提供代码审计系统信息推荐「在线咨询」

代码审计——四款主流的源代码扫描工具简介

工欲善其事，必先利其器。

在源代码的静态安全审计中，使用自动化工具代替人工漏洞挖掘，可以显著提高审计工作的效率。学会利用自动化代码审计工具，是每一个代码审计人员必备的能力。在学习PHP源代码审计的过程中，本人搜集使用了多款自动化工具。本文将简要介绍其中三款比较实用的工具：

Fortify SCA（Static Code Analyzer）是由Fortify软件公司（已被惠普收购）开发的一款商业版源代码审计工具。它使用的数据流分析技术，跨层跨语言地分析代码的漏洞产生，目前支持所有的主流开发语言。Fortify SCA是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态分析，分析的过程中与它特有的软件安全漏洞规则进行地匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并给于整理报告。

Checkmarx的CxEnterprise静态源代码安全漏洞扫描和管理方案是一款比较的、综合的源代码安全扫描和管理方案，该方案提供用户、角色和团队管理、权限管理、扫描结果管理、扫描调度和自动化管理、扫描资源管理、查询规则管理、扫描策略管理、更新管理、报表管理等多种企业环境下实施源代码安全扫描和管理功能。

VeraCode静态源代码扫描分析服务平台是商业运营好的平台，数千家 软件科技公司都在使用其服务发现软件安全漏洞、质量缺陷。

哪些公司提供代码审计服务？

代码审计服务是基于攻防态势剧烈变化，多年漏洞分析经验推出的安全服务。它背靠成熟商业产品，结合漏洞库，通过??以及代码审计?具，对WEB、APP源码进?白盒审计，安全分析，帮助客户及时发现代码中存在的安全问题并提供安全修复建议。

代码审计服务将依据安全编程规范，通过??以及代码审计?具，对WEB、APP源码从结构、脆弱性以及缺陷等方面进行审查，重复挖掘当前代码中存在的安全缺陷以及规范性缺陷，并提供安全修复建议。

严格的信息控制： 我们的代码审计服务团队成员对有着严格的信息控制手段及安全保密意识培训，保证客户敏感信息的安全性和保密性。

怎么做代码安全审计

      首先客户提出代码安全审计要求，内容包括测试范围和时间，在提交《代码审计申请》与源代码时，附带《免责声明》一起给客户，客户收到申请与免责声明之后，确认审计范围与时间无误之后。客户提交给项目接口人，接口人进行工作量台账记录，然后由项目负责人进行工作安排，开始编写代码审计方案，经过客户方面认可代码审计方案后，开始实施代码审计工作，在审计过程中通过代码审计设备进行详细审计记录，通过信息收集、漏洞分析和成果整理编写出《代码审计报告》，并提交给客户，并协助完成漏洞修复。

      在漏洞修复工作之后，项目组进行代码审计复测，并输出《代码审计复测报告》，在客户方确认之后，单个系统代码审计工作完成。

手工代码审计的优缺点

优点

? 能够深入研究代码路径，检查设计和体系结构中的逻辑错误和缺陷，大多数自动化工具都无法找到这些错误和缺陷

? 与一些自动化工具相比，手动检测授权、身份验证和数据验证等安全问题的效果更好

? 对于值的应用程序，总是有额外的利用空间(需要经过培训的)

? 查看其他人的代码是共享安全代码和AppSec知识的好方法

缺点

? 要求精通应用程序中使用的语言和框架，并需要对安全性有深入的理解

? 不同的评审人员将生成不同的报告，从而导致评审人员之间的结果不一致——尽管同行评审可以是一个修复方法

? 测试和编写报告是及时的，并且经常需要开发人员参加有时很长时间的访谈会议，以便为审查人员提供上下文，这消耗了开发人员的时间和资源

? 对代码行数超过10-15k的应用程序的手动审查于针对高风险功能