Sonāra jaudīgā jaunā dziļā analīzes iespēja nosaka drošības problēmas slēptā koda līmenī

Šis jauninājums atklāj ievainojamības, ko rada pirmkoda un trešo pušu bibliotēku mijiedarbība

Sonar, vadošais Clean Code risinājumu nodrošinātājs, šodien paziņoja par ievērojamiem sasniegumiem savā Clean Code piedāvājumā.

Tagad izstrādātāji var automātiski atklāt un novērst drošības problēmas, kas izriet no mijiedarbības starp lietotāja pirmkodu un trešās puses atvērtā pirmkoda bibliotēkām.

Jaunā uzlabotā noteikšana, ko sauc par “dziļāku SAST”, atrisina problēmas, kurām tradicionālie SAST rīki neseko, jo tie neseko plūsmai bibliotēkas kodā. Tradicionālie SAST pārdevēji analizē lietotāja lietojumprogrammas kodu. Šie rīki nepārstrādā kombinēto kodu un neatzīmē bibliotēkas nesarežģītā veidā, ignorējot kontekstu un lietojumu bibliotēkā. Rezultātā bibliotēkas funkcijas tiek uzskatītas par melnajām kastēm, atstājot organizācijas neziņā par to, vai tās ir patiesi drošas konkrētajam kontekstam. Turklāt šie rīki parasti atbalsta tikai dažas populāras sistēmas, kuru instalēšanai bieži ir nepieciešama sākotnējā iestatīšana. Tas viss izraisa drošības problēmas, ko rada unikāls trešo pušu atvērtā pirmkoda bibliotēku izmantojums, un tās netiek atklātas.

Olivier Gaudin, Sonar izpilddirektors un līdzdibinātājs

“Kods ir kods neatkarīgi no tā, vai to ir rakstījis jūsu komandas izstrādātājs vai daļa no bibliotēkas, kas atrisina noteiktu problēmu. Abas atšķirīgās pieejas mani vienmēr ir traucējušas, un esmu sajūsmā, ka tagad spējam analizēt visus kodus vienādi, atrisinot to, kas agrāk tika uzskatīts par neiespējamu,” sacīja Olivjē Gaudins, Sonar izpilddirektors un līdzdibinātājs. "Pateicoties dziļākiem SAST uzlabojumiem, kas veikti mūsu tīrā koda risinājumā, organizācijas var atklāt šīs ievainojamības un ātri tās novērst koda izstrādes laikā."

Sonārs mazina tradicionālo SAST plaisu, veicot detalizētu lietotāja pirmkoda mijiedarbības ar ārējām atkarībām analīzi, bez nepieciešamības pēc īpašas konfigurācijas vai papildu izmaksām. Šī dziļākā SAST inovācija veicina Sonar misiju nodrošināt organizācijas ar rīkiem, kas tām nepieciešami, lai sasniegtu tīrs kods : konsekvents, mērķtiecīgs, pielāgojams un atbildīgs kods. Kad kods atbilst šīm īpašībām, programmatūra kļūst uzticama, pārvaldāma un droša.

“Tiek lēsts, ka vairāk nekā 90% lietojumprogrammu izmanto trešo pušu bibliotēkas un mijiedarbojas ar tajās esošo kodu, tomēr lielākā daļa SAST rīku nepasaka izstrādātājiem, kuras atkarības padara viņu kodu neaizsargātu. Drošība ir ļoti svarīga misijai, un jo vairāk problēmu jūs atradīsiet un novērsīsit, pirms tās var izraisīt bojājumus, jo labāk veiksies jūsu uzņēmumam,” sacīja Riks Tērners, Omdia vecākais galvenais analītiķis, kas nodarbojas ar kiberdrošību. "Tā ir proaktīvās drošības viļņa būtība, ko mēs redzam IT nozarē: atrodiet to un izlabojiet to, pirms tā tiek izmantota."

SAST of Sonar

Sonar padziļinātā SAST funkcionalitāte ir pieejama bez papildu maksas SonarQube komerciālajos izdevumos (pašpiegādes) un SonarCloud (uz mākoņiem balstīti), nozarē vadošie statiskās analīzes kodu pārskatīšanas rīki, kas nepārtraukti pārbauda un analizē koda bāzi, izmantojot kvalitātes pārbaudes, lai noteiktu, vai kods atbilst standartiem. defiparedzēts izstrādei un ražošanai. Deeper SAST pašlaik atbalsta Java, C# un TypeScript programmēšanas valodas un aptver tūkstošiem vissvarīgāko un biežāk izmantoto atvērtā pirmkoda bibliotēku, tostarp to turpmākās (pārejas) atkarības.

Tīra koda stāvokļa sasniegšana

Sonar dod iespēju izstrādātāju komandām rakstīt tīru kodu, nodrošinot tām pareizos rīkus un labāko praksi, lai tās varētu pavadīt mazāk laika problēmu novēršanai un vairāk laika biznesa un piegādes mērķu sasniegšanai. Sonāra risinājuma apvienošana ar metodiku Clean as You Code uzņēmums (nosakot standartus jauna, pievienota vai mainīta koda uzturēšanai tīru) un tā koda izglītības rokasgrāmatu ar nosaukumu “Learn as You Code” izstrādātājiem ir ātrāka problēmu risināšana un piegāde, koda uzlabošana, kā arī var veicināt profesionālo izaugsmi un komandas noturēšanu. Mūsdienās Sonar izmanto vairāk nekā septiņi miljoni izstrādātāju.

Sonar arī aktīvi sadarbojas ar savām ekosistēmām un klientu kopienām, kā arī sadarbojas ar vairākām universitātēm drošības pētniecības projektu, atvērtā pirmkoda programmatūras un jaunuzņēmumu kopienās. Turklāt Sonar ir īpaša drošības pētnieku komanda, kas atklāj un atbildīgi atklāj ekspluatējamas nulles dienas ievainojamības atvērtā pirmkoda programmatūrā; šie atklājumi tiek izmantoti kā iedvesmas avots jauniem drošības noteikumiem un atklājumiem, lai palīdzētu atrast ievainojamības.

Uzziniet vairāk par mūsu dziļākajām SAST inovācijām un Sonar risinājumu (SonarQube, SonarCloud, SonarLint). Iepazīstieties ar Sonar ekspertiem Black Hat USA stendā Nr. 2760, 8.–10. augusts.

Par sonāriem

Sonārs ļauj izstrādātājiem un organizācijām sistemātiski sasniegt Clean Code stāvokli, lai viss kods būtu piemērots izstrādei un ražošanai. Izmantojot Sonar Clean as You Code metodoloģiju, organizācijas samazina risku, samazina tehniskos parādus un gūst lielāku vērtību no programmatūras paredzamā un ilgtspējīgā veidā.

Atvērtā koda un komerciālais Sonar risinājums – SonarLint, SonarCloud un SonarQube – atbalsta vairāk nekā 30 programmēšanas valodas, ietvarus un infrastruktūras tehnoloģijas. Sonar, kam vairāk nekā 400.000 XNUMX organizāciju visā pasaulē uzticas, lai iztīrītu vairāk nekā pustriljonu koda rindu, ir neatņemama labākas programmatūras nodrošināšanas sastāvdaļa. .

BlogInnovazione.it