一款好用的国产软件源代码缺陷分析平台 — CodeSense

原创 2022-03-17 17:35:42 4.8k 阅读 AI写同款

ValiantSec

8粉丝10篇原创

关注

SAST 技术产品 CodeSense 通过信通院工具能力测试 CodeSense源代码缺陷分析平台（SAST）成功通过中国信通院泰尔实验室组织的——“先进网络安全能力验证评估计划第九期 — 应用安全开发测试工具能力”测试。阅读详情

AI摘要

CodeSense是一款由清华大学与国防科技大学专家团队研发的源代码缺陷分析平台，支持多种编程语言和开发框架，提供跨程序分析，具备强大的安全漏洞和质量缺陷检测能力，覆盖多种行业标准。其独特的智慧减负功能和黑白名单定义，降低了审计工作量，提升研发效率。产品具备完全自主知识产权，支持国产操作系统，并提供丰富的集成选项，助力DevOps流程。

CodeSense是新一代的软件源代码缺陷深度分析平台。

包含多个自研的代码分析引擎，同时提供开放的方案，支持多种商业/开源分析引擎集成并对结果进行集中展示，与目前市面的国外商业工具对比，在语言种类、功能、标准、缺陷分类数量上，已达到一致。额外针对国内市场环境，CodeSense提供了大量适用于中国用户使用场景易用的功能。

http://www.valiantsec.cn/product/?id=77

CodeSense是结合清华大学与国防科技大学的专家团队对代码静态分析技术的深度理论研究，经过长期软件工程实践研发而成，可以支持10余种编程语言和开发框架，并且可在多种国产平台进行部署。

产品功能

采用业界先进的值流图分析技术，能够实现跨程序/跨文件的上下文敏感分析与对象敏感分析，精准的检测软件安全漏洞与质量缺陷，结合独有的智慧减负与黑白名单技术，服务于安全部门或研发团队。

· 支持主流软/硬件环境

支持Windows、Linux、银河麒麟等操作系统的部署运行，支持对基于SpringMVC、SpringBoot、SSM、Struts2、ThinkPHP、Flask等多种常见编程语言框架开发的软件进行源代码静态分析，支持的主流开发语言包括：C/C ++、C #、Java、P HP、Python、JavaScript、XML、Go、Scala、Kotlin、Ruby等。

· 代码安全态势感知
为项目管理人员提供代码安全与质量综合评估平台，全面展示安全状态，减少软件安全与质量短板。

· 强大的安全漏洞和软件质量缺陷检测能力
安全漏洞与质量缺陷检测能力可完全覆盖CWE 7PK、OWASP TOP 10、GJB-8114、GJB-5369、MISRA等行业标准与规范，能够有效的检出程序中潜在的内存安全类、运行时异常、注入类、跨站类、性能问题等安全漏洞和质量缺陷。
· 全局数据流图
CodeSense为缺陷与漏洞提供全局数据流图与最佳修复点建议，协助开发人员快速定位修复该类型缺陷的最关键函数/代码块。
· 软件开发生命周期集成功能
支持与软件开发生命周期中的各种工具进行集成，包括SCM工具： Git、SVN；构建工具如CMake、Maven；持续集成环境：Jenkins、GitLab-CI；缺陷跟踪系统：禅道；提供REST API接口，可无缝集成到DevOps流程中。

· 精准分析能力

采用行业领先的值流图技术方案，兼顾了代码静态分析效率与精度，可跨越多重函数、多个文件检测出隐蔽的代码安全漏洞与质量缺陷，有效提升了检出率。
· 智慧减负
可以针对同一代码的不同版本进行增量分析，可将之前的代码审计结果链接到后续版本中进行趋势分析，方便相关人员在版本迭代时重点关注新增问题和遗留问题，极大地减少工作量，提高研发效率。
· 简便的黑白名单定义操作
提供基于函数签名的黑名单函数自定义（Source点、Sink点）和白名单函数（Sanitize点）功能，用户能够基于业务需求将自定义的功能封装函数、安全处理函数录入CodeSense，提升分析结果的准确度。