人，且对于很多测试路径无法达到。静态工具误报率高，扫描的效率低下。

2、 为了快速应对需求变更，金融行业软件大量使用敏捷开发的模型，这使得安全代码审核的工作量加大。

敏捷开发的模型的特点是快速迭代，频繁的版本发布加大的安全代码审核的工作量，人工审核的方式已无法全部覆盖到。

3、 有大量项目是外包开发，其安全质量无法把控。

外包团队往往只注重对功能需求的完成，而不太顾及代码质量与安全问题。 企业没有很好的方法在过程中加强安全质理的管理。

对外包团开发的代码进行安全审计是银行保障应用安全的关键活动。SECZONE经过多年的安全服务的积累，对于银行外包代码安全审计形成了包括培训、S-SDLC流程、IAST技术组成的成熟解决方案。

1、应用安全培训

2、S-SDLC软件安全开发生命周期流程

3、利用IAST工具进行源码审核

4、兼容敏捷开发模式

5、实现对外包团队开发质量的控制

金融行业用户源代码安全审计服务

案例背景

某银行内部软件多数由外包公司开发，存在开发人员水平参次不齐，安全意识薄弱，软件安全方面投入不足等问题，以及该银行相对单一的安全测试方法和管理人员缺乏对软件安全等级的验证能力，因此在程序源码层面依旧存在大量安全问题。

针对用户需求，通过源代码安全审计服务，挖掘应用系统隐蔽漏洞，并提出解决方案，以保证用户系统安全。

服务流程

对用户实施的源代码安全审计服务流程分为准备阶段、熟悉阶段、分析审核阶段和总结报告阶段。

?准备阶段

签署保密协议、调研基本情况、熟悉代码和搭建审计环境。

?熟悉阶段

熟悉系统整体架构和各个业务流程等。

?分析审核阶段

工具辅助检测、人工分析、静态分析、动态分析、综合分析和人工验证。

?总结报告阶段

发现并确认风险后，对风险进行分析和编写代码审计报告，包括漏洞名称、漏洞级别、漏洞数量、问题文件、审计过程、风险分析和修复建议。