开源源代码安全检测项目的行业须知「多面魔方」

如何开始源代码安全审计？

源代码安全审计是依据CVE(Common Vulnerabilities & Exures)公共漏洞字典表、OWASP Web漏洞，以及设备、软件厂商公布的漏洞库，结合源代码扫描工具对各种程序语言编写的源代码进行安全审计。能够为客户提供包括安全编码规范咨询、源代码安全现状测评、***源代码中存在的安全漏洞、分析漏洞风险、给出修改建议等一系列服务。

服务内容

1.安全编码规范及规则咨询

在软件编码之前，利用丰富的安全测试经验，为系统开发人员提供安全编码规范、规则的咨询和建议，提前避免不安全的编码方式，提高源代码自身的安全性。

2.源代码安全现状测评

针对系统开发过程中的编码阶段、测试阶段、交付验收阶段、对各阶段系统源代码进行安全审计检测，利用数据流分析引擎、语义分析引擎、控制流分析引擎等技术，采用的源代码安全审计工具对源代码安全问题进行分析和检测并验证，从而对源代码安全漏洞进行定级，给出安全漏洞分析报告等，帮助软件开发的管理人员统计和分析当前阶段软件安全的弱点、趋势，跟踪和安全漏洞，提供软件安全质量方面的真实状态信息。

3.源代码整改咨询

依据源代码安全测评结果，对源代码安全漏洞进行人工审计，并依据安全漏洞问题给出相应修改建议，协助系统开发人员对源代码进行修改。

源代码安全审计服务流程

怎么做代码安全审计

      首先客户提出代码安全审计要求，内容包括测试范围和时间，在提交《代码审计申请》与源代码时，附带《免责声明》一起给客户，客户收到申请与免责声明之后，确认审计范围与时间无误之后。客户提交给项目接口人，接口人进行工作量台账记录，然后由项目负责人进行工作安排，开始编写代码审计方案，经过客户方面认可代码审计方案后，开始实施代码审计工作，在审计过程中通过代码审计设备进行详细审计记录，通过信息收集、漏洞分析和成果整理编写出《代码审计报告》，并提交给客户，并协助完成漏洞修复。

      在漏洞修复工作之后，项目组进行代码审计复测，并输出《代码审计复测报告》，在客户方确认之后，单个系统代码审计工作完成。

代码安全审计的两种方式

1、人工审计

      人工审核是代码审核的关键因素，也是准确和的解决方案。人工审核依托于技术人员的安全编码经验、渗透测试经验以及新的知识库，能够有效的发现深层次的高风险安全漏洞，包括业务逻辑安全漏洞。在网上待测系统重要的业务场景中，很多高风险的安全漏洞都隐藏的比较深，只有通过经验丰富的安全人员进行人工审计才能发现相关的问题。同时，在人工审核的的过程中实施人员在集中发现安全缺陷的同时也会关注目标系统的合规性问题。通过对目标系统的源代码进行人工审核，可以有效的降低安全风险，提高系统安全性、健壮性和合规性。在开发阶段就发现安全问题，而不是将安全问题带入生产系统后才被发现并解决，课余有效的控制系统的研发成本。

2、自动化审计

      采用自动化的代码审计工具辅助审核，依赖于自动化工具的强大的安全编码规则集。能够快速的对常规的安全漏洞进行发现和***，有助于提高代码审计的工作效率和覆盖度，是一种常用的辅助手段。