Sonars kraftfulla nya djupa analytiska förmåga upptäcker säkerhetsproblem på den dolda kodnivån

Denna innovation avslöjar sårbarheter som skapats av interaktionen mellan källkod och tredjepartsbibliotek

Sonar, en ledande leverantör av Clean Code-lösningar, tillkännagav idag betydande framsteg i sitt Clean Code-erbjudande.

Nu kan utvecklare automatiskt upptäcka och åtgärda säkerhetsproblem som är resultatet av interaktioner mellan användarens källkod och tredjepartsbibliotek med öppen källkod.

Kallas "djupare SAST", den nya avancerade detektionen löser problem som traditionella SAST-verktyg inte följer eftersom de inte följer flödet i bibliotekskoden. Traditionella SAST-leverantörer analyserar användarapplikationskod. Dessa verktyg analyserar inte den kombinerade koden och markerar bibliotek på ett osofistikerat sätt, och ignorerar sammanhang och användning inom biblioteket. Resultatet är att biblioteksfunktioner betraktas som svarta lådor, vilket lämnar organisationer i mörkret om huruvida de verkligen är säkra för ett givet sammanhang eller inte. Dessutom stöder dessa verktyg vanligtvis bara en handfull populära ramverk, som ofta kräver initial installation för att installera. Allt detta gör att säkerhetsproblem som skapats av den unika användningen av tredjepartsbibliotek med öppen källkod förblir oupptäckta.

Olivier Gaudin, VD och medgrundare av Sonar

”Kod är kod, oavsett om den är skriven av en utvecklare i ditt team eller en del av ett bibliotek som löser ett specifikt problem. De två olika tillvägagångssätten har alltid stört mig och jag är stolt över att vi nu kan analysera alla koder på samma sätt och lösa det som tidigare ansågs vara ett omöjligt problem”, säger Olivier Gaudin, VD och medgrundare av Sonar. "Tack vare de djupare SAST-framstegen som gjorts i vår Clean Code-lösning kan organisationer upptäcka dessa sårbarheter och snabbt åtgärda dem när koden utvecklas."

Sonar överbryggar det traditionella SAST-gapet genom sin granulära analys av användarkällkodsinteraktioner med externa beroenden, allt utan behov av någon speciell konfiguration eller inkrementella kostnader. Denna djupare SAST-innovation främjar Sonars uppdrag att utrusta organisationer med de verktyg de behöver för att uppnå ett tillstånd av ren kod : konsekvent, avsiktlig, anpassningsbar och ansvarsfull kod. När koden följer dessa egenskaper blir programvaran pålitlig, hanterbar och säker.

"Det uppskattas att över 90 % av applikationerna utnyttjar tredjepartsbibliotek och interagerar med koden i dem, men de flesta SAST-verktyg berättar inte för utvecklare vilka beroenden som gör deras kod sårbar. Säkerhet är uppdragskritisk, och ju fler problem du hittar och åtgärdar innan de kan orsaka skada, desto bättre kommer ditt företag att få det”, säger Rik Turner, senior huvudanalytiker för cybersäkerhet på Omdia. "Det är kärnan i den våg av proaktiv säkerhet vi ser i IT-branschen: hitta den och fixa den innan den utnyttjas."

SAST av Sonar

Sonars djupare SAST-funktionalitet är tillgänglig utan extra kostnad inom de kommersiella utgåvorna av SonarQube (självtempo) och SonarCloud (molnbaserad), branschledande verktyg för statisk analys av kodgranskning som kontinuerligt inspekterar och analyserar kodbasen med hjälp av kvalitetskontroller för att avgöra om koden uppfyller standarder defiför utveckling och produktion. Deeper SAST stöder för närvarande programmeringsspråken Java, C# och TypeScript och täcker tusentals av de viktigaste och mest vanliga biblioteken med öppen källkod, inklusive deras efterföljande (transitiva) beroenden.

Att uppnå ett rent kodtillstånd

Sonar ger utvecklingsteam möjlighet att skriva ren kod genom att förse dem med rätt verktyg och bästa praxis, så att de kan lägga mindre tid på felsökning och mer tid på att uppnå affärs- och leveransmål. Att kombinera Sonar-lösningen med metodiken Rengör som du kodar företaget (som sätter standarder för att hålla ny, tillagd eller ändrad kod ren) och dess kodutbildningsguide som heter "Learn as You Code", utvecklare har snabbare problemlösning och leverans, kodförbättringar och kan främja professionell tillväxt och teambehållning. Idag finns det över sju miljoner utvecklare som använder Sonar.

Sonar engagerar sig också aktivt med sina ekosystem och kundgemenskaper, samt partnerskap med flera universitet för säkerhetsforskningsprojekt, mjukvara med öppen källkod och nystartade gemenskaper. Dessutom har Sonar ett dedikerat team av säkerhetsforskare som hittar och ansvarsfullt avslöjar exploateringsbara nolldagssårbarheter i programvara med öppen källkod; dessa fynd används som inspiration för nya säkerhetsregler och upptäckter för att hjälpa till att hitta sårbarheter.

Lär dig mer om vår djupaste SAST-innovation och Sonar-lösning (SonarQube, SonarCloud, SonarLint). Möt ekolodsexperterna på Black Hat USA, monter nr. 2760, 8-10 augusti.

Om ekolod

Sonar gör det möjligt för utvecklare och organisationer att systematiskt uppnå ett Clean Code-tillstånd så att all kod är lämplig för utveckling och produktion. Genom att tillämpa Sonar Clean as You Code-metoden minimerar organisationer risker, minskar tekniska skulder och får mer värde av sin programvara på ett förutsägbart och hållbart sätt.

Den öppna källkoden och kommersiella Sonar-lösningen – SonarLint, SonarCloud och SonarQube – stöder över 30 programmeringsspråk, ramverk och infrastrukturteknologier. Betrodd av över 400.000 XNUMX organisationer över hela världen för att rensa mer än en halv biljon rader kod, är Sonar en integrerad del av att leverera bättre mjukvara .

BlogInnovazione.it