背景介绍
源代码安全审计是依据CVE(Common Vulnerabilities & Exposures)公共漏洞字典表、OWASP十大Web漏洞(Open Web Application Security Project),以及设备、软件厂商公布的漏洞库,结合专业源代码扫描工具对各种程序语言编写的源代码进行安全审计。为客户提供包括安全编码规范咨询、源代码安全现状测评、源代码整改咨询等服务。
目前信息安全的主要问题体现在应用软件上,分析和审计软件源代码将是保证应用软件安全的一个最有效的方法。源代码安全审计是以发现应用程序编码过程中造成的安全漏洞为目的,通过源代码静态分析工具,对已有的代码进行检测、分析,并对导致安全漏洞的错误代码进行定位和验证,从根源上分析软件的安全隐患,从而找出加强软件安全和提高性能的方法,然后提供补救建议。
参考依据
CVE(Common Vulnerabilities & Exposures)公共漏洞字典表
OWASP(Open Web Application Security Project)公共漏洞字典表
《软件安全开发标准》(ISO/IEC 27034)
《信息安全技术 应用软件系统安全等级保护通用技术指南》GAT 711-2007
《信息安全技术 信息系统安全等级保护测评要求》(GBT 28448-2012)
服务内容
1. 安全编码规范及规则咨询
为系统开发人员提供安全编码规范、规则的咨询和建议,避免不安全的编码方式,提高源代码自身的安全性。
2. 源代码安全现状测评
针对系统开发过程中的编码阶段、测试阶段、交付验收阶段、对各阶段系统源代码进行安全审计检测,利用数据流分析引擎、语义分析引擎、控制流分析引擎等技术,采用专业的源代码安全审计工具对源代码安全问题进行分析和检测并验证,从而对源代码安全漏洞进行定级,给出安全漏洞分析报告等,帮助软件开发的管理人员统计和分析当前阶段软件安全的风险、趋势,跟踪和定位软件安全漏洞,提供软件安全质量方面的真实状态信息。
3. 源代码整改咨询
依据源代码安全测评结果,对源代码安全漏洞进行人工审计,并依据安全漏洞问题给出相应修改建议,协助系统开发人员对源代码进行修改。