18、软件安全测试方法与漏洞评分系统解析

软件安全测试方法与漏洞评分系统解析

1. 静态应用安全测试（SAST）

1.1 SAST 的优势

与软件交付过程后期进行的安全测试相比，静态安全分析方法具有以下优点：
- 成本效益高 ：漏洞检测测试在开发阶段进行，与仅在运行时进行检测相比，消除弱点的成本效益更高。通过访问源代码，还可以了解漏洞的成因并防止其未来再次出现，而不透明测试过程无法获得这些发现。
- 部分分析可行 ：可以进行部分分析，即即使是非可执行的源文本也能被分析。静态安全分析可由开发人员自己进行，显著减少了对安全专家的需求。
- 全面代码分析 ：可以在源代码级别对系统进行 100% 的分析，这是动态方法无法保证的。不透明测试系统只能执行渗透测试，这是一种间接分析。

1.2 SAST 的劣势

• 影响编程工作 ：开发人员过于关注安全测试和相关的错误修复，导致编程工作受到影响，进而出现特定领域的错误。
• 工具适配问题 ：如果扫描器未适配整个技术栈，工具可能会出现问题。如今大多数系统是多语言的，要获得已知漏洞的完整列表，需要一个支持所有直接或间接技术的工具。
• 忽略运行时问题 ：SAST 常常完全取代后续的安全测试，但与运行中的应用程序直接相关的所有问题仍未被检测到。仅关注源代码是不够的，静态扫描应尽可能同时分析二进制文件和源代码。

2. 动态应用安全