端瑪企業級靜態原始碼掃描分析服務平臺——DMSCA

      DMSCA是端瑪科技在多年靜態分析技術的積累及研發努力的基礎上,聯合多所國內及國際知名大學、專家共同分析全球靜態分析技術的優缺點後、結合當前開發語言的技術現狀、原始碼缺陷的發展勢態和市場後,研發出的新一代原始碼企業級分析方案,旨在從根源上識別、跟蹤和修復原始碼技術和邏輯上的缺陷。該方案克服了傳統靜態分析工具誤報率(False Positive)高和漏報(False Negative)的缺陷。打斷了國外產品在高階靜態分析產品方面的壟斷,形成中國自主可控的高階原始碼安全和質量掃描產品,並支援中國自己的原始碼檢測方面的國家標準(GB/T34944-2017 Java、GB/T34943-2017 C/C 、GB/T34946-2017 C#),致力於為在中國的企業提供更直接,更個性化的平臺定製和本地化服務。

     DMSCA支援主流程式語言安全漏洞及質量缺陷掃描和分析,支援客戶化平臺介面、報告、規則自定義,以滿足客戶特定安全策略、安全標準和研發運營環境整合的需要。產品從面世,就獲得了中國國內眾多客戶的青睞,這些客戶包括但不限於銀行、線上支付、保險、電力、能源、電信、汽車、媒體娛樂、軟體、服務和軍事等行業的財富1000企業。

  系統架構

系統元件

產品介面

主要功能及特性

  • 作業系統獨立。程式碼掃描不依賴於特定作業系統,只需在在企業範圍內部署一臺掃描伺服器,就可以掃描其它作業系統開發環境下的程式碼。
  • 編譯器獨立、開發環境獨立,搭建測試環境簡單快速且統一。由於採用了獨特的虛擬編譯器技術,程式碼掃描不需要依賴編譯器和開發環境,無需為每種開發語言的程式碼安裝編譯器和測試環境,只需要通過客戶端、瀏覽器、開發環境整合外掛登入到we伺服器。
  • 工具學習、培訓和使用的成本少,最小化影響開發進度。由於編譯器、作業系統和開發環境獨立,使用者無需去學習每種平臺下如何去編譯程式碼,除錯程式碼、如何掃描測試程式碼,無需去看每種平臺下繁瑣的使用手則。因為端瑪程式碼掃描系統服務只需要提供原始碼即可掃描,並給出精確的掃描結果。
  • 低誤報。 DMSCA企業服務在掃描過程中全面分析應用的所有路徑和變數。準確地分析結果,驗證可能的風險是否真正導致安全問題,自動排除噪音資訊,掃描結果幾乎就是最終的分析結果,誤報率(False Positive)幾乎為零。極大的減少了審計分析的人工勞動成本,極大節省了程式碼審計的時間,為開發團隊贏得更多的開發時間。
  • 安全漏洞覆蓋面廣且全面 (低漏報)。數以百計的安全漏洞檢查適合任於何組織,支援最新的OWASP 、CWE、SANS、PCI、SOX、GDPR、等國際權威組織對軟體安全漏洞的定義,同時支援中國國家原始碼安全檢測標準(GB/T34944-2017 Java、GB/T34943-2017 C/C 、GB/T34946-2017 C#)。漏洞覆蓋面廣,安全檢查全面,其自定義查詢語言可以讓使用者靈活制定需要的程式碼規則,極大的豐富組織特定的程式碼安全和程式碼質量的需要。
  • 安全查詢規則清晰且完全公開實現。規則定義清晰,並完全公開所有規則的定義和實現讓使用者清楚知道工具如何去定義風險、如何去查詢風險,透明各種語言風險。讓使用者知道工具已經做了那些工作,沒有做那些該工作。而不是給使用者一個黑匣子,使用者無法瞭解工具的細節和缺陷,無法在程式碼審計過程中規避工具的風險(比如漏報和誤報),比如利用人工或者其它手段查詢工具不能定位的問題。
  • 安全規則自定義簡單高效。由於公開了所有規則實現的細節和語法,使用者可以快速修改規則或者參考已有的規則語句自定義自己需要規則,規則學習,定義簡單高效。能快速實現組織軟體安全策略。
  • 業務邏輯和架構風險調查。端瑪程式碼掃描系統服務可以對所有掃描程式碼的任意一個程式碼元素(詞彙)做動態的資料影響、控制影響和業務邏輯研究和調查。分析程式碼邏輯和架構特有的安全風險,並最後定義規則精確查詢這些風險。這是目前唯一能動態分析業務邏輯和軟體架構的靜態技術。
  • 攻擊路徑的視覺化,並以3D形式展現。每一個安全漏洞的攻擊模式和路徑完全呈現出來,以3D圖形的方式顯示,便於安全問題調查和分析。
  • 支援主流語言:Java、JSP、JavaSript、VBSript、C#、ASP.net、VB.Net、VB6、C/C 、ASP、PHP、Python、Swift、Ruby、Perl、PL/SQL、Android、OWASP ESAPI、MISRA、Objective-C(iOS)、API及第三方語言。
  • 支援的主流框架(Framework):Struts、Spring、Ibatis、GWT、Hiberante、EnterpriseLibraries、 Telerik、ComponentArt、Infragistics、FarPoint、Ibatis.NET、Hibernate.Net [*]、MFC。可針對客戶特定框架快速定製支援。
  • 服務獨立,全面的團隊掃描支援。作為伺服器執行。開發人員、管理人員和審計人員都可以憑各自的身份憑證從任何一處登入伺服器,進行程式碼掃描、安全審計、團隊、使用者和掃描任務管理。
  • 高度自動化掃描任務。自動整合版本管理(SubVersion、TFS、Git、其它)、SMTP郵件伺服器和Windows賬戶管理,實現自動掃描程式碼更新、自動掃描、自動報警和自動郵件通知等。
  • 支援多工排隊掃描、併發掃描、迴圈掃描、按時間排程掃描,提高團隊掃描效率。
  • 雲服務實現:支援跨Internet實現原始碼安全掃描“雲服務”。
  • 支援最佳修復位置建議 ,圖形顯示最佳修復點。
  • 支援客戶化平臺定製:定規則、定策略、定介面、定報告、定流程、定規範及介面整合。