AST，多行業(yè)應(yīng)用安全漏洞檢測(cè)不可或缺

時(shí)間：2022-04-01 10:30:01 | 來(lái)源：行業(yè)動(dòng)態(tài)

時(shí)間：2022-04-01 10:30:01 來(lái)源：行業(yè)動(dòng)態(tài)

為了幫助企業(yè)提升產(chǎn)品研發(fā)效率和質(zhì)量，同時(shí)實(shí)現(xiàn)DevOps和Sec兩個(gè)目標(biāo)，可在軟件開(kāi)發(fā)的初期便進(jìn)行介入和預(yù)防，借助工具提升代碼安全檢測(cè)的效率。因此AST（應(yīng)用程序安全漏洞測(cè)試）軟件成為了首要選擇。AST領(lǐng)域包含SAST（靜態(tài)測(cè)試）、DAST（動(dòng)態(tài)測(cè)試）和IAST（交互式測(cè)試）這三類(lèi)測(cè)試方法。

如果開(kāi)發(fā)者能在左移測(cè)試（Shift-Left Testing），即在開(kāi)發(fā)生命周期的初期使用SAST工具，則可以有效地提升代碼檢測(cè)的準(zhǔn)確性和效率，極大地降低時(shí)間、資金、人力等資源的消耗。而市場(chǎng)對(duì)于SAST工具的核心要求便是掃描效率高、速度快、準(zhǔn)確率高。鑒釋目前提供的SAST核心產(chǎn)品就可以有效融入軟件開(kāi)發(fā)生命周期（SDLC）中，為DevSecOps實(shí)踐提供最大的幫助，鑒釋IAST產(chǎn)品的開(kāi)發(fā)也正在快速進(jìn)行中。

目前除了IT行業(yè)，許多傳統(tǒng)行業(yè)，例如金融、能源、工業(yè)、教育、醫(yī)療等都有軟件安全的需求， 此時(shí)AST類(lèi)的工具就該上場(chǎng)了。但面對(duì)多場(chǎng)景的應(yīng)用，安全團(tuán)隊(duì)不應(yīng)該一味照搬公式，而是應(yīng)該像給軟件和代碼做診斷的醫(yī)生一般詳細(xì)地了解、分析應(yīng)用的行業(yè)背景、需求、痛點(diǎn)以及未來(lái)計(jì)劃等。缺乏細(xì)致、持續(xù)溝通的解決方案只能解決一時(shí)之急，鑒釋立足于目前核心的SAST產(chǎn)品，細(xì)心打磨自主解決方案，提供更快速、高效、持續(xù)的響應(yīng)，已經(jīng)幫助多行業(yè)的開(kāi)發(fā)團(tuán)隊(duì)安全、快速的走完開(kāi)發(fā)周期。

除了工具提供的輔助外，團(tuán)隊(duì)上下對(duì)安全的重視程度也相當(dāng)重要。Gitlab今年發(fā)布的第四次全球DevSecOps年度報(bào)告稱(chēng)，安全團(tuán)隊(duì)不再是局外人，開(kāi)發(fā)和運(yùn)維人員的跨團(tuán)隊(duì)緊密合作達(dá)到了前所未有的程度。安全，則變成了團(tuán)隊(duì)每個(gè)成員都應(yīng)該秉持的理念。該報(bào)告數(shù)據(jù)顯示，近30%的受訪(fǎng)者認(rèn)為團(tuán)隊(duì)內(nèi)的每個(gè)人都應(yīng)當(dāng)將軟件安全視作己任，而20%的受訪(fǎng)者認(rèn)為開(kāi)發(fā)人員也應(yīng)挑起軟件安全的大梁，而不是只拘泥于開(kāi)發(fā)。



圖2：Gitlab對(duì)于團(tuán)隊(duì)內(nèi)部安全責(zé)任分擔(dān)問(wèn)題的調(diào)查結(jié)果

該調(diào)查結(jié)果無(wú)不標(biāo)志著安全責(zé)任正從原來(lái)的安全運(yùn)維團(tuán)隊(duì)逐漸擴(kuò)大至軟件開(kāi)發(fā)團(tuán)隊(duì)內(nèi)的每個(gè)成員身上，開(kāi)發(fā)人員和運(yùn)維團(tuán)隊(duì)之間的界限越來(lái)越模糊，即將Sec深深融入DevOps骨髓之中。