新思科技靜態(tài)應(yīng)用安全測(cè)試幫助Cryptsoft公司提高軟件安全和質(zhì)量水平，在保持CI開發(fā)速度的同時(shí)提升掃描效率

新思科技(Synopsys)在Forrester Wave?發(fā)布的《2021年第一季度靜態(tài)應(yīng)用安全測(cè)試》報(bào)告中被評(píng)為領(lǐng)導(dǎo)者。在12家被評(píng)估的供應(yīng)商中，新思科技Coverity靜態(tài)分析解決方案在“現(xiàn)有產(chǎn)品”類別中獲得最高分，并且在“策略”類別中名列前三。多年來(lái)，全球許多企業(yè)都采用Coverity，以降低安全風(fēng)險(xiǎn)、確保應(yīng)用程序靈活性，并迅速向市場(chǎng)提供新功能。Cryptsoft是其中一家。

Cryptsoft背景介紹

澳大利亞安全公司Cryptsoft提供用于安全系統(tǒng)設(shè)計(jì)、部署、驗(yàn)證和互操作性的軟件開發(fā)工具。它的產(chǎn)品包括OASIS密鑰管理互操作性協(xié)議(KMIP)、OASIS公鑰密碼標(biāo)準(zhǔn)#11 (PKCS#11)和智能卡解決方案。

挑戰(zhàn)：增加和改善安全性，以DevOps的速度進(jìn)行掃描

隨著企業(yè)將其開發(fā)實(shí)踐快速發(fā)展為精簡(jiǎn)而敏捷的DevOps方法，能夠適應(yīng)并跟上開發(fā)速度和復(fù)雜性的工具至關(guān)重要。具體來(lái)說(shuō)，這些工具必須無(wú)縫集成到現(xiàn)有管道中，而不能“破壞構(gòu)建”或降低開發(fā)速度。

Cryptsoft的軟件產(chǎn)品在業(yè)界廣受贊譽(yù)，提供準(zhǔn)確高效的安全掃描。因此，任何集成到其軟件開發(fā)生命周期(SDLC)管道中的安全解決方案都必須能夠充分保持開發(fā)速度。

Cryptsoft創(chuàng)始人兼首席技術(shù)官Tim Hudson表示：“Cryptsoft的客戶中有很多知名的科技公司，他們的綜合期望很高。Cryptsoft為密鑰管理系統(tǒng)和硬件安全模塊提供軟件，我們必須使用所有可能的工具來(lái)提高代碼質(zhì)量、安全性及穩(wěn)定性?！?

這項(xiàng)需求關(guān)乎巨大的利益，同時(shí)開發(fā)速度需要不斷提升，因此，Cryptsoft尋求可以保持并擴(kuò)展其DevOps需求的靜態(tài)應(yīng)用安全測(cè)試(SAST)解決方案。

Tim Hudson表示，客戶會(huì)對(duì)產(chǎn)品進(jìn)行間歇性掃描，Cryptsoft需要先他們一步發(fā)現(xiàn)潛在風(fēng)險(xiǎn)。為了滿足這一要求，必須使用功能強(qiáng)大的SAST工具，以便能夠更快地發(fā)現(xiàn)漏洞，并且不會(huì)減慢CI(持續(xù)集成)流程。

解決方案：新思科技應(yīng)用安全測(cè)試工具

Cryptsoft采用了新思科技Coverity® SAST 解決方案，提升開發(fā)速度及軟件質(zhì)量與安全。

Coverity是一種快速、準(zhǔn)確且高度可擴(kuò)展的靜態(tài)分析解決方案，可幫助開發(fā)和安全團(tuán)隊(duì)在SDLC早期解決安全和質(zhì)量缺陷，追蹤和管理整個(gè)應(yīng)用組合中的風(fēng)險(xiǎn)，并確保符合安全和編碼標(biāo)準(zhǔn)。

Tim Hudson介紹道：“Coverity靜態(tài)應(yīng)用安全測(cè)試解決方案幫助Cryptsoft提前發(fā)現(xiàn)并修復(fù)漏洞。在客戶查詢發(fā)現(xiàn)的風(fēng)險(xiǎn)是漏洞還是誤報(bào)時(shí)，也可以更快地獲得響應(yīng)。Coverity覆蓋范圍廣，是目前市場(chǎng)上最有效的靜態(tài)代碼分析工具之一。Coverity要檢測(cè)的代碼范圍越來(lái)越廣，但是誤報(bào)率仍然保持一致，在同類產(chǎn)品中脫穎而出?！?

Tim Hudson說(shuō)：“如果沒(méi)有Coverity這類的工具，那么開發(fā)大型系統(tǒng)就像玩俄羅斯轉(zhuǎn)盤一樣，在賭運(yùn)氣，這不是我們想要的。憑借Coverity，開發(fā)人員可以確保手動(dòng)檢查過(guò)程中沒(méi)有遺漏，有助于我們做出明智的決定?！?

效果：掃描反饋快速、精準(zhǔn)，無(wú)縫集成

Cryptsoft想要將Coverity最新版本引入其構(gòu)建流程，而且希望操作相對(duì)簡(jiǎn)單。

Tim Hudson贊賞道：“效果超出我們預(yù)期。我們將Coverity集成到構(gòu)建過(guò)程中，在收到軟件的同一天就可以對(duì)掃描結(jié)果進(jìn)行分類。”

要與DevOps兼容，易于集成很關(guān)鍵。如果不能無(wú)縫集成到現(xiàn)有管道中可能會(huì)破壞開發(fā)活動(dòng)。借助Coverity，Cryptsoft的工作可以不間斷，Coverity能在同一天啟動(dòng)并運(yùn)行。此外，Coverity可以為Cryptsoft提供快速、可靠的掃描結(jié)果。

Tim Hudson補(bǔ)充說(shuō)：“開發(fā)人員能夠從持續(xù)集成環(huán)境中獲得即時(shí)反饋，意味著Coverity貫穿整個(gè)開發(fā)過(guò)程，而不是在開發(fā)周期結(jié)束時(shí)才使用。這使我們能夠確定和調(diào)整軟件開發(fā)期間可能存在的問(wèn)題結(jié)構(gòu)，進(jìn)一步減少了誤報(bào)。當(dāng)在難以測(cè)試的環(huán)境中檢測(cè)到潛在漏洞時(shí)，所有可能的代碼路徑中的靜態(tài)代碼分析帶來(lái)很大的好處，幫助我們?yōu)榭蛻艚桓陡鼜?qiáng)大的軟件?！?

憑借Coverity SAST，Cryptsoft的產(chǎn)品擁有可靠的安全性，表現(xiàn)出色，進(jìn)一步鞏固了其領(lǐng)先的行業(yè)地位。