יכולת הניתוח העמוק החדשה והחזקה של Sonar מזהה בעיות אבטחה ברמת הקוד הנסתר

חידוש זה חושף נקודות תורפה שנוצרו על ידי האינטראקציה בין קוד המקור לספריות של צד שלישי

Sonar, ספקית מובילה של פתרונות Clean Code, הודיעה היום על התקדמות משמעותית בהיצע ה-Clean Code שלה.

כעת מפתחים יכולים לגלות ולתקן באופן אוטומטי בעיות אבטחה הנובעות מאינטראקציות בין קוד המקור של המשתמש וספריות קוד פתוח של צד שלישי.

הזיהוי המתקדם החדש נקרא 'SAST עמוק יותר' פותר בעיות שכלי SAST מסורתיים לא עוקבים אחריהם מכיוון שהם לא עוקבים אחר הזרימה בתוך קוד הספרייה. ספקי SAST מסורתיים מנתחים את קוד יישומי המשתמש. כלים אלו אינם מנתחים את הקוד המשולב ומסמנים ספריות בצורה לא מתוחכמת, תוך התעלמות מהקשר ושימוש בתוך הספרייה. התוצאה היא שתכונות הספרייה נחשבות לקופסאות שחורות, מה שמותיר ארגונים בחושך אם הם באמת מאובטחים בהקשר נתון או לא. בנוסף, כלים אלה בדרך כלל תומכים רק בקומץ מסגרות פופולריות, שלעתים קרובות דורשות התקנה ראשונית להתקנה. כל זה גורם לבעיות אבטחה שנוצרו כתוצאה מהשימוש הייחודי בספריות קוד פתוח של צד שלישי לא מזוהות.

אוליבייה גאודין, מנכ"ל ומייסד שותף של Sonar

"קוד הוא קוד, בין אם הוא נכתב על ידי מפתח בצוות שלך או חלק מספריה שפותר בעיה ספציפית. שתי הגישות השונות תמיד הטרידו אותי ואני נרגש מכך שאנו מסוגלים כעת לנתח את כל הקודים באותו אופן, ולפתור את מה שבעבר נחשב לבעיה בלתי אפשרית", אמר אוליבייה גאודין, מנכ"ל ומייסד שותף של Sonar. "בזכות ההתקדמות העמוקה יותר של SAST שנעשתה בפתרון Clean Code שלנו, ארגונים יכולים לגלות את הפגיעויות הללו ולתקן אותן במהירות עם פיתוח הקוד."

Sonar מגשרת על פער ה-SAST המסורתי באמצעות ניתוח מפורט של אינטראקציות קוד מקור משתמש עם תלות חיצונית, והכל ללא צורך בתצורה מיוחדת או בעלויות מצטברות. חידוש SAST עמוק יותר זה מקדם את המשימה של Sonar לצייד ארגונים בכלים הדרושים להם כדי להגיע למצב של קוד נקי : קוד עקבי, מכוון, מסתגל ואחראי. כאשר הקוד דבק במאפיינים אלו, התוכנה הופכת לאמינה, ניתנת לניהול ובטוחה.

"ההערכה היא שלמעלה מ-90% מהיישומים ממנפים ספריות של צד שלישי ומקיימים אינטראקציה עם הקוד שבתוכם, ובכל זאת רוב כלי SAST לא אומרים למפתחים אילו תלות הופכות את הקוד שלהם לפגיע. אבטחה היא קריטית למשימה, וככל שתמצא ותתקן יותר בעיות לפני שהן עלולות לגרום לנזק, כך העסק שלך ישתפר", אמר ריק טרנר, אנליסט בכיר בכיר בתחום אבטחת הסייבר באומדיה. "זו המהות של גל האבטחה הפרואקטיבית שאנו רואים בתעשיית ה-IT: מצא אותו ותקן אותו לפני שהוא מנוצל".

SAST של Sonar

פונקציונליות ה-SAST העמוקה יותר של Sonar זמינה ללא עלות נוספת במהדורות המסחריות של SonarQube (בקצב עצמי) ו SonarCloud (מבוסס ענן), כלי סקירת קוד ניתוח סטטי המובילים בתעשייה הבודקים ומנתחים באופן רציף את בסיס הקוד באמצעות בדיקות איכות כדי לקבוע אם הקוד עומד בתקנים defiסיים לפיתוח וייצור. Deeper SAST תומך כיום בשפות תכנות Java, C# ו-TypeScript ומכסה אלפי ספריות הקוד הפתוח החשובות והנפוץ ביותר, כולל התלות הרצויה (טרנזיטיבית) שלהן.

השגת מצב קוד נקי

Sonar מסמיכה צוותי פיתוח לכתוב קוד נקי על ידי מתן הכלים הנכונים ושיטות העבודה המומלצות, כך שהם יכולים להשקיע פחות זמן בפתרון בעיות ויותר זמן בהשגת יעדי העסק והמשלוח. שילוב פתרון Sonar עם המתודולוגיה נקי כפי שאתה מקוד החברה (הקביעת סטנדרטים לשמירה על נקיון קוד חדש, נוסף או שונה) ומדריך חינוך הקוד שלה שנקרא "למד כפי שאתה קוד", למפתחים יש פתרון בעיות ומהירה יותר, שיפור קוד, ויכולים לטפח צמיחה מקצועית ושימור צוות. כיום ישנם למעלה משבעה מיליון מפתחים המשתמשים ב- Sonar.

Sonar גם עוסקת באופן פעיל בקהילות האקולוגיות ובקהילות הלקוחות שלה, כמו גם שותפויות עם מספר אוניברסיטאות לפרויקטי מחקר אבטחה, תוכנות קוד פתוח וקהילות סטארט-אפ. בנוסף, לסונאר יש צוות ייעודי של חוקרי אבטחה שמוצאים וחושפים באחריות פגיעויות ניתנות לניצול של יום אפס בתוכנת קוד פתוח; ממצאים אלה משמשים כהשראה לכללי אבטחה וזיהויים חדשים כדי לסייע באיתור נקודות תורפה.

למד עוד על החידוש העמוק ביותר ב-SAST ופתרון Sonar (SonarQube, SonarCloud, SonarLint). הכירו את מומחי סונאר ב-Black Hat USA, דוכן מס. 2760, 8-10 באוגוסט.

על סונרים

Sonar מאפשרת למפתחים ולארגונים להשיג באופן שיטתי מצב Clean Code כך שכל הקוד מתאים לפיתוח והפקה. על ידי יישום מתודולוגיית Sonar Clean as You Code, ארגונים ממזערים סיכונים, מפחיתים חובות טכניים ומקבלים יותר ערך מהתוכנה שלהם בצורה צפויה ובר קיימא.

פתרון הקוד הפתוח והמסחרי של Sonar – SonarLint, SonarCloud ו- SonarQube – תומך ביותר מ-30 שפות תכנות, מסגרות וטכנולוגיות תשתית. סונר, שאמון על יותר מ-400.000 ארגונים ברחבי העולם לנקות יותר מחצי טריליון שורות קוד, הוא חלק בלתי נפרד מאספקת תוכנה טובה יותר .

BlogInnovazione.it