静态检查
关注
分享
扫一扫
文章平均质量分 96
Old Uncle Tom
这个作者很懒，什么都没留下…
展开
-
以攻击者的视角进行软件安全防护
为了构建安全的软件，构建者必须确保已经保护了所有相关的潜在漏洞。然而，要攻击软件，攻击者通常只需要找到并利用一个暴露的漏洞。 为了有效地应对软件攻击，防护者需要牢牢掌握攻击者的观点和用于利用软件系统的方法。以攻击者的视角进行软件安全防护, 了解对手的运作方式对于有效的网络安全至关重要。原创 2024-12-07 13:06:24 · 874 阅读 · 0 评论 -
CWE 4.16 - 2024 CWE TOP 25
CWE TOP 25 不仅是开发人员和安全专业人士的宝贵资源，而且还为在软件、安全和风险管理投资方面做出明智决策的组织提供了战略指南。原创 2024-12-07 11:40:12 · 1111 阅读 · 0 评论 -
软件缺陷等级评定综述
在软件开发和维护过程中，资源是有限的。通过明确缺陷的危险等级，可以帮助团队合理分配资源。同时缺陷危险等级为风险评估提供了一个量化的指标，可以更好地管理项目风险。本文将从软件静态分析工具、开发规范、国家标准、以及评估体系多个角度讨论软件缺陷等级的划分方式，以便对软件缺陷检查工具、软件缺陷管理中缺陷等级的划分起到一定的指导作用。原创 2024-11-09 20:43:54 · 1379 阅读 · 0 评论 -
论文精要：《对静态分析缺陷报告进行聚类，以降低维护成本》
静态分析工具通过自动识别源代码中的错误来促进软件维护。但是，对于大型系统，这些工具通常会生成大量的缺陷报告，其中许多缺陷报告在概念上是相似的。单独处理缺陷会花费开发人员的工作量，并增加维护负担。建议对生成的缺陷报告进行聚类，以便可以对类似的错误进行分类，并可能一起修复。论文的方法利用静态错误报告中可用的语法和结构信息来准确地聚类相关报告，从而加快维护过程。原创 2024-08-11 22:27:33 · 1227 阅读 · 0 评论 -
CodeNavi 中代码节点的基础属性
CodeNavi 是一种用于编写静态检查规则的DSL语言。介绍 CodeNavi 中节点的通用属性。每个节点会有一些基础属性，用于得到这个节点所在类、函数、if、for、foreach、while或 try、catch 中的位置。原创 2024-07-22 09:38:32 · 693 阅读 · 0 评论 -
CWE 4.15 - AI/ML 引入的应用缺陷
近期专家们观察到越来越多的 AI/ML 造成具体的 CVE 漏洞之后，为了防范 AI/ML 对应用安全造成的影响，CWE 快速推出了 CWE 4.15 版本。原创 2024-07-22 09:27:30 · 1034 阅读 · 0 评论 -
OWASP 移动应用 2024 十大安全风险
随着智能手机的快速发展，移动应用已经成为我们日常生活关系最密切的软件应用。开放全球应用程序安全项目（OWASP）基金会，致力于提高软件的安全性。自 2014、2016年发布了移动应用的十大风险后，今年再次发布2024版。这对移动应用软件的检查工具有着重要的指导作用。原创 2024-07-14 21:34:03 · 2159 阅读 · 0 评论 -
CodeNavi 中代码函数的节点和节点属性
CodeNavi 是一种用于编写静态检查规则的DSL语言。本篇将介绍 CodeNavi 中代码里函数、类/接口声明、注解，以及注释的节点和节点属性。原创 2024-07-13 20:26:33 · 737 阅读 · 0 评论 -
CodeNavi 中代码语句的节点和节点属性
CodeNavi 是一种用于编写静态检查规则的DSL语言。本篇将介绍中代码里语句和代码块对应 CodeNavi 的节点和节点属性。 语句节点包括：赋值语句；控制流语句包括：跳转语句、条件控制、Switch控制、循环控制、异常处理、静态语句、同步代码块。原创 2024-07-13 20:31:59 · 688 阅读 · 0 评论 -
CodeNavi 中代码表达式的节点和节点属性
继续介绍 CodeNavi 检查规则语言如何描述代码中的表达式。这些节点主要包括：对象创建表达式、强制类型转换、类型判断表达式、一元表达式、二元表达式、条件表达式/三目运算、方法引用表达式、lambda表达式，以及匿名内部类表达式。原创 2024-07-09 18:53:35 · 1123 阅读 · 0 评论 -
CodeNavi 规则的基础节点和节点属性
《CodeNavi 规则的语法结构》中已经描述了CodeNavi 编写规则的基础语法和对节点筛选的条件语句的语法。这篇里将进一步介绍代码中基础节点的定义，这些基础节点包括：节点类型、字面量、一般变量、枚举、成员变量（字段），以及数组。原创 2024-07-09 18:45:20 · 751 阅读 · 0 评论 -
CodeNavi 规则的语法结构
《寻找适合编写静态分析规则的语言》中我们一直在寻找一种更适合编写静态分析规则的语言，并给出了两个示例来说明我们的期望。这一篇重点介绍了这个用于编写代码检查规则的工具 CodeNavi 的语法结构。原创 2024-07-05 23:26:59 · 1086 阅读 · 0 评论 -
寻找适合编写静态分析规则的语言
目前静态分析工具的主要痛点：无法开发自定义规则、对误报和漏报的规则无法快速修改，以及开发自定义规则有一定的难度。为了解决这些问题，我们需要寻找适合编写静态分析规则的语言。原创 2024-07-05 23:16:31 · 1139 阅读 · 0 评论 -
代码的安全检视
代码检视是代码可读性、可维护性、规范遵从、团队内部学习和教育，以及把关和事故预防的重要手段。本文通过运用代码检视的检视表的方法，对代码常见的安全问题进行了覆盖，进一步降低代码安全问题的发生。原创 2024-05-26 18:42:11 · 1166 阅读 · 0 评论 -
和另一个有趣的灵魂关于静态分析工具一场对话
上一篇关于[和有趣的灵魂关于静态分析工具一场对话](https://bbs.huaweicloud.com/blogs/426458)。这里是通过和另一个大模型[秘塔AI搜索](https://metaso.cn/)的对话，来进一步测试大模型对论文的概括和总结能力，同时也和大模型探讨了静态分析工具的痛点和解决方法。原创 2024-05-02 12:48:40 · 1061 阅读 · 2 评论 -
和有趣的灵魂关于静态分析工具一场对话
随着网络攻击和漏洞利用的增加，静态应用程序安全测试（SAST）在 DevSecOps 使用的继续激增，以满足全球日益增长的安全需求。怎样的静态分析工具才是软件开发人员期望的工具? 程序员更关心的误报率，还是漏报率？让我们通过和大模型的一场对话，来帮助我们进一步梳理在这些问题上的根因以及改进的要素。原创 2024-04-27 21:05:45 · 820 阅读 · 0 评论 -
构建DevSecOps中的代码三层防护体系
在DevSecOps的应用过程中，静态分析工具在开发阶段承担着非常重要的代码质量和安全的看护任务。本文根据开发过程的不同位置的开发环境、代码特征以及检测工具能力的差异，提出了需要因地制宜地部署检查工具，形成递进的三层代码安全防御体系，从而提高应用软件整体安全性，同时又能有效的贯彻安全左移的策略，降低安全问题的维护成本。原创 2023-09-20 23:27:01 · 189 阅读 · 1 评论 -
CWE4.8 -- 2022年危害最大的25种软件安全问题
CWE的危害最大的25种软件安全问题是安全从业人员、软件架构师、设计人员、开发人员、测试人员、用户、项目经理、安全研究人员, 以及教育工作者和标准组织等专业人员应对软件安全问题和降低软件安全风险的一种实用、方便的数据资源。我们来看下新版的《2022年危害最大的25种安全问题》在安全预防上会给了我们哪些安全提示。......原创 2022-07-31 12:27:17 · 1186 阅读 · 2 评论 -
密码密钥硬编码检查
Verizon《2022数据泄露调查报告（DBIR）》指出，61%的数据泄露涉及凭证数据，凭证是犯罪分子最喜欢的数据类型，就像披着羊皮的狼一样，它们的行为在攻击之前显得无害。凭证的泄露是信息泄露的主要途径，内部员工操作不规范、没有养成良好的工作行为习惯以及疏忽大意等已成为多起严重网络安全事件发生的根本原因。本文重点讲述通过静态检查工具有效的防止密码密钥的泄露。......原创 2022-07-12 23:30:16 · 2156 阅读 · 0 评论