文档结构  
翻译进度:已翻译     翻译赏金:0 元 (?)    ¥ 我要打赏

“如果你惟一的工具是锤子,那么,你往往会把一切事物都看成钉子。”-- 亚伯拉罕·马斯洛

当涉及到商业和开源工具(即付费和免费软件),如果不考虑自身情况,行业背景,和论坛社区,那么关于哪一类软件会更好的发展的辩论是没有意义的,我个人认为,不可能来明确的证明哪一类软件在任何情况下都是最好的。如果世界上最好的开源代码扫描工具没有在你的代码上运行,那么它也不能为你做任何事情。

第 1 段(可获 1.29 积分)

开源 vs 闭源的辩论

与开源软件的“开放”相比,闭源软件的专属的特性是可怕的。它的源代码是封闭的、不可知的。 并且是由潜在危害的实体(或者,如果危害性不是特别高,它们可能消失并将它们的用户处于永久不支持的状态)控制的。专有软件可能的价格标签让你公司的安全预算遥不可及。最后,如果出现一些错误,需要依靠专门的技术支持,这可能引起或打破的安全性的操作。

信不信由你,尽管获得开源软件或加入社区论坛是如何的自由,但是使用开源软件是有相关费用的。当把未审查的软件安装到你的环境中,它应该接受检查和扫描。如果你不支付和开源软件开发团队的支持合同,开发者们只能依靠社区支持和内部技术来保持一个开源软件的工作。

第 2 段(可获 2.06 积分)

这些 技术债务 不像商业闭源软件的倡导者说的那么夸张,你可能会相信,但是也不是像开源提倡推广者们说的根本不存在。这些因素都要考虑到选择一款软件的决策中,但是不要让支持或审查影响你,从而偏离了整体的适应性。

超越马斯洛的锤子

让我们暂时从软件上退一步,并思考我的工具箱里有八个不同的锤子这一事实。现在,我相信有些人使用扳手来挂图片。而对于我来说,每一个锤子用于不同的目的,而不是所有的锤子都用来钉钉子。我的拆迁锤在现有的结构上打洞。同时,我的槌锤用来敲击定位,还有,当我使用金属时我的圆头手锤帮助我摆脱麻烦。就像我实体工具箱,我的安全工具箱有多种工具,乍一看可能都看起来很相像,但实际上各自有不同的用途。

第 3 段(可获 2.24 积分)

识别、补救甚至防止漏洞应该是任何安全团队的目标。 如果您的安全工具箱仅包含开源或仅关闭的源软件,您可能对手头的工作缺少装备。 让我们来认识一些不同的工具,这样你不必把一切事物都看成钉子。

1. 加强源代码分析器

Hewlett Packard’s的加强源代码分析器 (SCA) 是第一个自动代码扫描器之一,它比在代码中搜索strcpy()实例做的更多。它可以扫描30多种语言,适用于具有多样化开发环境和大量应用程序开发的组织。 这个应用程序扫描器中的“怪物”作为常规脚本构建的一部分时扫描效果最佳。

第 4 段(可获 1.56 积分)

虽然可以从开发人员的工作站运行,但是扫描代码的时间量和硬件资源可能对个人来说有更多的阻碍。定期扫描出来的报告可以上传到团队协作服务器上,以便于进行进一步的分析和解决问题。内置的GUI是基于Eclipse,并为开发人员提供在跟踪数据和调用时所使用的许多功能。

这是一个高性能的工具,可以分析各种编程语言和框架,但它也带有一个高性能的价格标签。

  • 价格: $$$
  • 目标客户:企业和团体
  • 目标语言: C, C++, Java, JSP, .NET, ASP.NET, classic Active Server Pages (ASP), ColdFusion, PHP, Visual Basic 6, VBScript, JavaScript, PL/SQL, T-SQL, Python, Objective-C, COBOL
  • 理想的运行环境: 每夜和每周在构建服务器上构建
第 5 段(可获 1.73 积分)

2. IBM 的Rational Appscan Source

IBM对Fortify的SCA的回答则是另一个企业级工具,是一个安全测试工具套件的一部分。 此工具最好作为构建过程的一部分运行,其中结果与先前的扫描结合。 该工具允许向开发人员分配新扫描的漏洞。 扫描的结果是一样的,但 Appscan Source 的GUI不提供相应数量的开发者友好工具。 此外,要确定漏洞是否为误报可能需要在另一个IDE(例如Eclipse)中打开项目,因为Appscan Source的GUI 有许多功能无法使用,而这些功能是开发人员需要理解代码时习惯使用的。

  • 价格::$$$
  • 目标客户:企业和团体
  • 目标语言:C, C++, .NET, Java, JSP, JavaScript, ColdFusion, Classic ASP, PHP, Perl, Visual Basic 6, PL/SQL, T-SQL, COBOL
  • 理想运行环境 每夜和每周在构建服务器上构建
第 6 段(可获 2 积分)

3. Findbugs

这个开源工具可以为任何Java开发团队提供价值。 它从专注于从上层到底层来扫描Java代码中的错误。 如果你正在运行开发环境不是Java编程,那么这个工具将不能为之工作。 这个工具包括对安全或质量问题的扫描。

开发人员可以直接使用 Findbugs 。 它具有与许多开发级别的IDE和自动构建服务器配合使用的插件。

  • 价格:开源免费
  • 目标用户: 企业和团体
  • 目标语言: Java
  • 理想运行时间: 开发人员的编码时运行或用于构建服务器
第 7 段(可获 1.2 积分)

4. SonarQube

虽然不是一个精确的安全分析工具,但 SonarQube 可以将其他应用程序识别的安全漏洞合并到其质量检查中。 高质量软件是安全的。 SonarQube可以提供额外的功能,帮助团队确保他们的软件是状况良好的。 这个开源软件可以通过配置来与各种构建服务器一起工作,以便于帮助想要掌握其质量和安全的问题团队。 Sonarqube 可以接受来自闭源和开源工具的调查,并可以将开源与闭源讨论转化为富有成效的对话。

  • 价格: 开源免费
  • 目标用户: 企业和团体
  • 目标语言: ABAP, Android (Java), C, C++, CSS, Objective-C, COBOL, C#, Flex, Forms, Groovy, Java, JavaScript, Natural, PHP, PL/SQL, Swift, Visual Basic 6, Web, XML, Python
  • 理想运行时间:在构建的时候
第 8 段(可获 1.76 积分)

5. Klockwork 的洞擦力

Klockwork 在2000年初从北电网络分离,成为商业性质的内部开发工具。软件运行时像一个拼写检查器,当开发人员输入错误或漏洞时指出其漏洞和错误。这样也关闭了反馈回路,并训练开发者不将漏洞提交回代码仓库。不是等待每周的扫描,而是将安全补丁随机分配给团队成员Klockwork Insight让开发人员在相应的阶段负有修复和学习的责任。

  • 价格: $$
  • 目标用户:企业和团体
  • 目标语言: C, C++, C#, Java
  • 理想运行时间:开发人员编码时
第 9 段(可获 1.31 积分)

6. Codiscope Secureassist

另一个实时的,以开发人员为中心的工具是 SecureAssist 。此工具集成到开发人员的IDE中,并在开发人员工作时识别漏洞。而且还识别安全问题,并提供现场指导以帮助开发人员修复已识别的问题。它最好由开发人员在编写代码时使用,而不是扫描现有的代码库。

对于仍在构建其代码库的年轻公司或从头开始的团队,SecureAssist提供了所有需要用到的源代码分析。具有更大代码库的企业可能需要一个适合于扫描大量代码库的工具,但是仍然可以从即时代码检查器中受益,以防止引入新的漏洞。

  • 价格: $
  • 目标用户:Enterprises and Teams
  • 目标语言:Java, .NET, PHP
  • 理想运行时间::开发人员编码时
第 10 段(可获 1.68 积分)

总结起来

无论您是需要使用Fortify或Appscan这样的大锤来完善整个应用程序,使用SonarQube完成锤将安全细节锁定到位,还是用Klockwork 或 SecureAssist  这样的圆锤头将软件塑造成安全的解决方案。每个人会都从自动源代码分析工具提供的安全性中获益。

第 11 段(可获 0.71 积分)

文章评论