manok-CSDN博客

原创不管SDLC还是Devops，请把好安全质量门

微软自2004年就采用SDL（Security Development Lifecycle），即安全开发生命周期。后面很多安全企业提出S-SDLC（Secure Software Development Lifecycle）。这个概念也是被安全行业的公益组织OWASP所支持。安全中的SDLC就是指将原来集中在软件开发生命周期后期进行的工作，放到软件开发生命周期各个阶段去，在每个阶段做...

2020-03-13 17:45:39 7362

原创浅谈DevSecOps工具链中的源代码安全保障

近期，很多企业开始关注DevSecOps，下面根据作者对其理解，简单分析一下在DevSecOps的源代码安全该如何考虑和建设。主要分5部分：1、DevSecOps建设的背景和目的2、安全才是提升研发交付质量的第一要素3、安全自动化是安全交付的保障4、企业如何实施DevSecOps5、企业落实DevSecOps的动力正文：1 DevSecOps建设的背景和目的随着...

2020-02-11 18:08:16 2012

原创再借你一双慧眼识别强大的代码安全审计工具

今天，我还是分析一款强大的代码安全审计工具到底应该什么样？还是以OWASP Benchmark的Java案例作为例子进行分析。Benchmark中2740个包含真假漏洞的案例中，分为10类，例如SQL注入、命令行注入、弱密码、弱哈希等等。下面我以其中三个类别的真假漏洞作为例子，进行分析。先看SQL注入，我从其中选择了一个具有代表性的案例，BenchmarkTest00105.j...

2019-12-31 07:42:09 671

翻译智能软件测试方法探究

本章根据汇总资料通过AI生成，仅供参考

2025-01-14 09:53:39 10

原创 SCA降低安全漏洞误报方法之一

获取安全漏洞的代码特征信息是有效降低SCA误报，提升检测精度的方式之一。

2024-12-30 15:09:50 713

原创 17961-致命级别检测规则

这是17961标准中级别最高的检测规则

2024-12-15 19:39:42 596

原创 Coverity部分C/C plus检测规则

这是Coverity部分C、C++检测规则

2024-12-15 17:05:30 452

原创 Coverit静态指标度量属性

这是Coverity支持的静态指标度量属性，不算多，主要是常见的几个。

2024-12-15 16:59:18 162

原创 QAC静态指标度量属性

这是SAST工具，严格说不算真正意义上的静态应用安全测试工具，但是它可以检测很多的静态指标。

2024-12-15 16:56:25 410

原创国内外常见的SAST工具支持的检测集

这是国内外SAST常见工具支持的检测规则集合

2024-12-15 16:46:49 350

原创 Coverity支持的检测集

Coverity支持的检测规则集合

2024-12-15 16:40:49 224

原创 FindSecBus的检测规则

很多SAST工具集成了FindSecBugs，这里是一些主要的检测规则。

2024-12-15 16:37:26 329

原创（SAST检测规则-7）关键状态数据的外部控制漏洞 (External Control of Critical State Data)

SAST检测规则系列

2024-12-02 21:06:46 775

原创（SAST检测规则-6）数据库参数篡改漏洞 (SQL Injection - Database Parameter Tampering)

sast检测规则系列

2024-12-02 21:04:02 1106

原创（SAST检测规则-4）危险文件包含漏洞 (File Inclusion)

这是SAST检测规则

2024-12-01 10:45:39 1133

原创（SAST检测规则-3）固定的 SessionID 缺陷详解

SAST检测规则序列之三

2024-11-30 19:37:04 1125

原创（SAST检测规则-1）Android - 权限管理漏洞

这是一条SAST静态分析规则

2024-11-27 22:04:40 604

原创开放原子开源基金会网站上的开源项目EasyBaaS存在内存泄露缺陷

开放原子开源基金会网站上的开源项目EasyBaaS存在内存泄露缺陷。

2024-09-25 21:53:24 583

原创开放原子开源基金会网站上的开源项目Opns存在缓冲区溢出缺陷

开放原子开源基金会网站上的开源项目Opns存在缓冲区溢出缺陷，本文列举了一处，实际上存在多处缺陷，该项目具有风险。

2024-09-25 21:51:39 638

通过对项目中的代码片段生成相似哈希值，分析工具能够快速比对这些哈希值，识别出可能复用的代码或变体。在此基础上，可以进一步进行深度分析，例如文件级或代码片段级的详细比对，从而更准确地确定代码的来源和演变路径。这意味着即使代码片段经历了小幅度的修改，如变量名的更改或注释的增加，相似哈希仍然能够识别出这些片段之间的联系。在这种背景下，相似哈希技术（Simhash, Minhash等）成为溯源分析中的一项关键工具，能够高效识别和比较不同代码片段之间的相似性，帮助开发者和安全专家精确地追溯代码的起源。

2024-09-03 14:47:07 437

原创 SBOM在国防军工领域的应用前景分析

国防军工领域建立SBOM是否应纳入日程上来了。

2024-09-03 14:31:13 497

原创克隆技术在代码溯源和复用及变更分析中的应用

克隆技术已在软件代码溯源分析领域得到广泛应用，而轩宇软件成分分析系统基于溯源分析和同源分析技术，通过先进的特征向量提取、相似性匹配、高效检索引擎等多项技术，帮助企业高效识别代码来源、评估自主可控率，并优化代码复用和变更情况。该系统具备强大的知识库支持，能够快速定位潜在安全漏洞和许可合规问题，为企业提供全面的软件成分管理和安全保障方案。

2024-08-30 16:22:44 1590

原创强监管的车企网络安全标准的发布是利好

《汽车整车信息安全技术要求》对于安全行业来说是好事

2024-03-18 21:08:56 568

原创小议SCA漏洞可达性分析

SCA工具的可达性分析，你理解了吗？

2024-03-18 20:49:21 769

原创库博SCA的同源分析

库博的同源分析，支持混源检测的SCA工具

2024-03-18 12:25:15 659

原创 Sonarqube中Java规则与CWE与OWASP的映射关系

这是Sonarqube整理规则

2024-03-16 17:11:42 660 1

原创 SAST技术联盟研讨会总结

静态分析技术研讨会纪要

2024-03-16 16:24:34 933

原创假如我是刘强东，京东AI怎么做？

人工智能与购物，日常事务管理，打理结合起来

2024-03-03 13:49:44 434

原创 SCA软件成分同源分析-代码匹配技术

软件供应链安全主要工具软件成分分析工具对应的同源分析技术中，代码匹配是最核心算法。本文进行了探讨。

2024-03-01 17:25:03 544

AI的发展，2024年你的业务在哪里

2024-01-25

2023年12月初，新思科技发布了BSIMM 14 从报告上来看，我们能够清晰的看到2023年在软件安全领域发生的变化

2023年12月初，新思科技发布了BSIMM 14。从报告上来看，我们能够清晰的看到2023年在软件安全领域发生的变化。这个资源是翻译的全部资料，需要的请下载。

2023-12-19

保障软件供应链安全《SBOM推荐实践指南》2023年11月发布译文

2023年11底，美国ODN、NSA CCC、CISA、CSCC等多个政府机构部门联合发布了《保障软件供应链安全：SBOM推荐实践指南》，《SBOM推荐实践指南》主要由ESF（Enduring Security Framework长久安全框架）小组编撰，该文件根据行业内对于SBOM的最佳实践和原则提供了非常具有建议性的指导意见，并且鼓励软件开发商和供应商共同参考，以维护和提升对软件供应链安全的认识。

2023-12-18

Gartner 2023年7月份发布了安全运营Hype Cycle，这些资料对安全运营做了前瞻性的分析有时间可以读读

Gartner 2023年7月份发布了安全运营Hype Cycle，这些资料对安全运营做了前瞻性的分析。有时间可以读读。

2023-12-01

安全产品开发，经常需要整理OWASP TOP 10与CWE的映射关系，这个文件是OWASP TOP 2021与CWE的映射关系

不管是做网络安全产品研发，还是应用安全产品开发，经常需要整理OWASP TOP 10与CWE的映射关系，这个文件是OWASP TOP 2021与CWE的映射关系，花费很长时间梳理的这张映射表啊，而OWASP TOP10 从2021年发布中，开始包括了与CWEDE 映射关系，但是给出的只是一些具有代表性的CWE编号。这张表很全。

2023-11-26

是Synopsys也就是新思的检测器，开发SAST工具的朋友都知道的

这是宝贵资源，请且下载且珍惜

2023-10-01

汽车领域的C/C++编码规范

汽车领域的C/C++编码规范，越来越多的汽车生产企业遵守该规范

2023-09-28

静态分析资料汇总和学习笔记

这个笔记是我从事SAST、SCA等软件应用安全领域工作多年整理的资料，包括有博士的，有南京大学的，有自己百度后整理的资料，对于从事静态分析的研发人员，测试人员，售前和售后人员都有很大裨益。主要SAST相关资料。

2023-03-09

静态检测工具对比表-F&CO&COV.xlsx

对Fortify SCA、Covertity、CodeSec三款静态分析工具进行对比的文件。包括误报率、漏报率、检测效率、对第三方组件检测支持能力、支持CI能力、编译环境等

2022-06-25

静态分析工具对比,包括了常见静态分析工具

包括了Testbed、C++ test、Fortify、Klocwork、Coverity、Checkmarx、SonarQube、代码卫士、Cobot。对比项包括了厂家名称、所属国家、安装OS、检测引擎、架构、跨文件分析能力、检测器类型支持、规则定制支持能力、静态度量、运行缺陷检测能力、安全漏洞检测能力、支持的检测语言、误报率、漏报率、检测效率、检测报告、接口、二次开发SDK、是否支持CI/CD等等。

2022-06-25

COBOT与Jenkins集成的详细资料

cobot与Jenkins集成的材料，介绍的非常详细，欢迎查看。

2022-06-25

COBOT和其他工具对比.pdf

这是2021年Cobot与其它工具的对比资料

2022-06-20

静态源代码安全检测工具比较.pdf

对Fortify SCA、Checkmarx、CodeSecure 三款工具进行对比。

2022-06-20

不同企业，SDL差异几何——不同企业的SDL建设Roadmap分析4.10.pdf

不同企业的SDL建设Roadmap分析

2022-06-20

CppCheck扫描规则

这是CppCheck工具的检测规则，中英文。

2022-06-19

静态程序分析（五、六）:数据流分析基础理论

一、迭代算法 Iterative Algorithm Data Flow Analysis Foundations，数据流分析基础理论。掌握数据流分析基础理论，才能自如的设计数据流分析算法来解决特定的静态分析问题。下图是一个通用的数据流分析迭代算法，采用前向数据流，它用来得到一个数据流问题的解给定一个含有 k 个节点的程序 CFG，迭代算法每次迭代时更新每个 CFG 节点的输出信息，即 OUT[n]。假设数据流分析中数据 data facts 的集合是 V，这里的数据是指我们分析问题的数据，数据的 domain 就是这些数据抽象值的域。比如，我们在分析到达定值这个具体数据流问题时，V 就是程序所有变量的集合，domain 就是程序中所有的变量可能取得的抽象值的集合{0,1}。再如，常量传播例子中，分析的数据 data facts 集合 V 就是程序中所有的变量，v 的 domain 就是{未定义、不是常量、0、1、2、1.2、...} ，这个 domain 就是无穷的，因为作为常量可是任何数。在到达定值中，我们用一个 bit vector 来表示节点的输出数据作为

2022-06-19

静态程序分析（七）:过程间分析

一、为什么需要过程间分析前面的数据流分析学习中，我们接触到的都是过程内 intraprocedural 的分析，在过程内分析遇到函数调用如何处理的呢？在过程内分析的情况下，对函数调用的通常的做法是：对方法的调用做最保守的估计，认为方法调用可以做任何事情，以确保安全近似，举例如下：对于常量传播的例子来说，如下程序片段：过程内分析不对函数调用进行处理，在 foo()中对函数 bar()时，静态分析认为 bar()函数输入的参数是任何值，所以 x = NAC，y=NAC，foo 函数中调用 bar 后的返回值也认为是任何值，所以 n = NAC。而实际的运行情况来看，n 的值是 10，x 就是 42，y 就是 43。过程内分析丢失了精度。为提高分析的精度，就需要进行过程间的分析，数据流通过过程间的控制流边进行传递，如下图所示：

2022-06-19

Mitigating the Risk of Software Vulnerabilities by Adopting

Mitigating the Risk of Software Vulnerabilities by Adopting a Secure Software Development Framework (SSDF)。 Donna Dodson Applied Cybersecurity Division Information Technology Laboratory Murugiah Souppaya Computer Security Division Information Technology Laboratory Karen Scarfone Scarfone Cybersecurity Clifton, VA April 23, 2020

2022-06-19

Static Program Analysis，静态程序分析

Anders Møller and Michael I. Schwartzbach February 10, 2022 这是最新的程序分析技术资料，2022年的。

2022-06-19

2004&2007&2010&2013&2017 OWASP TOP 10.rar

压缩包中包括OWASP top10 从2004年、2007年、2010年、2013年和2017年5次发布的OWASP top 10，是研究网络安全的好材料。

2020-04-12

空空如也

TA创建的收藏夹 TA关注的收藏夹

TA关注的人

AI的发展，2024年你的业务在哪里

2023年12月初，新思科技发布了BSIMM 14 从报告上来看，我们能够清晰的看到2023年在软件安全领域发生的变化

保障软件供应链安全《SBOM推荐实践指南》2023年11月发布译文

Gartner 2023年7月份发布了安全运营Hype Cycle，这些资料对安全运营做了前瞻性的分析 有时间可以读读

安全产品开发，经常需要整理OWASP TOP 10与CWE的映射关系，这个文件是OWASP TOP 2021与CWE的映射关系

是Synopsys也就是新思的检测器，开发SAST工具的朋友都知道的

汽车领域的C/C++编码规范

静态分析资料汇总和学习笔记

静态检测工具对比表-F&CO&COV.xlsx

静态分析工具对比,包括了常见静态分析工具

COBOT与Jenkins集成的详细资料

COBOT和其他工具对比.pdf

静态源代码安全检测工具比较.pdf

不同企业，SDL差异几何——不同企业的SDL建设Roadmap分析4.10.pdf

CppCheck扫描规则

静态程序分析（五、六）:数据流分析基础理论

静态程序分析（七）:过程间分析

Mitigating the Risk of Software Vulnerabilities by Adopting

Static Program Analysis，静态程序分析

2004&2007&2010&2013&2017 OWASP TOP 10.rar

空空如也

Gartner 2023年7月份发布了安全运营Hype Cycle，这些资料对安全运营做了前瞻性的分析有时间可以读读