搜索中心

分类

全部

产品

厂商

领域

文章

关联搜索

开源

SAST

静态应用程序安全测试

SDL

开发安全

文章

Google 是如何落地静态代码分析的

RedTeam

本篇文章为我在读 Google 落地静态代码分析的 Paper 时做的笔记，以及一些我自己的观点，主要聊一聊甲方安全建设中落地静态代码分析平台的一些痛点，以及相应的解决方案。

54人阅读

2024-07-13

文章

SDL 19/100问：如何选择静态代码扫描(SAST)工具？

我的安全视界观

静态代码分析的工具非常多，有开源或商业的，有国内、外之分，有基于关键字正则匹配、或AST语义分析、亦或IR/CFG的代码分析。不过从甲方安全建设的视角来看，首要考虑成本和效果，故提供以下几点建议： 1、根据公司技术栈选择工具，具体来说就是看主流开发语言，因为有的工具确实会对某个语言支持得更好，表现在高检出率（POC时尽量不要用知名漏洞靶场）； 2、破解版的SAST商业工具很少，但在国内却广泛传播着国外的某个破解工具，目前来看还有小范围更新规则库，个人研究或缺少预算的可以看看。但针对该情况，更推荐使用开源工具（不主张企业级用破解版，会带来麻烦）； 3、从检测效果来看，正则关键匹配方式明显是误报最高的，但在有的场景中比较好用，比如数据流中断、想要快速检出具体的某一类漏洞.时..故不应考虑技术是否先进，不要指望一个工具能解决所有问题。在工具链建设时，可以先主、然后不断的丰富不同原理但又能扫出漏洞的工具。总的来说，要做好代码安全扫描，无论选择怎样的工具都会有一个前提：企业配备具备代码审计的人员，持续做开发安全运营。附静态代码分析工具大全（国外与开源版）：https://owasp.org/www-community/Source_Code_Analysis_Tools 更多软件安全内容，可以访问： 1、<a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485635&idx=1&sn=d1f3c10665061d46ee3042a932c32af5&chksm=eb6c2abbdc1ba3adc13596ff1174f5431e597f851cd4560e31daa7aa256e39aecca1c0f9c2a0&scene=142#wechat_redirect" target="_blank">SDL100问：我与SDL的故事</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485702&idx=1&sn=cdb42998335935cce5513a731f2969e6&chksm=eb6c2b7edc1ba268d2847e2083231fe5f964efea2ab8c7d0ffb16d081683c79dda8529682693&token=1925672008&lang=zh_CN&scene=142#wechat_redirect" target="_blank">SDL与DevSecOps有何异同？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485711&idx=1&sn=79e9ebca9eae85d4d4cb6fcf6639fcf5&chksm=eb6c2b77dc1ba2616e6adf76413422781c666d6a9f2cf734fb7097b791c5ddd2762ef4673547&scene=142#wechat_redirect" target="_blank">如何在不同企业实施SDL？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485724&idx=1&sn=1d9fedf471d58919a2b0ddf99d10c9d0&chksm=eb6c2b64dc1ba2721a4cdcaee3036ed61dab0c91f97e794a6ed5a59b3be74872a233ed0eaf45&scene=142#wechat_redirect" target="_blank">SAST误报太高，如何解决？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485759&idx=1&sn=a362896234e1d0e7403befd9c2312567&chksm=eb6c2b47dc1ba2515c97c887e6b7ee6119c1d26e6ba9aad4eace374350f68c3566c1db005d03&scene=142#wechat_redirect" target="_blank">SDL需要哪些人参与？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485772&idx=1&sn=37a833b95317746945bb08e3940d07ff&chksm=eb6c2b34dc1ba22200369c45c0e871cd708c86810da3b64c09e7c8c4ca39fedc4fefa7631ad3&scene=142#wechat_redirect" target="_blank">在devops中做开发安全，会遇到哪些问题？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485785&idx=1&sn=091cdd44050411ad490e95222221e3d8&chksm=eb6c2b21dc1ba2373c3f566a9500661bec26d4b805e5614cb4f726a4876e139014cb13c65abe&scene=142#wechat_redirect" target="_blank">如何实施安全需求？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485798&idx=1&sn=e7d01d58260deb4ea5f59f83227cf33e&chksm=eb6c2b1edc1ba20816d5738533156096cb6c8872924cba3dce37003af24e8228fd87365dff35&scene=142#wechat_redirect" target="_blank">安全需求，有哪些来源？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485811&idx=1&sn=73876a6b1c669c165657e3af62e0f10a&chksm=eb6c2b0bdc1ba21dbde4074b1c8c24223eab3a7a546fd2301fbfa7a2385bb2db682eaa3555b6&scene=142#wechat_redirect" target="_blank">安全需求怎么实现自动化？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485824&idx=1&sn=667824a4531a35cd67ce2f8d6581f81d&chksm=eb6c2bf8dc1ba2eed4251327b82c27d36eac17b338bb7240fe23bdaa66daf1e7823d8a331a7a&scene=142#wechat_redirect" target="_blank">实施安全需求，会遇到哪些难题？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485837&idx=1&sn=8b4f4c703994290e23feb0253b8da090&chksm=eb6c2bf5dc1ba2e3686c75ffe5d278ce534ff037401411662dda783344579497ac2d9745466b&scene=142#wechat_redirect" target="_blank">安全需求和安全设计有何异同及关联？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485850&idx=1&sn=21ed85d46c64552edfb2ca8da44b3c83&chksm=eb6c2be2dc1ba2f4ca6a95dd3dbc7bb916e9cbaba5d3f41b5eb470f4bcc5497db568bbdbe5cc&scene=142#wechat_redirect" target="_blank">设计阶段应开展哪些安全活动？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485863&idx=1&sn=329eba45ab509e199463e371b1e99fcf&chksm=eb6c2bdfdc1ba2c97e40ee5d0b81df82469b5bf5ca1825de47dc9dc8acee2a4a7e8841fc7257&scene=142#wechat_redirect" target="_blank">有哪些不错的安全设计参考资料？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485876&idx=1&sn=2feca1c97cf0a17188fd2c4970859caf&chksm=eb6c2bccdc1ba2da049b0488bc3d7993b9c96e3f8f5d7f77c4db7b34cff257f134477697b854&scene=142#wechat_redirect" target="_blank">安全设计要求怎么做才能落地？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485889&idx=1&sn=0c983d68ba83d646e9470f5d8669f48a&chksm=eb6c2bb9dc1ba2af6cdae9da58937fa0d4b6ee43872893ad329681666b2b046fd2d6df455f0e&scene=142#wechat_redirect" target="_blank">有哪些威胁建模方法论？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485902&idx=1&sn=ad38f91a016b55c4a2312f18524b635c&chksm=eb6c2bb6dc1ba2a03c0fb89c42ff82fb6f0046b4e0ecb394e6d2e0f963aa9f9af70b4f203099&scene=142#wechat_redirect" target="_blank">有哪些威胁建模工具？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485970&idx=1&sn=2f2ab597d88d48dd8b1af97bb5f61e53&chksm=eb6c286adc1ba17cddfd1661276af76a47a0f99b66fa115f21b1f1771e1efe0546fe8b9f188d&scene=142#wechat_redirect" target="_blank">如何开始或实施威胁建模？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485987&idx=1&sn=1f818f82c931939ef1046ef10520901c&chksm=eb6c285bdc1ba14d794b8de02c7ced703fddd72e62c9833b35472f7282a5646339243fd79d7d&scene=142#wechat_redirect" target="_blank">威胁建模和架构安全评审，有何异同？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486000&idx=1&sn=b564e99bb7903a7514c2fb59be6cd8ba&chksm=eb6c2848dc1ba15ece91485d3391d2e2a3510124cece348daba4afa6f501ec9bdd0daf84a7e4&scene=142#wechat_redirect" target="_blank">SDL 18/100问：编码阶段，开展哪些安全活动？</a> 2、SDL最初实践系列 <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484219&idx=1&sn=6ff469339838922b9010463eca27dce1&chksm=eb6c2143dc1ba855a37525e4314805aededef6ff045a222b10e2111326ee88d742a4919d6a2c&scene=142#wechat_redirect" target="_blank">开篇</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484307&idx=1&sn=3758ef809f9a456d7ed83a2954487f5b&chksm=eb6c21ebdc1ba8fd8888ccf93043b0abc5107b0a96671419bbc8b3795260feded5292248338e&scene=142#wechat_redirect" target="_blank">安全需求</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484328&idx=1&sn=bba34270246d8e01eb1f54e4a0605d00&chksm=eb6c21d0dc1ba8c67dc82bba63cd9207e91c47afafc3099a478b638ffb7ea3a913b0b7be27ec&scene=142#wechat_redirect" target="_blank">安全设计</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484341&idx=1&sn=f08a2bcbacb518e93d24d01e1386090b&chksm=eb6c21cddc1ba8db160ac24824ffcdaf46e383ea3c482191961c7176239e6ccdd9833069a295&scene=142#wechat_redirect" target="_blank">安全开发</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484366&idx=1&sn=72cc4c6bcc5dde0b234cf5a2693d3970&chksm=eb6c21b6dc1ba8a0fa8640a1bc3a977cab84c4f50835b8b448ee9e3c0b1dc6d85ba256b46ce2&scene=142#wechat_redirect" target="_blank">安全测试</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484379&idx=1&sn=dda07183bd693fe2ed53990099e79a22&chksm=eb6c21a3dc1ba8b5ef572e80a8a0a9bc22447a77b2d6b88094f2b91a87e09a179a84db05da19&scene=142#wechat_redirect" target="_blank">安全审核</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484395&idx=1&sn=06b35e000af7a55b2a9580bb192316c1&chksm=eb6c2193dc1ba885630fdecfd278b6c8bf3e90027533e1c3748d90b3d5c0cbbf5d6be2d9c0fa&scene=142#wechat_redirect" target="_blank">安全响应</a>

49人阅读

2024-07-13

文章

SDL 25/100问：应该如何选型代码安全扫描工具？

我的安全视界观

一般在做选型时，我通常会以最终要实现的目标来分析，然后再结合一些行业规范及最佳实践，整合起来便能找到恰当的参考要素。故，可从检出效果和便利性角度出发： 1、检测效果：      1）漏洞检出率：应能够覆盖尽可能多的开发语言，能扫描出尽可能多的漏洞类型和数量；      2）代码扫描速度：快速的扫描有助于提高开发效率，减少等待时间，更容易嵌入开发流程；      3）自定义规则支持情况：应支持自定义安全规则，以适应特定业务场景和安全需求，如加白和调优； 2、使用便利性：    1）集成性：应具备与其他开发工具（如CI/CD管道）的集成能力；    2）自动化能力：应支持触发自动化扫描，减少人为干预，提高扫描效率。至于其他相近的指标，如误报率、漏报率等，也是在关注范围内。不过与检出率紧密相关，从正向指标来看选取检出率即可。此外在做POC时，建议：不要只看工具在一些知名漏洞靶场上的表现，最好结合真实的生产系统进行测试。更多软件安全内容，可以访问： 1、<a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485635&idx=1&sn=d1f3c10665061d46ee3042a932c32af5&chksm=eb6c2abbdc1ba3adc13596ff1174f5431e597f851cd4560e31daa7aa256e39aecca1c0f9c2a0&scene=142#wechat_redirect" target="_blank">SDL100问：我与SDL的故事</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485702&idx=1&sn=cdb42998335935cce5513a731f2969e6&chksm=eb6c2b7edc1ba268d2847e2083231fe5f964efea2ab8c7d0ffb16d081683c79dda8529682693&token=1925672008&lang=zh_CN&scene=142#wechat_redirect" target="_blank">SDL与DevSecOps有何异同？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485711&idx=1&sn=79e9ebca9eae85d4d4cb6fcf6639fcf5&chksm=eb6c2b77dc1ba2616e6adf76413422781c666d6a9f2cf734fb7097b791c5ddd2762ef4673547&scene=142#wechat_redirect" target="_blank">如何在不同企业实施SDL？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485724&idx=1&sn=1d9fedf471d58919a2b0ddf99d10c9d0&chksm=eb6c2b64dc1ba2721a4cdcaee3036ed61dab0c91f97e794a6ed5a59b3be74872a233ed0eaf45&scene=142#wechat_redirect" target="_blank">SAST误报太高，如何解决？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485759&idx=1&sn=a362896234e1d0e7403befd9c2312567&chksm=eb6c2b47dc1ba2515c97c887e6b7ee6119c1d26e6ba9aad4eace374350f68c3566c1db005d03&scene=142#wechat_redirect" target="_blank">SDL需要哪些人参与？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485772&idx=1&sn=37a833b95317746945bb08e3940d07ff&chksm=eb6c2b34dc1ba22200369c45c0e871cd708c86810da3b64c09e7c8c4ca39fedc4fefa7631ad3&scene=142#wechat_redirect" target="_blank">在devops中做开发安全，会遇到哪些问题？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485785&idx=1&sn=091cdd44050411ad490e95222221e3d8&chksm=eb6c2b21dc1ba2373c3f566a9500661bec26d4b805e5614cb4f726a4876e139014cb13c65abe&scene=142#wechat_redirect" target="_blank">如何实施安全需求？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485798&idx=1&sn=e7d01d58260deb4ea5f59f83227cf33e&chksm=eb6c2b1edc1ba20816d5738533156096cb6c8872924cba3dce37003af24e8228fd87365dff35&scene=142#wechat_redirect" target="_blank">安全需求，有哪些来源？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485811&idx=1&sn=73876a6b1c669c165657e3af62e0f10a&chksm=eb6c2b0bdc1ba21dbde4074b1c8c24223eab3a7a546fd2301fbfa7a2385bb2db682eaa3555b6&scene=142#wechat_redirect" target="_blank">安全需求怎么实现自动化？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485824&idx=1&sn=667824a4531a35cd67ce2f8d6581f81d&chksm=eb6c2bf8dc1ba2eed4251327b82c27d36eac17b338bb7240fe23bdaa66daf1e7823d8a331a7a&scene=142#wechat_redirect" target="_blank">实施安全需求，会遇到哪些难题？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485837&idx=1&sn=8b4f4c703994290e23feb0253b8da090&chksm=eb6c2bf5dc1ba2e3686c75ffe5d278ce534ff037401411662dda783344579497ac2d9745466b&scene=142#wechat_redirect" target="_blank">安全需求和安全设计有何异同及关联？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485850&idx=1&sn=21ed85d46c64552edfb2ca8da44b3c83&chksm=eb6c2be2dc1ba2f4ca6a95dd3dbc7bb916e9cbaba5d3f41b5eb470f4bcc5497db568bbdbe5cc&scene=142#wechat_redirect" target="_blank">设计阶段应开展哪些安全活动？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485863&idx=1&sn=329eba45ab509e199463e371b1e99fcf&chksm=eb6c2bdfdc1ba2c97e40ee5d0b81df82469b5bf5ca1825de47dc9dc8acee2a4a7e8841fc7257&scene=142#wechat_redirect" target="_blank">有哪些不错的安全设计参考资料？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485876&idx=1&sn=2feca1c97cf0a17188fd2c4970859caf&chksm=eb6c2bccdc1ba2da049b0488bc3d7993b9c96e3f8f5d7f77c4db7b34cff257f134477697b854&scene=142#wechat_redirect" target="_blank">安全设计要求怎么做才能落地？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485889&idx=1&sn=0c983d68ba83d646e9470f5d8669f48a&chksm=eb6c2bb9dc1ba2af6cdae9da58937fa0d4b6ee43872893ad329681666b2b046fd2d6df455f0e&scene=142#wechat_redirect" target="_blank">有哪些威胁建模方法论？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485902&idx=1&sn=ad38f91a016b55c4a2312f18524b635c&chksm=eb6c2bb6dc1ba2a03c0fb89c42ff82fb6f0046b4e0ecb394e6d2e0f963aa9f9af70b4f203099&scene=142#wechat_redirect" target="_blank">有哪些威胁建模工具？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485970&idx=1&sn=2f2ab597d88d48dd8b1af97bb5f61e53&chksm=eb6c286adc1ba17cddfd1661276af76a47a0f99b66fa115f21b1f1771e1efe0546fe8b9f188d&scene=142#wechat_redirect" target="_blank">如何开始或实施威胁建模？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485987&idx=1&sn=1f818f82c931939ef1046ef10520901c&chksm=eb6c285bdc1ba14d794b8de02c7ced703fddd72e62c9833b35472f7282a5646339243fd79d7d&scene=142#wechat_redirect" target="_blank">威胁建模和架构安全评审，有何异同？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486000&idx=1&sn=b564e99bb7903a7514c2fb59be6cd8ba&chksm=eb6c2848dc1ba15ece91485d3391d2e2a3510124cece348daba4afa6f501ec9bdd0daf84a7e4&scene=142#wechat_redirect" target="_blank">编码阶段，开展哪些安全活动？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486014&idx=1&sn=71da08d83728aaea6b0a260b47d421f2&chksm=eb6c2846dc1ba150d4132a71d3aac1e084229971272635cb3e86157e005e9d782e64adde4b6c&scene=142#wechat_redirect" target="_blank">如何选择静态代码扫描(SAST)工具？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486027&idx=1&sn=56c44d0631f44fa819ad69fbdd5b9fbe&chksm=eb6c2833dc1ba125a94b17a49b3c1b26a5ac5be916d89423b236eaca4fb4f5ccf6315a21b3a3&scene=142#wechat_redirect" target="_blank">如何选择开源组件安全扫描(SCA)工具？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486052&idx=1&sn=8a6c5238c71029fb1548830a03061bce&chksm=eb6c281cdc1ba10aec66d1bbe1d04c40acf4645a5843eeb4c11dcdc271ae5a7c99b09e1a3cb5&scene=142#wechat_redirect" target="_blank">SCA工具扫描出很多漏洞，如何处理？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486061&idx=1&sn=4fc05467c85c9103b173731c693c4a6b&chksm=eb6c2815dc1ba10305d604b9eb4dd3e202e88cfc5bec9e9fef2ab05f7d780919c3db735b48cf&scene=142#wechat_redirect" target="_blank">SCA工具识别出高风险协议，如何处理？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486074&idx=1&sn=b289bb2b7ca408b722d6c975a8d050f0&chksm=eb6c2802dc1ba114c63bfc39a1758d201bea76a7d42cb3e2df3dee456ad2b235cd3c84ffd3b0&scene=142#wechat_redirect" target="_blank">如何制定一份有用的开发安全规范？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486111&idx=1&sn=ebb527e7bdc7ba1419214c6b68aec305&chksm=eb6c28e7dc1ba1f1bcad05b322330b5f1886222313b82c07d821a8fee4e2f546fb84682e7b9e&scene=142#wechat_redirect" target="_blank">SDL 24/100问：如何做到开发安全规范的有效实施？</a> 2、SDL最初实践系列 <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484219&idx=1&sn=6ff469339838922b9010463eca27dce1&chksm=eb6c2143dc1ba855a37525e4314805aededef6ff045a222b10e2111326ee88d742a4919d6a2c&scene=142#wechat_redirect" target="_blank">开篇</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484307&idx=1&sn=3758ef809f9a456d7ed83a2954487f5b&chksm=eb6c21ebdc1ba8fd8888ccf93043b0abc5107b0a96671419bbc8b3795260feded5292248338e&scene=142#wechat_redirect" target="_blank">安全需求</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484328&idx=1&sn=bba34270246d8e01eb1f54e4a0605d00&chksm=eb6c21d0dc1ba8c67dc82bba63cd9207e91c47afafc3099a478b638ffb7ea3a913b0b7be27ec&scene=142#wechat_redirect" target="_blank">安全设计</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484341&idx=1&sn=f08a2bcbacb518e93d24d01e1386090b&chksm=eb6c21cddc1ba8db160ac24824ffcdaf46e383ea3c482191961c7176239e6ccdd9833069a295&scene=142#wechat_redirect" target="_blank">安全开发</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484366&idx=1&sn=72cc4c6bcc5dde0b234cf5a2693d3970&chksm=eb6c21b6dc1ba8a0fa8640a1bc3a977cab84c4f50835b8b448ee9e3c0b1dc6d85ba256b46ce2&scene=142#wechat_redirect" target="_blank">安全测试</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484379&idx=1&sn=dda07183bd693fe2ed53990099e79a22&chksm=eb6c21a3dc1ba8b5ef572e80a8a0a9bc22447a77b2d6b88094f2b91a87e09a179a84db05da19&scene=142#wechat_redirect" target="_blank">安全审核</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484395&idx=1&sn=06b35e000af7a55b2a9580bb192316c1&chksm=eb6c2193dc1ba885630fdecfd278b6c8bf3e90027533e1c3748d90b3d5c0cbbf5d6be2d9c0fa&scene=142#wechat_redirect" target="_blank">安全响应</a>

51人阅读

2024-07-13

文章

西安电子科技大学 | 利用大语言模型自动检测错误的静态分析报告

安全学术圈

本文为C/C++代码选择了三个具有代表性和知名度的静态分析器，包括Cppcheck、CSA和Infer。

95人阅读

2024-07-13

文章

惊艳过后，谈谈GPT技术在代码安全分析领域的应用前景

腾讯代码安全检查Xcheck

67人阅读

2024-07-13

文章

XCon2024议题||从YakSSA到SyntaxFlow：静态代码分析技术的创新与实践

嘶吼专业版

本议题旨在介绍YakLang.io团队在解决这些难题上取得的突破性成果，特别是YakSSA和SyntaxFlow两项创新技术。

预览

70人阅读

2024-07-27

文章

讲座回顾 | 加州大学河滨分校钱志云教授：静态分析在安全领域的机会与技术

复旦白泽战队

加州大学河滨分校钱志云教授分享安全领域静态分析的技术与问题

64人阅读

2024-07-13

产品

安天融川代码安全检测系统

安天

安天融川代码安全检测系统AntiySCS（Security Code Scan）是安天自主研发的面向软件产品全生命周期的安全开发检测系统。在应用上线前尽可能早地消灭高危漏洞、业务安全风险等在内的安全问题，从源头上避免安全事故。融川是一款全面、高效的代码安全解决产品，融合了软件组件分析（SCA）和静态应用安全测试（SAST）的先进能力。它旨在帮助企业和开发团队发现和修复代码中的安全漏洞、弱点和潜在风险，从而提升软件质量和保护业务安全。替代繁重的人工步骤，在开发阶段及时阻断不安全的组件及源码，从而防止来自软件供应链的污染传播。

#SAST #静态代码安全分析 #静态应用程序安全测试 #SDL #安全开发周期 #SDLC #DevSecOps #开发安全 #安全开发 #SCA #软件成分分析

文章

SDL 18/100问：编码阶段，开展哪些安全活动？

我的安全视界观

纵观软件安全开发周期，编码阶段的安全活动是最好实现技术管控，最容易发现代码中的漏洞，最容易做自动化安全扫描的。经过实践之后，认为可以在该阶段开展： 1、编码安全规范：根据业务开发语言和历史发现的安全问题，量身定制编码安全规范，在SDL的体系文件中定位为三级规范性文件，做到有据可循； 2、编码安全培训：对编码安全规范、安全扫描工具及扫描的结果研判方法进行技术分享，配合考试等方式提升开发人员的安全意识； 3、静态代码扫描：对自研代码进行安全扫描，一般都能实现自动化触发、扫描结果推送到开发邮箱，有的甚至在IDE上开发时就检测漏洞，提醒开发人员及时修复漏洞； 4、开源组件扫描：针对第三方组件（开源或自研），也要进行漏洞扫描和协议合规性分析，同样可以实现自动化触发和扫描，但处理扫出的问题就比较棘手了； 5、引入安全SDK：其实不一定是具体的SDK，有的是改良过的开发框架或库，有的是全局filter，尤其是在技术栈统一的公司更可能落地。在开发编码时，开发人员正确使用安全SDK，从源头解决常见的web漏洞。更多软件安全内容，可以访问： 1、<a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485635&idx=1&sn=d1f3c10665061d46ee3042a932c32af5&chksm=eb6c2abbdc1ba3adc13596ff1174f5431e597f851cd4560e31daa7aa256e39aecca1c0f9c2a0&scene=21#wechat_redirect" target="_blank">SDL100问：我与SDL的故事</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485702&idx=1&sn=cdb42998335935cce5513a731f2969e6&chksm=eb6c2b7edc1ba268d2847e2083231fe5f964efea2ab8c7d0ffb16d081683c79dda8529682693&token=1925672008&lang=zh_CN&scene=21#wechat_redirect" target="_blank">SDL 1/100问：SDL与DevSecOps有何异同？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485711&idx=1&sn=79e9ebca9eae85d4d4cb6fcf6639fcf5&chksm=eb6c2b77dc1ba2616e6adf76413422781c666d6a9f2cf734fb7097b791c5ddd2762ef4673547&scene=21#wechat_redirect" target="_blank">SDL 2/100问：如何在不同企业实施SDL？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485724&idx=1&sn=1d9fedf471d58919a2b0ddf99d10c9d0&chksm=eb6c2b64dc1ba2721a4cdcaee3036ed61dab0c91f97e794a6ed5a59b3be74872a233ed0eaf45&scene=21#wechat_redirect" target="_blank">SDL 3/100问：SAST误报太高，如何解决？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485759&idx=1&sn=a362896234e1d0e7403befd9c2312567&chksm=eb6c2b47dc1ba2515c97c887e6b7ee6119c1d26e6ba9aad4eace374350f68c3566c1db005d03&scene=21#wechat_redirect" target="_blank">SDL 4/100问：SDL需要哪些人参与？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485772&idx=1&sn=37a833b95317746945bb08e3940d07ff&chksm=eb6c2b34dc1ba22200369c45c0e871cd708c86810da3b64c09e7c8c4ca39fedc4fefa7631ad3&scene=21#wechat_redirect" target="_blank">SDL 5/100问：在devops中做开发安全，会遇到哪些问题？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485785&idx=1&sn=091cdd44050411ad490e95222221e3d8&chksm=eb6c2b21dc1ba2373c3f566a9500661bec26d4b805e5614cb4f726a4876e139014cb13c65abe&scene=21#wechat_redirect" target="_blank">SDL 6/100问：如何实施安全需求？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485798&idx=1&sn=e7d01d58260deb4ea5f59f83227cf33e&chksm=eb6c2b1edc1ba20816d5738533156096cb6c8872924cba3dce37003af24e8228fd87365dff35&scene=21#wechat_redirect" target="_blank">SDL 7/100问：安全需求，有哪些来源？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485811&idx=1&sn=73876a6b1c669c165657e3af62e0f10a&chksm=eb6c2b0bdc1ba21dbde4074b1c8c24223eab3a7a546fd2301fbfa7a2385bb2db682eaa3555b6&scene=21#wechat_redirect" target="_blank">SDL 8/100问：安全需求怎么实现自动化？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485824&idx=1&sn=667824a4531a35cd67ce2f8d6581f81d&chksm=eb6c2bf8dc1ba2eed4251327b82c27d36eac17b338bb7240fe23bdaa66daf1e7823d8a331a7a&scene=21#wechat_redirect" target="_blank">SDL 9/100问：实施安全需求，会遇到哪些难题？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485837&idx=1&sn=8b4f4c703994290e23feb0253b8da090&chksm=eb6c2bf5dc1ba2e3686c75ffe5d278ce534ff037401411662dda783344579497ac2d9745466b&scene=21#wechat_redirect" target="_blank">SDL 10/100问：安全需求和安全设计有何异同及关联？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485850&idx=1&sn=21ed85d46c64552edfb2ca8da44b3c83&chksm=eb6c2be2dc1ba2f4ca6a95dd3dbc7bb916e9cbaba5d3f41b5eb470f4bcc5497db568bbdbe5cc&scene=21#wechat_redirect" target="_blank">SDL 11/100问：设计阶段应开展哪些安全活动？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485863&idx=1&sn=329eba45ab509e199463e371b1e99fcf&chksm=eb6c2bdfdc1ba2c97e40ee5d0b81df82469b5bf5ca1825de47dc9dc8acee2a4a7e8841fc7257&scene=21#wechat_redirect" target="_blank">SDL 12/100问：有哪些不错的安全设计参考资料？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485876&idx=1&sn=2feca1c97cf0a17188fd2c4970859caf&chksm=eb6c2bccdc1ba2da049b0488bc3d7993b9c96e3f8f5d7f77c4db7b34cff257f134477697b854&scene=21#wechat_redirect" target="_blank">SDL 13/100问：安全设计要求怎么做才能落地？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485889&idx=1&sn=0c983d68ba83d646e9470f5d8669f48a&chksm=eb6c2bb9dc1ba2af6cdae9da58937fa0d4b6ee43872893ad329681666b2b046fd2d6df455f0e&scene=21#wechat_redirect" target="_blank">SDL 14/100问：有哪些威胁建模方法论？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485902&idx=1&sn=ad38f91a016b55c4a2312f18524b635c&chksm=eb6c2bb6dc1ba2a03c0fb89c42ff82fb6f0046b4e0ecb394e6d2e0f963aa9f9af70b4f203099&scene=21#wechat_redirect" target="_blank">SDL 15/100问：有哪些威胁建模工具？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485970&idx=1&sn=2f2ab597d88d48dd8b1af97bb5f61e53&chksm=eb6c286adc1ba17cddfd1661276af76a47a0f99b66fa115f21b1f1771e1efe0546fe8b9f188d&scene=21#wechat_redirect" target="_blank">SDL 16/100问：如何开始或实施威胁建模？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485987&idx=1&sn=1f818f82c931939ef1046ef10520901c&chksm=eb6c285bdc1ba14d794b8de02c7ced703fddd72e62c9833b35472f7282a5646339243fd79d7d&scene=21#wechat_redirect" target="_blank">SDL 17/100问：威胁建模和架构安全评审，有何异同？</a> 2、SDL最初实践系列 <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484219&idx=1&sn=6ff469339838922b9010463eca27dce1&chksm=eb6c2143dc1ba855a37525e4314805aededef6ff045a222b10e2111326ee88d742a4919d6a2c&scene=21#wechat_redirect" target="_blank">开篇</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484307&idx=1&sn=3758ef809f9a456d7ed83a2954487f5b&chksm=eb6c21ebdc1ba8fd8888ccf93043b0abc5107b0a96671419bbc8b3795260feded5292248338e&scene=21#wechat_redirect" target="_blank">安全需求</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484328&idx=1&sn=bba34270246d8e01eb1f54e4a0605d00&chksm=eb6c21d0dc1ba8c67dc82bba63cd9207e91c47afafc3099a478b638ffb7ea3a913b0b7be27ec&scene=21#wechat_redirect" target="_blank">安全设计</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484341&idx=1&sn=f08a2bcbacb518e93d24d01e1386090b&chksm=eb6c21cddc1ba8db160ac24824ffcdaf46e383ea3c482191961c7176239e6ccdd9833069a295&scene=21#wechat_redirect" target="_blank">安全开发</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484366&idx=1&sn=72cc4c6bcc5dde0b234cf5a2693d3970&chksm=eb6c21b6dc1ba8a0fa8640a1bc3a977cab84c4f50835b8b448ee9e3c0b1dc6d85ba256b46ce2&scene=21#wechat_redirect" target="_blank">安全测试</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484379&idx=1&sn=dda07183bd693fe2ed53990099e79a22&chksm=eb6c21a3dc1ba8b5ef572e80a8a0a9bc22447a77b2d6b88094f2b91a87e09a179a84db05da19&scene=21#wechat_redirect" target="_blank">安全审核</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484395&idx=1&sn=06b35e000af7a55b2a9580bb192316c1&chksm=eb6c2193dc1ba885630fdecfd278b6c8bf3e90027533e1c3748d90b3d5c0cbbf5d6be2d9c0fa&scene=21#wechat_redirect" target="_blank">安全响应</a>

71人阅读

2024-07-13

文章

调用图的构建及其在代码安全扫描中的应用

vivo千镜

本文探讨了函数调用图的构建及其在代码安全检测中的应用，指出调用图能揭示语法树分析无法发现的安全问题，适用于复杂场景的检测。

69人阅读

2024-07-13

文章

论安全人员的代码水平

CT Stack

citrix 官方放了一个 CVE-2019-19781 – Verification Tool，是一个 Python 脚本，链接在 https://support.citrix.com/article/CTX269180。为了方便大家看，我保存一个截图。我看了之后觉得槽点满满，不过也符合我一贯的对安全人员代码水平的印象，下面先简单分析下这段代码。

50人阅读

2022-03-16

文章

SDL 21/100问：SCA工具扫描出很多漏洞，如何处理？

我的安全视界观

曾听到过一些同行说：没有SCA工具的时候倒还好，上了SCA工具后竟然检测出一个项目成百上千、甚至上万个漏洞。乙方又没有可行的解决方案，简直是在领导面前挖了坑。其实我很能理解他们的痛点，他们指：SCA工具厂商和客户，前者可能只有工具检测能力、不具备针对扫描结果的解决方案；后者则是更关注落地、需要合理有效的处理扫描结果至闭环。三年前就正式开始尝试解决这个问题，今天来看还是受限于检测技术的瓶颈，如分析出漏洞调用链进而减少误报（让SCA具备SAST的能力），但终究没能有实质性的突破。与此同时尝试通过人工运营的方式，分析并提取漏洞利用条件，转化为开发视角的语言描述，提供给业务方进行判断，从而发现存在真正风险的漏洞并推修。就强监管的公司而言，可以进行强制要求修复。其他情况，如我司借助重大网络安全保障，在公司内部强推行开源组件扫描与修复工作。在此之前不敢推行SCA，然而现在心里立马有底。原来利用公司重大事件/项目，来推进安全工作是这么给力，SCA可落地且策略依次为：扫出高危就修（强监管）、扫出漏洞存在公开POC就修（互联网）、扫出漏洞存在公开POC且满足利用条件才修（开发强势、安全弱势的情况）。开源组件漏洞的治理也应该左移，统筹公司内部的开源组件库进行统一纳管。但这对于网络环境较为开放的公司而言，是一个漫长的过程及充满挑战的历程。更多软件安全内容，可以访问： 1、<a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485635&idx=1&sn=d1f3c10665061d46ee3042a932c32af5&chksm=eb6c2abbdc1ba3adc13596ff1174f5431e597f851cd4560e31daa7aa256e39aecca1c0f9c2a0&scene=142#wechat_redirect" target="_blank">SDL100问：我与SDL的故事</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485702&idx=1&sn=cdb42998335935cce5513a731f2969e6&chksm=eb6c2b7edc1ba268d2847e2083231fe5f964efea2ab8c7d0ffb16d081683c79dda8529682693&token=1925672008&lang=zh_CN&scene=142#wechat_redirect" target="_blank">SDL与DevSecOps有何异同？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485711&idx=1&sn=79e9ebca9eae85d4d4cb6fcf6639fcf5&chksm=eb6c2b77dc1ba2616e6adf76413422781c666d6a9f2cf734fb7097b791c5ddd2762ef4673547&scene=142#wechat_redirect" target="_blank">如何在不同企业实施SDL？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485724&idx=1&sn=1d9fedf471d58919a2b0ddf99d10c9d0&chksm=eb6c2b64dc1ba2721a4cdcaee3036ed61dab0c91f97e794a6ed5a59b3be74872a233ed0eaf45&scene=142#wechat_redirect" target="_blank">SAST误报太高，如何解决？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485759&idx=1&sn=a362896234e1d0e7403befd9c2312567&chksm=eb6c2b47dc1ba2515c97c887e6b7ee6119c1d26e6ba9aad4eace374350f68c3566c1db005d03&scene=142#wechat_redirect" target="_blank">SDL需要哪些人参与？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485772&idx=1&sn=37a833b95317746945bb08e3940d07ff&chksm=eb6c2b34dc1ba22200369c45c0e871cd708c86810da3b64c09e7c8c4ca39fedc4fefa7631ad3&scene=142#wechat_redirect" target="_blank">在devops中做开发安全，会遇到哪些问题？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485785&idx=1&sn=091cdd44050411ad490e95222221e3d8&chksm=eb6c2b21dc1ba2373c3f566a9500661bec26d4b805e5614cb4f726a4876e139014cb13c65abe&scene=142#wechat_redirect" target="_blank">如何实施安全需求？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485798&idx=1&sn=e7d01d58260deb4ea5f59f83227cf33e&chksm=eb6c2b1edc1ba20816d5738533156096cb6c8872924cba3dce37003af24e8228fd87365dff35&scene=142#wechat_redirect" target="_blank">安全需求，有哪些来源？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485811&idx=1&sn=73876a6b1c669c165657e3af62e0f10a&chksm=eb6c2b0bdc1ba21dbde4074b1c8c24223eab3a7a546fd2301fbfa7a2385bb2db682eaa3555b6&scene=142#wechat_redirect" target="_blank">安全需求怎么实现自动化？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485824&idx=1&sn=667824a4531a35cd67ce2f8d6581f81d&chksm=eb6c2bf8dc1ba2eed4251327b82c27d36eac17b338bb7240fe23bdaa66daf1e7823d8a331a7a&scene=142#wechat_redirect" target="_blank">实施安全需求，会遇到哪些难题？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485837&idx=1&sn=8b4f4c703994290e23feb0253b8da090&chksm=eb6c2bf5dc1ba2e3686c75ffe5d278ce534ff037401411662dda783344579497ac2d9745466b&scene=142#wechat_redirect" target="_blank">安全需求和安全设计有何异同及关联？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485850&idx=1&sn=21ed85d46c64552edfb2ca8da44b3c83&chksm=eb6c2be2dc1ba2f4ca6a95dd3dbc7bb916e9cbaba5d3f41b5eb470f4bcc5497db568bbdbe5cc&scene=142#wechat_redirect" target="_blank">设计阶段应开展哪些安全活动？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485863&idx=1&sn=329eba45ab509e199463e371b1e99fcf&chksm=eb6c2bdfdc1ba2c97e40ee5d0b81df82469b5bf5ca1825de47dc9dc8acee2a4a7e8841fc7257&scene=142#wechat_redirect" target="_blank">有哪些不错的安全设计参考资料？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485876&idx=1&sn=2feca1c97cf0a17188fd2c4970859caf&chksm=eb6c2bccdc1ba2da049b0488bc3d7993b9c96e3f8f5d7f77c4db7b34cff257f134477697b854&scene=142#wechat_redirect" target="_blank">安全设计要求怎么做才能落地？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485889&idx=1&sn=0c983d68ba83d646e9470f5d8669f48a&chksm=eb6c2bb9dc1ba2af6cdae9da58937fa0d4b6ee43872893ad329681666b2b046fd2d6df455f0e&scene=142#wechat_redirect" target="_blank">有哪些威胁建模方法论？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485902&idx=1&sn=ad38f91a016b55c4a2312f18524b635c&chksm=eb6c2bb6dc1ba2a03c0fb89c42ff82fb6f0046b4e0ecb394e6d2e0f963aa9f9af70b4f203099&scene=142#wechat_redirect" target="_blank">有哪些威胁建模工具？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485970&idx=1&sn=2f2ab597d88d48dd8b1af97bb5f61e53&chksm=eb6c286adc1ba17cddfd1661276af76a47a0f99b66fa115f21b1f1771e1efe0546fe8b9f188d&scene=142#wechat_redirect" target="_blank">如何开始或实施威胁建模？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485987&idx=1&sn=1f818f82c931939ef1046ef10520901c&chksm=eb6c285bdc1ba14d794b8de02c7ced703fddd72e62c9833b35472f7282a5646339243fd79d7d&scene=142#wechat_redirect" target="_blank">威胁建模和架构安全评审，有何异同？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486000&idx=1&sn=b564e99bb7903a7514c2fb59be6cd8ba&chksm=eb6c2848dc1ba15ece91485d3391d2e2a3510124cece348daba4afa6f501ec9bdd0daf84a7e4&scene=142#wechat_redirect" target="_blank">编码阶段，开展哪些安全活动？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486014&idx=1&sn=71da08d83728aaea6b0a260b47d421f2&chksm=eb6c2846dc1ba150d4132a71d3aac1e084229971272635cb3e86157e005e9d782e64adde4b6c&scene=142#wechat_redirect" target="_blank">如何选择静态代码扫描(SAST)工具？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486027&idx=1&sn=56c44d0631f44fa819ad69fbdd5b9fbe&chksm=eb6c2833dc1ba125a94b17a49b3c1b26a5ac5be916d89423b236eaca4fb4f5ccf6315a21b3a3&scene=142#wechat_redirect" target="_blank">SDL 20/100问：如何选择开源组件安全扫描(SCA)工具？</a> 2、SDL最初实践系列 <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484219&idx=1&sn=6ff469339838922b9010463eca27dce1&chksm=eb6c2143dc1ba855a37525e4314805aededef6ff045a222b10e2111326ee88d742a4919d6a2c&scene=142#wechat_redirect" target="_blank">开篇</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484307&idx=1&sn=3758ef809f9a456d7ed83a2954487f5b&chksm=eb6c21ebdc1ba8fd8888ccf93043b0abc5107b0a96671419bbc8b3795260feded5292248338e&scene=142#wechat_redirect" target="_blank">安全需求</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484328&idx=1&sn=bba34270246d8e01eb1f54e4a0605d00&chksm=eb6c21d0dc1ba8c67dc82bba63cd9207e91c47afafc3099a478b638ffb7ea3a913b0b7be27ec&scene=142#wechat_redirect" target="_blank">安全设计</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484341&idx=1&sn=f08a2bcbacb518e93d24d01e1386090b&chksm=eb6c21cddc1ba8db160ac24824ffcdaf46e383ea3c482191961c7176239e6ccdd9833069a295&scene=142#wechat_redirect" target="_blank">安全开发</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484366&idx=1&sn=72cc4c6bcc5dde0b234cf5a2693d3970&chksm=eb6c21b6dc1ba8a0fa8640a1bc3a977cab84c4f50835b8b448ee9e3c0b1dc6d85ba256b46ce2&scene=142#wechat_redirect" target="_blank">安全测试</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484379&idx=1&sn=dda07183bd693fe2ed53990099e79a22&chksm=eb6c21a3dc1ba8b5ef572e80a8a0a9bc22447a77b2d6b88094f2b91a87e09a179a84db05da19&scene=142#wechat_redirect" target="_blank">安全审核</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484395&idx=1&sn=06b35e000af7a55b2a9580bb192316c1&chksm=eb6c2193dc1ba885630fdecfd278b6c8bf3e90027533e1c3748d90b3d5c0cbbf5d6be2d9c0fa&scene=142#wechat_redirect" target="_blank">安全响应</a>

67人阅读

2024-07-13

文章

汽车APP产品分析-亿盾加固

矛和盾的故事

代码安全只是表面，核心是帮助客户满足业务不被阻断、关键数据资产不被窃取的安全需求。因为加固自身不创造价值，加固的价值必须和公司业务挂钩，来间接体现。通过安全体系建立为业务服务保障，增加收益与减少了资损率。

51人阅读

2024-07-13

文章

企业级跨应用静态污点分析

58安全应急响应中心

在企业发展过程中，应用数量急剧增加，内部服务之间的调用关系也日益复杂。58在已有单应用静态污点分析能力下进行跨应用污点分析的探索与落地

45人阅读

2024-07-13

文章

一种全新的代码审计技术：SyntaxFlow

Yak Project

我们希望把编译技术带入安全代码分析去分析代码行为，为代码行为分析带来新的机会和可能性

59人阅读

2024-07-13

文章

一种全新的代码审计技术：SyntaxFlow

v1ll4n

我们希望把编译技术带入安全代码分析去分析代码行为，为代码行为分析带来新的机会和可能性

预览

51人阅读

2024-06-14

文章

腾讯代码安全检查Xcheck

Xcheck是一个由腾讯公司CSIG质量部代码安全检查团队自研的静态应用安全测试(SAST，Static application security testing)工具，致力于挖掘代码中隐藏的安全风险，提升代码安全质量。

51人阅读

2024-07-13

产品

代码审计服务

知道创宇

162

帮助企业从安全角度对应用系统的所有逻辑路径进行测试，通过分析源代码，充分挖掘代码中存在的安全缺陷以及规范性缺陷。找到普通安全测试所无法发现的如二次注入、反序列化、xml实体注入等安全漏洞。

#代码审计 #安全服务

文章

CodeQL静态代码扫描之实现关联接口、入参、和危险方法并自动化构造payload及抽象类探究

xsser

预览

95人阅读

2020-08-05

产品

Corax 社区版

蜚语科技

203

Corax社区版是一款针对Java项目的静态代码安全分析工具，其核心分析引擎来自于Corax商业版，具备与Corax商业版一致的底层代码分析能力，并在此基础上配套了专用的开源规则检查器与规则。

#SAST #静态代码安全分析 #静态应用程序安全测试 #SDL #安全开发周期 #SDLC #开源 #免费 #静态代码安全分析

文章

Xcheck 对 Java 工具类代码的分析尝试

腾讯代码安全检查Xcheck

Xcheck能发现log4j2 shell和 spring cloud function RCE这样的漏洞吗？

46人阅读

2024-07-13

文章

用GPT做静态代码扫描实现自动化漏洞挖掘思路分享

小陈的Life

静态代码扫描结合GPT，本文分享了一种利用GPT技术结合静态代码扫描的自动化漏洞挖掘思路，让人工智能工具能够实际应用在生活、工作中。

64人阅读

2024-07-13

文章

探索程序分析：以静态单赋值(SSA)格式为基础的YakSSA

Yak Project

51人阅读

2024-07-13

厂商

墨菲安全

112

墨菲安全提供专业的软件供应链安全管理解决方案，能力包括软件成分分析(SCA)、代码安全检测、开源组件许可证合规管理等，助您打造完备的软件开发安全能力

产品

代码审计服务

华顺信安

111

华顺信安的代码审计服务采用工具扫描与人工分析，深入挖掘源代码中的安全漏洞和编码问题。服务覆盖系统框架、源代码设计、错误处理、对象引用、资源滥用和API调用等方面，通过审计准备、实施、复测和成果汇报等流程，确保代码安全性，满足合规要求和企业安全建设需求。

#代码审计 #安全服务

产品

CORAS

蜚语科技

CORAS 下一代代码安全分析平台

#SDL #安全开发周期 #SDLC #DevSecOps #开发安全 #安全开发 #SAST #静态代码安全分析 #静态应用程序安全测试 #SCA #软件成分分析

产品

安全开发

绿盟科技

绿盟科技应用开发安全生命周期管理服务，以应用开发生命周期的架构为基础，对现有系统开发过程中所涉及到的安全操作进行概括、补充和完善，并将安全设计、安全编码、安全测试以及安全事件响应的传统安全技术融入到产品需求分析、架构设计、开发实现、内部测试、第三方测试和人员知识传递等应用开发生命周期的典型阶段中，从而系统地识别和消除各个阶段可能出现的来自于人员知识和技能、开发环境、业务逻辑所带来的信息安全风险。

产品

雳鉴 SAST

默安科技

雳鉴SAST专注解决软件安全开发流程中开发阶段或上线前的代码安全问题。

#SAST #静态代码安全分析 #静态应用程序安全测试 #DevSecOps #开发安全 #安全开发 #SDL #安全开发周期 #SDLC

产品

安星网站安全SaaS

启明星辰

启明星辰的安星网站安全SaaS提供一站式网站安全解决方案，集成云监测与防护，利用云计算、大数据、AI技术，实现实时监测、预警和防御，有效应对DDoS攻击、页面篡改等安全威胁，降低成本，提升网站安全性和业务效率。

#网站安全监测 #网站监测 #网站监控 #威胁情报 #TIP #漏洞扫描 #AI #人工智能 #人工智能 #网站监测 #抗D #抗DDoS #云安全 #SaaS #大数据

厂商

蜚语科技

119

蜚语科技是一家专注于提供软件供应链安全创新解决方案的网络安全企业，成立于2019年。蜚语科技孵化自上海交通大学计算机系，创始团队由4名博士组成，拥有十数年的前沿安全研究和一线安全业务经验。。

产品

驭龙 HIDS

229

驭龙HIDS是一款由 YSRC 开源的入侵检测系统，由 Agent， Daemon， Server 和 Web 四个部分组成，集异常检测、监控管理为一体，拥有异常行为发现、快速阻断、高级分析等功能，可从多个维度行为信息中发现入侵行为。

#HIDS #主机入侵检测 #开源

产品

云鲨RASP

悬镜安全

102

悬镜安全推出的云鲨RASP是一款基于AI的自适应云防御平台，采用专利级AI检测引擎和应用漏洞攻击免疫算法，实现运行时安全防护。它通过深度学习技术，有效避免误报，降低配置需求，提供全面的威胁防御能力，适用于金融、能源、政务等行业，助力企业构建敏捷安全的DevSecOps体系。

#RASP #运行时应用保护 #实时应用自保护 #运行时应用自我保护 #应用运行时自我保护 #实时应用自我保护 #Web安全 #应用安全

领域

SAST

SAST，即静态应用程序安全测试（Static Application Security Testing），是一种分析方法，用于在软件的开发阶段自动检测源代码中的安全漏洞和编码问题。SAST工具通常在软件开发生命周期（SDLC）的早期阶段集成，以便在代码被部署到生产环境之前发现潜在的安全问题。

产品

网站卫士网页防篡改系统

安恒信息

采用事前阻止+事后恢复作为网页防篡改方案，为客户从根本上解决页面篡改、挂马、暗链等网页风险问题

#网页防篡改 #防篡改 #防篡改

产品

山石网页防篡改

山石网科

122

山石网科网页防篡改系统采用先进的驱动级文件保护技术，基于事件触发检测机制，高效实现了网页监测与防护功能；产品安装部署简单，无需采购额外设备；系统兼容性良好，可以安装在各种Web 环境中，为网站快速提供篡改防护能力。山石网科网页防篡改系统广泛适用于政府、金融、教育、运营商、医疗等各个行业，保障互联网和内部Web 业务的正常运营，维护政府和企业的形象不受破坏。

#网页防篡改 #防篡改 #日志审计 #防篡改

产品

巡风

592

巡风是一款适用于企业内网的漏洞快速应急，巡航扫描系统。

#漏洞扫描 #开源

预览

产品

天清汉马VPN

启明星辰

447

启明星辰集团推出的天清汉马VPN安全网关系统，是一款集成SSL/IPSec技术的二合一VPN解决方案，具备自主知识产权，支持国家商用密码算法，提供集中管理、行为审计、终端安全检查等功能，支持多操作系统接入，实现高效、安全的远程访问和数据传输。

#VPN #虚拟私人网络 #虚拟专用网

厂商

安华金和

安华金和提供专业的数据安全解决方案、咨询服务和切实可落地的安全技术和产品应用，产品涉及数据库审计、数据库防火墙、数据脱敏与漏洞防护、数据库加密、数据安全运营等

产品

Viper 炫彩蛇

137

互联网攻击面管理&红队模拟平台

#红队 #攻击面管理 #内网隧道 #内网渗透 #提权 #信息收集 #横向移动 #开源

预览

产品

fscan

157

一款内网综合扫描工具，方便一键自动化、全方位漏扫扫描。

#端口扫描 #漏洞扫描 #指纹识别 #开源

预览

产品

AppInfoScanner

一款适用于以HW行动/红队/渗透测试团队为场景的移动端信息收集扫描工具，可以帮助渗透测试工程师、攻击队成员、红队成员快速收集到移动端或者静态WEB站点中关键的资产信息并提供基本的信息输出。

#开源 #信息收集 #红队 #渗透测试

产品

数据库静态脱敏

启明星辰

114

启明星辰推出的天玥网络安全审计系统V6.0-数据库脱敏系统（DBMasking），是一款集数据抽取、敏感信息自动发现、脱敏、装载于一体的管控平台。它通过高性能脱敏技术、高仿真脱敏结果、不可逆算法，自动识别敏感数据，保障用户信息安全，满足法规要求，适用于多种数据使用场景。

#数据脱敏 #静态脱敏 #安全审计 #安全合规

产品

山石智影APT监测系统

山石网科

112

山石智影APT监测系统基于静态特征匹配和动态行为捕获技术，全面检测网络中的隐藏威胁。山石智影通过与山石网科下一代防火墙、入侵防御系统、智能内网威胁感知系统等平台联动，可以精准检测通过网页、电子邮件等方式试图进入内部网络的恶意软件，包括零日攻击及具有抗检测能力的高级恶意软件。

#APT #沙箱 #威胁情报 #TIP #防火墙 #入侵防御系统 #下一代防火墙 #高级持续性威胁

产品

绿盟 WAF

绿盟科技

610

绿盟Web应用防火墙（NSFOCUS WAF），提供静态规则、动态语法语义分析为一体的智慧防护模型，保障网站应用免受已知、未知攻击；

#WAF #DDoS防护 #ADS #DDoS防御 #抗DDoS #抗D #Web安全 #应用安全

领域

IAST

IAST，即交互式应用安全测试（Interactive Application Security Testing），是一种在应用程序运行时进行的灰盒安全测试技术。它结合了SAST（静态应用安全测试）和DAST（动态应用安全测试）的优点，通过在应用程序内部植入探针，在运行时动态地监测和报告安全漏洞。IAST技术可以实时、准确地检测软件安全漏洞，并提供详尽的漏洞信息，帮助企业提升应用安全性。

长亭百川云

长亭百川云

长亭百川云

长亭百川云

搜索中心