Martin

Checkmarx

發表於 | 分類於 |

静态源代码分析漏洞工具Checkmarx

###工具简介：
checkmarx CxSAST 是一款強大的源碼檢測(Source Code Analysis) 解決方案，專門為識別、追蹤和修復軟件源码技術上和邏輯方面的安全漏洞而設計。Checkmarx 可檢測最多程式安全弱點、支援多種系統平台、程式語言和開發框架。融入軟件開發生命週期(Software Development Life Cycle, SDLC) 的CxSuite程式碼自動化檢測機制，允許開發团队以最少的時間和成本，解決源码安全面临的挑戰。

、

亮点：

  1. 操作簡單、与「软件生命周期 SDLC」 整合
  • 形成「安全的软件生命周期 (SSDLC, Secure Software Development Life Cycle)」 ，允许核心人員在SDLC 初期就进行源码检测。而且Checkmarx 无须重新构建开发环境，這对于复杂系統特別重要，因為无须任何設定，即可迅速检测程序码。
  1. 有效的检测结果
  • 多種弱點檢測
  • 完整验证及追踪每件弱點檢測結果
  • 图形化顯示被檢出弱點的路徑
  • 攻击向量
  • 获得一个从代码中找到的漏洞集的宏观图。查看漏洞之间的相
    互关系，并鉴定出最佳修复点
    Alt text
  1. 詳盡易讀的檢測結果，有效降低風險
  • 包含詳盡資訊，包括問題種類、問題、風險等級等資訊，協助使用者輕鬆掌握問題、了解優先順序
  1. 精準找出漏洞所在
  • 图形化显示被检测出弱點的程序路徑
  • 直指弱點所在位置，迅速改正弱點
  • 指出「最佳修復點」，可同步修復相關弱點，大幅增加開發人員修復效率

Alt text
Alt text
Alt text

  1. 無須安裝編譯器，即可進行源碼檢測
  2. 支持多种语言与框架
    • Java, C# / .NET, PHP, C, C++, Visual Basic 6.0, VB.NET, APEX, Ruby, Javascript, ASP, Perl, Mobile(Android, Objective C, Windows Phone )
  3. 多種使用模式
  • 客戶端建置: 定期授權、永久授權
  • 到場服務模式: 源碼檢測 / 動態黑箱檢測服務
    • 檢測服務模式：單次/數次針對指定專案進行掃描並提供報告
  1. 售價：
  • 订阅式，按用户数以及项目数收费,分为两种，一种checkmarx与开发平台集成（75万/年），另一种是没有集成的（75万/年）