- 在DevSecOps的应用过程中,静态分析工具在开发阶段承担着非常重要的代码质量和安全的看护任务。本文根据开发过程的不同位置的开发环境、代码特征以及检测工具能力的差异,提出了需要因地制宜地部署检查工具,形成递进的三层代码安全防御体系,从而提高应用软件整体安全性,同时又能有效的贯彻安全左移的策略,降低安全问题的维护成本。 在DevSecOps的应用过程中,静态分析工具在开发阶段承担着非常重要的代码质量和安全的看护任务。本文根据开发过程的不同位置的开发环境、代码特征以及检测工具能力的差异,提出了需要因地制宜地部署检查工具,形成递进的三层代码安全防御体系,从而提高应用软件整体安全性,同时又能有效的贯彻安全左移的策略,降低安全问题的维护成本。
- 一个长期困扰软件分析研究人员的现实问题是缺乏统一的测试框架和测试用例集。本文将介绍面向软件分析工具的新型CI生态系统SAVE (Software Analysis Verification and Evaluation)。SAVE的目的是提供一个统一的软件分析验证和测试平台,为验证和对比软件分析工具提供方便。 一个长期困扰软件分析研究人员的现实问题是缺乏统一的测试框架和测试用例集。本文将介绍面向软件分析工具的新型CI生态系统SAVE (Software Analysis Verification and Evaluation)。SAVE的目的是提供一个统一的软件分析验证和测试平台,为验证和对比软件分析工具提供方便。
- 工业控制系统是全球关键基础设施的心脏,随着IoT、IT和运营技术(OT)的不断融合,工业领域由闭塞走向互联。工业控制系统在受到网络威胁时,通过基础设施对人类社会造成更大危害性。新版的CWE 4.7,引入了安全能源基础设施执行工作组的缺陷分类方式,为我们进一步研究和防范这类安全威胁,提供了系统的视角。 工业控制系统是全球关键基础设施的心脏,随着IoT、IT和运营技术(OT)的不断融合,工业领域由闭塞走向互联。工业控制系统在受到网络威胁时,通过基础设施对人类社会造成更大危害性。新版的CWE 4.7,引入了安全能源基础设施执行工作组的缺陷分类方式,为我们进一步研究和防范这类安全威胁,提供了系统的视角。
- 我们将CWE存储在xml文件中的信息转换到SQLite数据库中。通过SQL语言的公用表表达式(CTE)实现对CWE树结构进行递归查找,从而快速得到某个CWE在视图中所归属的分类信息(父节点)或所包含的弱点信息(子节点);同时利用CWE数据库,可以帮助我们分析CWE中包含的各种安全规范之间的关系,快速汇总CWE中保存的各种弱点的消减措施,从而更好的完成软件安全的整体防御。 我们将CWE存储在xml文件中的信息转换到SQLite数据库中。通过SQL语言的公用表表达式(CTE)实现对CWE树结构进行递归查找,从而快速得到某个CWE在视图中所归属的分类信息(父节点)或所包含的弱点信息(子节点);同时利用CWE数据库,可以帮助我们分析CWE中包含的各种安全规范之间的关系,快速汇总CWE中保存的各种弱点的消减措施,从而更好的完成软件安全的整体防御。
- 一图看懂软件缺陷检查涉及的内容 一图看懂软件缺陷检查涉及的内容
- 静态扫描工具融入在DevSecOps的开发过程中,对提高产品的整体的安全水平发挥着重要的作用。为了获取安全检查能力覆盖的最大化,开发团队通常会引入多个安全扫描工具。为了降低各种分析工具的结果汇总到通用工作流程中的成本和复杂性, 业界开始采用静态分析结果交换格式(SARIF)。本篇是SARIF应用的入门篇和进阶篇中的进阶篇,将介绍SARIF的更复杂的应用。 静态扫描工具融入在DevSecOps的开发过程中,对提高产品的整体的安全水平发挥着重要的作用。为了获取安全检查能力覆盖的最大化,开发团队通常会引入多个安全扫描工具。为了降低各种分析工具的结果汇总到通用工作流程中的成本和复杂性, 业界开始采用静态分析结果交换格式(SARIF)。本篇是SARIF应用的入门篇和进阶篇中的进阶篇,将介绍SARIF的更复杂的应用。
- 静态扫描工具融入在DevSecOps的开发过程中,对提高产品的整体的安全水平发挥着重要的作用。为了获取安全检查能力覆盖的最大化,开发团队通常会引入多个安全扫描工具。为了降低各种分析工具的结果汇总到通用工作流程中的成本和复杂性, 业界开始采用静态分析结果交换格式(SARIF)。本篇是SARIF应用的入门篇和进阶篇中的入门篇,将介绍SARIF的基础概念。 静态扫描工具融入在DevSecOps的开发过程中,对提高产品的整体的安全水平发挥着重要的作用。为了获取安全检查能力覆盖的最大化,开发团队通常会引入多个安全扫描工具。为了降低各种分析工具的结果汇总到通用工作流程中的成本和复杂性, 业界开始采用静态分析结果交换格式(SARIF)。本篇是SARIF应用的入门篇和进阶篇中的入门篇,将介绍SARIF的基础概念。
- ESAPI 是一个免费、开源的 web 应用程序安全控制库,使程序员更容易编写风险较低的应用程序。ESAPI库可以使程序员更容易对现有应用程序进行安全性改造,同时 ESAPI 库也是新应用系统开发确保安全的坚实基础。 ESAPI 是一个免费、开源的 web 应用程序安全控制库,使程序员更容易编写风险较低的应用程序。ESAPI库可以使程序员更容易对现有应用程序进行安全性改造,同时 ESAPI 库也是新应用系统开发确保安全的坚实基础。
- "以史为鉴,可以知兴替"。CWE 已经连续5年发布了 CWE TOP 25,我们可以从过去5年CWE TOP 25 的变化趋势,去寻找高危安全漏洞的发展趋势,为安全政策和投资决策提供指引,这对于安全防护人员、代码检查工具的开发,以及编程人员都有着非常重要意义。 "以史为鉴,可以知兴替"。CWE 已经连续5年发布了 CWE TOP 25,我们可以从过去5年CWE TOP 25 的变化趋势,去寻找高危安全漏洞的发展趋势,为安全政策和投资决策提供指引,这对于安全防护人员、代码检查工具的开发,以及编程人员都有着非常重要意义。
- 本文是clang static analyzer 自定义规则开发的基础教程,主要会介绍下面的几点内容:① 基于 clion + wsl + ubuntu 20.04 的 clang static analyzer 自定义规则开发环境的搭建;② 一种基于插件方式独立开发 clang static analyzer 自定义规则的实践;③ 规则开发示例。 本文是clang static analyzer 自定义规则开发的基础教程,主要会介绍下面的几点内容:① 基于 clion + wsl + ubuntu 20.04 的 clang static analyzer 自定义规则开发环境的搭建;② 一种基于插件方式独立开发 clang static analyzer 自定义规则的实践;③ 规则开发示例。
- log4j问题的余波还在继续,为什么这个问题潜伏了这么长时间,大家一直没有发现?这里从静态分析的角度谈下log4j问题的发现. log4j问题的余波还在继续,为什么这个问题潜伏了这么长时间,大家一直没有发现?这里从静态分析的角度谈下log4j问题的发现.
- CWE做为软件缺陷分类的重要标准, 对安全研究、安全标准、缺陷管理起了重要的纽带作用。CWE通过编号的类型(类缺陷、基础缺陷和变种缺陷等)形成了多层次的缺陷类型划分体系。本文进一步剖析了CWE视图的层次之间的定义和解析方式。 CWE做为软件缺陷分类的重要标准, 对安全研究、安全标准、缺陷管理起了重要的纽带作用。CWE通过编号的类型(类缺陷、基础缺陷和变种缺陷等)形成了多层次的缺陷类型划分体系。本文进一步剖析了CWE视图的层次之间的定义和解析方式。
- 本文简单介绍了Clang编译过程中涉及到的步骤和每个步骤的产物,并简单分析了部分影响预处理和编译成功的部分因素(并不具体)。 本文简单介绍了Clang编译过程中涉及到的步骤和每个步骤的产物,并简单分析了部分影响预处理和编译成功的部分因素(并不具体)。
- CWE最危险的25种软件缺陷,是NVD过去两年中遇到的最常见和影响最大的问题指示性的列表。 这些缺陷通常很容易被发现和利用,并且可以让攻击者完全接管系统、窃取数据或阻止应用程序运行。 CWE Top25 可以帮助开发人员、测试人员和用户,以及项目经理、安全研究人员和教育工作者深入了解最严重和当前的安全漏洞。 CWE最危险的25种软件缺陷,是NVD过去两年中遇到的最常见和影响最大的问题指示性的列表。 这些缺陷通常很容易被发现和利用,并且可以让攻击者完全接管系统、窃取数据或阻止应用程序运行。 CWE Top25 可以帮助开发人员、测试人员和用户,以及项目经理、安全研究人员和教育工作者深入了解最严重和当前的安全漏洞。
- ISO 5055是首个直接从软件内部结构方面衡量软件质量(如安全性和可靠性)的ISO标准。该标准基于统计安全性、可靠性、可维护性和性能效率方面的软件缺陷来衡量软件的结构质量。基于ISO 5055,开发人员能够在关键缺陷导致操作问题之前发现并消除这些缺陷; 工具检查的供应商能够明确软件质量的检查方向;为管理层提供了明确指标,以明确软件应用程序给业务带来的风险。 ISO 5055是首个直接从软件内部结构方面衡量软件质量(如安全性和可靠性)的ISO标准。该标准基于统计安全性、可靠性、可维护性和性能效率方面的软件缺陷来衡量软件的结构质量。基于ISO 5055,开发人员能够在关键缺陷导致操作问题之前发现并消除这些缺陷; 工具检查的供应商能够明确软件质量的检查方向;为管理层提供了明确指标,以明确软件应用程序给业务带来的风险。
上滑加载中
推荐直播
-
华为云云原生FinOps解决方案,为您释放云原生最大价值
2024/04/24 周三 16:30-18:00
Roc 华为云云原生DTSE技术布道师
还在对CCE集群成本评估感到束手无策?还在担心不合理的K8s集群资源申请和过度浪费?华为云容器服务CCE全新上线云原生FinOps中心,为用户提供多维度集群成本可视化,结合智能规格推荐、混部、超卖等成本优化手段,助力客户降本增效,释放云原生最大价值。
回顾中 -
鲲鹏开发者创享日·江苏站暨数字技术创新应用峰会
2024/04/25 周四 09:30-16:00
鲲鹏专家团
这是华为推出的旨在和众多技术大牛、行业大咖一同探讨最前沿的技术思考,分享最纯粹的技术经验,进行最真实的动手体验,为开发者提供一个深度探讨与交流的平台。
回顾中
热门标签