深度解密 | 悬镜灵脉SAST 3.0最新特性曝光
作者: 日期:2023年11月13日 阅:1,834

一、多模智能引擎焕新

2023年6月,灵脉SAST入选国际权威咨询机构Forrester发布的《The Static Application Security Testing Landscape》报告,成为全球范围内仅有的两款亚太区SAST代表产品之一。

此次3.0版本重大焕新,灵脉SAST从检测工具的灵魂核心入手,对引擎进行重构升级,运用多模核心技术,各类语言检测精度显著提升。

二、漏洞误报再创新低

灵脉SAST3.0支持与SCA软件成分分析、ASOC等产品进行联动,拓展自身应用实践场景、赋能敏捷工具链能力全面提升:

  • 灵脉SAST与源鉴SCA产品深度结合,通过控制流分析、数据流分析等核心技术,对源代码进行漏洞存在性及漏洞可达性分析,真实判断漏洞是否有可能被源代码触发,极大程度有效降低漏洞误报率。
  • 与夫子ASOC联动:夫子ASOC可以对SAST、SCA、IAST、RASP等工具进行统一调度和管理,并整合分析各工具之间的检测数据,通过漏洞优先级分析,帮助开发人员将有限精力聚焦到最高优先级的真实风险当中。

三、检测焕新

灵脉SAST 3.0支持的主流开发语言、检测规则类型及数量大幅增加,漏报更少,检出率更高。

此外,灵脉SAST 3.0增加了大量检测规则依据的规范和标准,使得自身的行业应用场景更广阔:

  • 按照OWASP行业标准划分的缺陷颗粒度更细、更准确;
  • 支持C/C++、Java、C#对应的国家代码审计标准,可出具符合国标的评测报告,更适配合规场景需求;
  • 其他行业标准,如GJB 8114,可满足军工科研院所对代码进行静态分析的需要;
  • Misra系列编码标准,可满足汽车制造行业对于编码质量的要求,符合国际对于车载系统编码安全的标准要求。

四、敏捷焕新

除了误报率、检出率等技术硬指标的升级外,灵脉SAST 3.0同样关注业务场景的变化,截至目前已对接多个源码仓库、项目管理平台、CI/CD平台插件、IDE插件等,可集成至项目CI流水线中,满足企业敏捷开发、快速迭代的需求。

五、体验焕新

√缺陷信息功能更完善:

  • 检测结果展示:缺陷路径跟踪与代码文件对齐展示,方便开发人员利用缺陷路径定位和排查缺陷;
  • 缺陷详情信息:包括CWE编号(若有)、 标准编号、检测集名称、缺陷名称、缺陷描述、潜在风险、缓解措施、错误示例、正确示例等,信息更加全面;
  • 人工审计:可调整缺陷等级、可指派给相应人员、添加审计日志等。即使不对接外部禅道、Jira等缺陷管理系统,在产品内部也可以实现缺陷闭环处理。

√在检测模板中新增推荐模板和全量模板:

  • 推荐模版包含最常见的CWE缺陷,方便用户快速使用;
  • 支持在已有检测模板基础上调整检测规则数量,方便用户根据自身需求定制规则模版。

√新增项目-应用-任务三级检测任务组织方式:

  • 日常创建检测【项目/应用】,便于多种维度统计检测数据;
  • 应急时创建快速检测任务,检测结果不纳入图表分析,不对数据统计分析产生影响。

√产品可控能力优化,提升缺陷处理效率:

  • 可自行控制检测任务启动、停止、重新启动;
  • 新增批量修改缺陷描述、批量审计功能。

灵脉SAST白盒代码审计平台是悬镜自主研发的下一代静态应用安全测试(SAST)解决方案,作为悬镜DevSecOps智适应威胁管理体系中的新型威胁发现平台,灵脉SAST3.0核心引擎运用改进的数据流、控制流分析、符号执行、抽象解释执行等技术,高效精准地检测出代码中的质量缺陷和安全缺陷,帮助开发人员在软件研发早期发现并修复缺陷,真正实现安全左移,降低软件风险及缺陷修复成本,提升企业代码安全治理能力。悬镜灵脉SAST是落地实践安全左移的基石,是敏捷安全工具链中的核心关键环节。悬镜敏捷安全工具链将不断提供更智能、更可信的安全保障,持续守护中国数字供应链安全。

关键词:

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章