共计 2024 个字符，预计需要花费 6 分钟才能阅读完成。
据 SAP 称， 当今 85% 的平安攻打针对的是软件应用程序 ，因而一些列应用程序平安测试工具也应运而生。为了防止这些歹意攻打，企业通常应用应用程序平安测试工具来去缓解和解决平安危险，而不同的工具对应的应用办法和覆盖范围各不相同。本期文章，咱们将会探讨 SAST 和 SCA 这两种类型的应用程序平安解决方案如何帮忙企业应答不同的危险。
软件世界的危险与挑战
在这个依附软件运行的世界中，企业面临一个挑战：开发好的软件很难。 随着软件变得越来越简单，确保其可靠性和安全性变得更加艰难 。无论是购买的软件、专有软件还是作为服务交付的软件，都无奈防止破绽问题，而开源软件更是如此。但开源的劣势相较于传统开发模式更加突出，即更快的上市工夫、更多的翻新机会、更低的开发成本以及与寰球开发人员社区更亲密的分割。然而企业有时会疏忽与开源应用相干的平安和风险管理挑战。
专有代码中的问题
在开发过程中，开发人员难免会将一些平安问题（例如 OWASP Top 10 和 2019 CWE Top 25 中列出的问题）误引入专有代码中。最驰名的平安问题包含 SQL 注入、毁坏的身份验证和会话治理以及跨站点脚本。而动态应用程序平安测试 (SAST) 能够在开发人员编写代码时，或在提交、构建或测试阶段，通过查看代码自身来检测常见类型的问题。
开源组件中的破绽
开源破绽，例如美国国家破绽数据库 (NVD) 中列出的破绽，是通过在代码库中应用开源组件引入的。其实开源软件并意味着不比商业软件更平安或更不平安，只是不足对其应用的开源可见性的企业无奈无效缓解和修复开源破绽。同时开源破绽的数量正在增长，NVD 仅在 2018 年就报告了超过 16,000 个新的开源破绽。软件成分剖析 (SCA) 侧重于辨认代码库中的开源成分，以便开发团队能够更好地缓解治理他们面临的平安和许可合规危险和问题。
与攻击者的较量
企业通常会采纳数种形式来缓解和解决破绽危险和问题，但如何更高效地治理破绽是企业都非常关注的中央。尽管修复破绽可能仅仅须要破费几天或几分钟的工夫，但企业往往须要破费数月工夫来发现可被利用的破绽。
此外，开源破绽还会带来额定的平安危险。因为开源在任何中央都能够拜访和应用，歹意攻击者则会利用这一点，来拜访无关已知开源破绽的公开信息以及无关如何利用破绽的详细信息。比方，当破绽被报告进去时，开源社区通常也会相应公布该破绽的利用形式阐明。因而，开源的存在尽管让软件开发变得更加便捷高效，但同时也给歹意攻击者提供了同样信息源和便当。
SAST vs SCA: 差别一览
应用程序平安挑战多种多样，那么解决这些挑战的最佳办法是什么？解决软件破绽的无效办法当然包含平安测试工具，应用 SAST 来发现专有代码中的问题，以及应用 SCA 来发现开源代码中的破绽。
同时蕴含 SAST 和 SCA 的软件平安程序会更加全面，而企业也会取得以下的成果：
- 通过晚期辨认和抉择平安组件进步了产品质量
- 跨专有代码和开源组件的更高的平安危险可见性
- 升高在开发过程晚期发现和修复的破绽的补救老本
- 针对已知开源破绽的攻打将安全漏洞危险降至最低
- 优化的平安测试，无效与麻利开发工具和实际兼容
让咱们别离来看看这两个平安测试工具的特点及其劣势。
动态利用平安测试 SAST
SAST 通过查看应用程序的源代码来查明可能的平安问题，有时称为白盒测试（因为源代码可用且通明）。SAST 在软件开发生命周期（SDLC）的晚期施展了微小的作用，而在软件开发晚期修复问题绝对容易且老本更低。SAST 能够无效地发现上文提到的许多常见平安问题，例如跨站点脚本、SQL 注入和缓冲区溢出。
SAST 劣势
- 查明专有代码中的缺点和问题
- 在 SDLC 晚期发现问题，此时修复老本远比在软件开发中后期要低得多！
- 在代码投入生产之前检测问题（也就是在这些问题成为破绽之前解决掉！）
软件成分剖析 SCA
SCA 辨认代码库中的所有开源并将该清单映射在以后已知破绽的列表。入门级解决方案只是收集无关已申明的开源（例如库）的信息并将其与 NVD 进行比拟，而更高级的解决方案则会应用简单的源代码和二进制文件扫描，来确保其更全面地辨认所有开源代码，包含从已知起源复制的代码片段。除此之外，还应用其余破绽信息来裁减 NVD 数据，以提供更残缺、更及时的报告。先进的 SCA 解决方案会针对应用程序部署后报告的破绽提供继续监控和警报。
SCA 劣势
- 牢靠地检测和映射其余办法无奈发现的已知开源破绽
- 提供对正在应用的开源代码的残缺阐明
- 继续监控发现的新破绽
总 结
应用程序平安这个畛域正在迅速地倒退，而这在很大水平上要归功于开源代码的宽泛使用。开源凭借其显著的劣势，逐步成为古代利用程序开发的根底。然而仅蕴含 SAST，且只关注专有代码的应用程序平安测试方法可能会留下重大的破绽辨认和治理破绽。在这个时候，SCA 对残余的局部做了很好的补充。SCA 提供了开源软件的自动识别和清单，将组件映射到已知破绽，并简化和爱护 CI/CD 流动。因而，正当地联合应用 SAST 和 SCA，可能对整个应用程序环境的安全性进行全面且深刻的评估。