源代碼安全掃描服務(wù)(已修改)
2025-02-24 15:10 本頁面
【正文】 源代碼安全掃描及 審計(jì)服務(wù) —— 方案報(bào)告 2023年 05月 2 匯報(bào)提綱 掃描內(nèi)容 2 定價(jià)方案 4 服務(wù)介紹 3 背景介紹 3 13 項(xiàng)目背景 —— 源代碼安全掃描及服務(wù)項(xiàng)目 隨著市場競爭的日益激烈，以及通信與計(jì)算機(jī)技術(shù)的不斷發(fā)展，業(yè)務(wù)支持系統(tǒng)的軟件規(guī)模日益龐大，應(yīng)用環(huán)境日益復(fù)雜，新業(yè)務(wù)需求層出不窮，舊業(yè)務(wù)不斷更新優(yōu)化 。對系統(tǒng)源代碼的質(zhì)量要求權(quán)也越來越高 .從提高系統(tǒng)的安全性及穩(wěn)定性出發(fā) 。由中國移動廣東分公司牽頭針對開發(fā)商 (目前是針對華為 ,從興 )的源代碼進(jìn)行質(zhì)量控制 ,保證源代碼的質(zhì)量 。確保系統(tǒng)穩(wěn)定 ,高效的運(yùn)行 行業(yè)現(xiàn)況 ?項(xiàng)目規(guī)模越來越龐大 ,業(yè)務(wù)復(fù)雜度越來越高 ?開發(fā)團(tuán)隊(duì)龐大 ,個(gè)人開發(fā)風(fēng)格 ,水平不一致 ,導(dǎo)致開發(fā)出來的代碼質(zhì)量高低不一 ?對行業(yè)項(xiàng)目的安全要求越來越高 ,因此對項(xiàng)目的質(zhì)量則越高 ?由此上三大因素 ,故引入代碼掃描控制不利因素 ,提升質(zhì)量 引入背景 背景介紹 4 項(xiàng)目優(yōu)點(diǎn) 源代碼掃描是基于專利技術(shù)分析引擎開發(fā)的軟件基礎(chǔ)上實(shí)施 綜合應(yīng)用了多種近年來最先進(jìn)的靜態(tài)分析技術(shù) 是出色的軟件靜態(tài)分析軟件 是唯一集效率與速度為一身的強(qiáng)大而又精確的企業(yè)級源代碼分析工具 通過該項(xiàng)目開發(fā)人員在桌面端快速而準(zhǔn)確的定位安全隱患 識別錯誤 和軟件架構(gòu)問題；通過項(xiàng)目分析軟件研發(fā)經(jīng)理可以 直接看到軟件代碼和架構(gòu)的 安全性和可靠性視圖，避免軟件 研發(fā)經(jīng)理往往需要研讀軟件代碼才能發(fā)現(xiàn)軟件中 的問題的弊端 軟件安全經(jīng)理可以在軟件開發(fā)生命周期中 發(fā)現(xiàn)、 評估、糾正和度量軟件安全 優(yōu) 點(diǎn) 1 優(yōu) 點(diǎn) 2 5 項(xiàng)目效益 ? 引進(jìn)代碼掃描項(xiàng)目之后當(dāng)年的項(xiàng)目成本降低 50% 引進(jìn)代碼掃描項(xiàng)目之后項(xiàng)目成本縮減 202300美金 We had a very tight schedule and without Klocwork Insight, we would have had difficulty meeting our objectives on time. 項(xiàng)目引進(jìn)代碼掃描項(xiàng)目之后項(xiàng)目成員減少 900h/人的工作成本 “ “ Justin Thomas, Software Team Lead, Johns Hopkins APL CC 6 匯報(bào)提綱 掃描內(nèi)容 2 定價(jià)方案 4 服務(wù)介紹 3 背景介紹 3 17 掃描內(nèi)容 1. 缺陷 檢測 2. 安全漏洞 檢測 3. 軟 件架 構(gòu) 分析 4. 軟 件度量分析 5. 可定制代 碼 分析 掃 描核心 內(nèi) 容 簡 介 除了提供一些核心的掃描內(nèi)容外 ,還可與 IDE集成使用；提高開發(fā)代碼質(zhì)量 8 掃描內(nèi)容 JAVA 錯誤 (如 :空的 finalize方法 ) 維護(hù) 性 問題 (如：空的 catch從 句 ) 問題 (如 資 源泄漏 ) c/c++ 1. 空指 針釋 放 2. 內(nèi) 存管理 問題 (如 內(nèi) 存泄漏 ) 3. 數(shù)組 越界 4. 未初始化 數(shù) 據(jù)使用 5. 編碼風(fēng) 格 問題 ? 下面介紹下缺陷檢測中的一些詳細(xì)信息 ,支持不同語言的掃描 。其中可以檢測出180種 Java的錯誤 ,220種 C++錯誤 ,下面列舉詳細(xì)缺陷類型 ,其中每個(gè)缺陷類型下包含各類子錯誤 9 掃描內(nèi)容 ? 下圖是源代碼掃描之后所生成的十大錯誤報(bào)告 :總結(jié)了項(xiàng)目中最現(xiàn)個(gè)數(shù)最多 的前十個(gè)錯誤 ,包括錯誤名稱 (這里為了直觀將英文翻譯成中文 ),出現(xiàn)次數(shù)及所占百分比 10 下面對在源代碼掃描中的缺陷類型選取幾例常見的加以說明 缺陷類型：內(nèi)存管理問題 子錯誤代碼 : 可能存在的內(nèi)存泄漏 (類似的代碼錯誤 ),這個(gè)報(bào)告并非一定存在內(nèi)存泄漏 ,提示在源碼中存在此類風(fēng)險(xiǎn) . 摘取的代碼實(shí)例如下： 源碼： G:\c++\report\report3\tasks\ftpfile\ 行
電大資料相關(guān)推薦
鄂ICP備17016276號-1