端瑪科技啟用源代碼分析技術(shù)處理大數(shù)據(jù)(42張)課件

1、啟用源代碼分析技術(shù)處理大數(shù)據(jù)Checkmarx中國(guó)區(qū)技術(shù)專家第1頁(yè)，共44頁(yè)。 陳安明介紹端瑪科技總經(jīng)理，獨(dú)立應(yīng)用安全風(fēng)險(xiǎn)分析師，Checkmarx中國(guó)區(qū)技術(shù)專家。是中國(guó)最早從事源代碼分析技術(shù)調(diào)查和研究人員，專門(mén)從事應(yīng)用軟件安全風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)消除、培訓(xùn)、教育和軟件安全生命開(kāi)發(fā)周期SDL咨詢。其優(yōu)秀的軟件安全方案、產(chǎn)品及專業(yè)化的軟件安全開(kāi)發(fā)生命周期SDL服務(wù)已進(jìn)入金融銀行、保險(xiǎn)、電信、汽車(chē)、媒體娛樂(lè)、軟件、服務(wù)和軍事等財(cái)富1000的企業(yè)第2頁(yè)，共44頁(yè)。議題概述傳統(tǒng)以安全為導(dǎo)向的源代碼分析工具只能檢測(cè)到黑客明顯可以利用的漏洞，而且這些工具所找到的安全漏洞的數(shù)量非常多，即使這些結(jié)果是精確的，都很難

2、在短時(shí)間修復(fù)，這樣一來(lái)，我們就不得不面臨兩個(gè)現(xiàn)實(shí)問(wèn)題： 一、我們?nèi)绾螌?duì)付那些工具沒(méi)有覆蓋到的代碼？ 二、我們?cè)鯓硬拍芴岣甙踩┒葱迯?fù)的能力？ 為了應(yīng)對(duì)這些挑戰(zhàn)，我們把研究的側(cè)重點(diǎn)放在了大數(shù)據(jù)分析領(lǐng)域，將大數(shù)據(jù)的先進(jìn)技術(shù)與我們的研究整合到一起。借這次交流的機(jī)會(huì)，我想與大家分享一下我們的研究方法以及我們的成果。第3頁(yè)，共44頁(yè)。源代碼分析的歷史第一代源代碼分析系統(tǒng)安全知識(shí)是通過(guò)綁定靜態(tài)的規(guī)則體現(xiàn)。靜態(tài)規(guī)則依據(jù)原始或者標(biāo)準(zhǔn)語(yǔ)言的缺陷來(lái)制定的，對(duì)用戶而言，技術(shù)是不可見(jiàn)的。 用戶代碼架構(gòu)和框架適應(yīng)能力差。幾乎無(wú)法適應(yīng)在開(kāi)發(fā)語(yǔ)言基礎(chǔ)上用戶私有的架構(gòu)和框架代碼封裝的掃描。規(guī)則主要細(xì)節(jié)不公開(kāi)，用戶很難自定義或

3、者調(diào)整規(guī)則滿足用戶自身的系統(tǒng)架構(gòu)和代碼封裝的需求。 使用依賴操作系統(tǒng)環(huán)境和編譯器 第4頁(yè)，共44頁(yè)。第5頁(yè)，共44頁(yè)。源代碼分析的歷史（續(xù)）新一代源代碼分析系統(tǒng)的安全知識(shí)是通過(guò)綁定靜態(tài)的規(guī)則體現(xiàn)。靜態(tài)規(guī)則依據(jù)原始或者標(biāo)準(zhǔn)語(yǔ)言技術(shù)架構(gòu)和框架的缺陷來(lái)制定的，公開(kāi)規(guī)則實(shí)現(xiàn)的技術(shù)和細(xì)節(jié)。用戶代碼架構(gòu)和框架適應(yīng)能力強(qiáng)。適應(yīng)在開(kāi)發(fā)語(yǔ)言基礎(chǔ)上用戶私有的架構(gòu)和框架代碼的掃描。規(guī)則主要細(xì)節(jié)完全公開(kāi)，用戶很容易自定義或者調(diào)整規(guī)則滿足用戶自身的系統(tǒng)架構(gòu)和代碼封裝的需求。能夠任意添加自己需要的有關(guān)業(yè)務(wù)邏輯和代碼質(zhì)量相關(guān)的查詢使用簡(jiǎn)便！虛擬編譯器，無(wú)須代碼編譯。無(wú)需依賴操作系統(tǒng)環(huán)境和編譯。分析范圍：SQL 注入-惡意后

4、門(mén)-代碼質(zhì)量缺陷第6頁(yè)，共44頁(yè)。AbstractStore安全漏洞 代碼質(zhì)量業(yè)務(wù)邏輯第7頁(yè)，共44頁(yè)。示例第8頁(yè)，共44頁(yè)。安全漏洞 質(zhì)量缺陷業(yè)務(wù)邏輯應(yīng)用程序智能分析第9頁(yè)，共44頁(yè)。SCKD源代碼知識(shí)發(fā)現(xiàn)“使用群體的智慧”（大數(shù)據(jù)）通過(guò)代碼的不規(guī)則性來(lái)識(shí)別安全漏洞第10頁(yè)，共44頁(yè)。零日？零配置？如果我們連自己要問(wèn)什么問(wèn)題都不清楚，該怎么辦呢？如果我們沒(méi)辦法對(duì)系統(tǒng)進(jìn)行配置，怎么辦？我們需要一位“大師”，來(lái)替我們問(wèn)問(wèn)題。替我們配置系統(tǒng)。替我們找到漏洞。給我們提供指導(dǎo)。 第11頁(yè)，共44頁(yè)。有這樣一位大師是你！是你！是你！還是你！我們大家 形成集體智慧大多數(shù)開(kāi)發(fā)人員在大多數(shù)時(shí)間都能編寫(xiě)出好的、

5、標(biāo)準(zhǔn) 、高質(zhì)量代碼第12頁(yè)，共44頁(yè)。群體我們可以根據(jù)代碼統(tǒng)計(jì)來(lái)設(shè)定一個(gè)基準(zhǔn)，并發(fā)現(xiàn)偏差。第13頁(yè)，共44頁(yè)。源代碼知識(shí)發(fā)現(xiàn)-SCKD源代碼知識(shí)發(fā)現(xiàn) 時(shí)下最為活躍 的研究課題之一(數(shù)據(jù)庫(kù)中的知識(shí)發(fā)現(xiàn)- /wiki/Knowledge_extraction )“知識(shí)發(fā)現(xiàn)描述的是一個(gè)自動(dòng)搜索大規(guī)模數(shù)據(jù)模式的過(guò)程，而該模式可以被稱之為有關(guān)數(shù)據(jù)的知識(shí)。通常我們稱之為來(lái)自于輸入數(shù)據(jù)的知識(shí)。從方法和術(shù)語(yǔ)兩個(gè)層面來(lái)說(shuō)，知識(shí)發(fā)現(xiàn)與其發(fā)掘來(lái)源數(shù)據(jù)領(lǐng)域的關(guān)系都非常緊密?！钡?4頁(yè)，共44頁(yè)。技術(shù)實(shí)現(xiàn)建立參考數(shù)據(jù)、尋找共同序列查找違規(guī)情況第15頁(yè)，共44頁(yè)。獲取數(shù)據(jù)S = input();If (isValid(s

6、)response.write(s);A = input();If (isValid(A)response.write(A);K = input();If (isValid(k)response.write(k);M = input();If (isValid(M)response.write(M);C = input();If (isValid(C)response.write(C);第16頁(yè)，共44頁(yè)。查找偏差，設(shè)立基準(zhǔn)* = input();If (isValid(*)response.write(*); v = input();response.write(v);?X第17頁(yè)，共44頁(yè)

7、。后門(mén) 若我的名字是Maty，登錄If (isAuthenticated(user).If (isAuthenticated(user).If (isAuthenticated(user).If (isAuthenticated(user).If (isAuthenticated(user).If (isAuthenticated(user) | = “maty”).If (isAuthenticated(user) | = “maty”).第18頁(yè)，共44頁(yè)。增值 利用應(yīng)用云服務(wù)？VAT = 1.05VAT = 1.08VAT = 1.08VAT = 1.08尋找不同應(yīng)用之間的相似之處，建立

8、一個(gè)內(nèi)部標(biāo)準(zhǔn)。使用零定義！ 只要我們能修復(fù)一些應(yīng)用就行，這些應(yīng)用會(huì)幫助我們找到那些沒(méi)被修復(fù)的。第19頁(yè)，共44頁(yè)。我們的優(yōu)勢(shì)總體來(lái)說(shuō)：我們能夠找到群體中隱藏的知識(shí)，給它命名，并找到違規(guī)情況。安全：確定在每一個(gè)頁(yè)面都對(duì)客戶進(jìn)行驗(yàn)證自動(dòng)識(shí)別消毒程序后門(mén) (“if (isValid(user) or user=“Maty”)”)業(yè)務(wù)邏輯(“if (qty 0) charge (qty*amnt)”)質(zhì)量發(fā)布的永遠(yuǎn)都是具體資源最佳編碼實(shí)踐（自動(dòng)識(shí)別策略）變量初始化群體的智慧對(duì)于大型企業(yè)和代碼庫(kù)作用更為明顯第20頁(yè)，共44頁(yè)。圖形可視化優(yōu)化代碼修復(fù)活動(dòng) “使用智能圖形方法識(shí)別安全漏洞交匯的連接節(jié)點(diǎn)及最佳

9、的修復(fù)位置” 第21頁(yè)，共44頁(yè)。代碼掃描結(jié)果修復(fù)問(wèn)題找到數(shù)以千計(jì)的準(zhǔn)確結(jié)果，但其實(shí)并不是我們希望看到的。例如Webgoat有大約220個(gè)跨站腳本和SQL 注入漏洞。假設(shè)我們需要30分鐘來(lái)修復(fù)一個(gè)漏洞+30分鐘來(lái)驗(yàn)證修復(fù)，那就會(huì)需要220個(gè)小時(shí)，幾乎是一個(gè)月的工作量我們把這些工作縮到16個(gè)地方約耗費(fèi)1/14 的時(shí)間這樣一來(lái)，我們就有時(shí)間去打打高爾夫球了第22頁(yè)，共44頁(yè)。代碼掃描分析結(jié)果現(xiàn)狀每一個(gè)代碼掃描結(jié)果都有一個(gè)獨(dú)立于其它調(diào)查結(jié)果的數(shù)據(jù)流。第23頁(yè)，共44頁(yè)。單一數(shù)據(jù)流路徑 跨站腳本String s = Request.QueryString“param1”;Response.Write(

10、s);Request.QueryString“param1”;sResponse.Write(s);Request.QueryString“param1”;sResponse.Write(s);第24頁(yè)，共44頁(yè)。代碼掃描分析結(jié)果現(xiàn)狀一個(gè)漏洞，很好解決。 14個(gè)同時(shí)出現(xiàn)，怎么辦？第25頁(yè)，共44頁(yè)。多個(gè)單一路徑 跨站腳本 大量工作第26頁(yè)，共44頁(yè)。但。他們有什么共同點(diǎn)？這些掃描結(jié)果之間有關(guān)聯(lián)嗎？第27頁(yè)，共44頁(yè)。組合路徑第28頁(yè)，共44頁(yè)。我們就能夠。指出、點(diǎn)擊、檢查，甚至連源代碼都不用讀嗎“我修復(fù)這里可以嗎？”“或者這里？”第29頁(yè)，共44頁(yè)。我修復(fù)這里可以嗎？第30頁(yè)，共44頁(yè)。修復(fù)這

11、里其實(shí)效率更高第31頁(yè)，共44頁(yè)。還有這？第32頁(yè)，共44頁(yè)。自動(dòng)提出“假設(shè)”問(wèn)句= 找到最佳的修復(fù)位置第33頁(yè)，共44頁(yè)。比較這兩種情況：第34頁(yè)，共44頁(yè)。圖形可視化修復(fù)建議的優(yōu)勢(shì)展示相同安全漏洞類型和不同問(wèn)題調(diào)用之間的相關(guān)性。處理的并不是個(gè)人或者單個(gè)問(wèn)題路徑的發(fā)現(xiàn) 事實(shí)上是整個(gè)系統(tǒng)。讓您得以更好地利用時(shí)間第35頁(yè)，共44頁(yè)。Webgoat 220個(gè)修復(fù)位置示例只要輕輕一點(diǎn)，我們就可以把220個(gè)位置縮減到16個(gè)。結(jié)果越多，我們的解決方式就越能體現(xiàn)其效率第36頁(yè)，共44頁(yè)。Q&AAny Question？ 第37頁(yè)，共44頁(yè)。代碼安全漏洞和質(zhì)量缺陷掃描云服務(wù)中心為使用Java、JSP、Jav

12、aSript、 VBSript、C# 、ASP.net 、VB.Net、 VB6、 C/C+ 、ASP 、PHP, Ruby、Perl 、PL/SQL、 Android、OWASP ESAPI、MISRA、和Objective-C (iOS) .(AppExchange platform)、API to 3rd party languages 等多種語(yǔ)言開(kāi)發(fā)的軟件開(kāi)發(fā)企業(yè)和項(xiàng)目提供源代碼安全漏洞和質(zhì)量缺陷掃描和分析，并提供結(jié)果審計(jì) 、管理 和報(bào)表生成。 第38頁(yè)，共44頁(yè)。應(yīng)用安全服務(wù)平臺(tái)框架及內(nèi)容第39頁(yè)，共44頁(yè)。應(yīng)用安全在線eLearning培訓(xùn)在線培訓(xùn)課程是基于世界頂級(jí)的應(yīng)用安全講師和

13、咨詢專家的豐富的安全實(shí)踐和教學(xué)經(jīng)驗(yàn)而組織，幫助開(kāi)發(fā)組織快速了解和普及應(yīng)用軟件安全方面的知識(shí)、技能和成熟軟件安全分析方法和最佳實(shí)踐。以期他們?cè)谧疃痰臅r(shí)間里學(xué)習(xí)到最需要的軟件安全知識(shí)，從而有效地應(yīng)用到軟件開(kāi)發(fā)的生命周期里 第40頁(yè)，共44頁(yè)。應(yīng)用安全開(kāi)發(fā)標(biāo)準(zhǔn)指導(dǎo)系統(tǒng)第41頁(yè)，共44頁(yè)。第42頁(yè)，共44頁(yè)。1、不是井里沒(méi)有水，而是你挖的不夠深。不是成功來(lái)得慢，而是你努力的不夠多。2、孤單一人的時(shí)間使自己變得優(yōu)秀，給來(lái)的人一個(gè)驚喜，也給自己一個(gè)好的交代。3、命運(yùn)給你一個(gè)比別人低的起點(diǎn)是想告訴你，讓你用你的一生去奮斗出一個(gè)絕地反擊的故事，所以有什么理由不努力!4、心中沒(méi)有過(guò)分的貪求，自然苦就少。口里不說(shuō)

14、多余的話，自然禍就少。腹內(nèi)的食物能減少，自然病就少。思緒中沒(méi)有過(guò)分欲，自然憂就少。大悲是無(wú)淚的，同樣大悟無(wú)言。緣來(lái)盡量要惜，緣盡就放。人生本來(lái)就空，對(duì)人家笑笑，對(duì)自己笑笑，笑著看天下，看日出日落，花謝花開(kāi)，豈不自在，哪里來(lái)的塵埃!5、心情就像衣服，臟了就拿去洗洗，曬曬，陽(yáng)光自然就會(huì)蔓延開(kāi)來(lái)。陽(yáng)光那么好，何必自尋煩惱，過(guò)好每一個(gè)當(dāng)下，一萬(wàn)個(gè)美麗的未來(lái)抵不過(guò)一個(gè)溫暖的現(xiàn)在。6、無(wú)論你正遭遇著什么，你都要從落魄中站起來(lái)重振旗鼓，要繼續(xù)保持熱忱，要繼續(xù)保持微笑，就像從未受傷過(guò)一樣。7、生命的美麗，永遠(yuǎn)展現(xiàn)在她的進(jìn)取之中;就像大樹(shù)的美麗，是展現(xiàn)在它負(fù)勢(shì)向上高聳入云的蓬勃生機(jī)中;像雄鷹的美麗，是展現(xiàn)在它搏

15、風(fēng)擊雨如蒼天之魂的翱翔中;像江河的美麗，是展現(xiàn)在它波濤洶涌一瀉千里的奔流中。8、有些事，不可避免地發(fā)生，陰晴圓缺皆有規(guī)律，我們只能坦然地接受;有些事，只要你愿意努力，矢志不渝地付出，就能慢慢改變它的軌跡。9、與其埋怨世界，不如改變自己。管好自己的心，做好自己的事，比什么都強(qiáng)。人生無(wú)完美，曲折亦風(fēng)景。別把失去看得過(guò)重，放棄是另一種擁有;不要經(jīng)常艷羨他人，人做到了，心悟到了，相信屬于你的風(fēng)景就在下一個(gè)拐彎處。10、有些事想開(kāi)了，你就會(huì)明白，在世上，你就是你，你痛痛你自己，你累累你自己，就算有人同情你，那又怎樣，最后收拾殘局的還是要靠你自己。11、人生的某些障礙，你是逃不掉的。與其費(fèi)盡周折繞過(guò)去，不

16、如勇敢地攀登，或許這會(huì)鑄就你人生的高點(diǎn)。12、有些壓力總是得自己扛過(guò)去，說(shuō)出來(lái)就成了充滿負(fù)能量的抱怨。尋求安慰也無(wú)濟(jì)于事，還徒增了別人的煩惱。13、認(rèn)識(shí)到我們的所見(jiàn)所聞都是假象，認(rèn)識(shí)到此生都是虛幻，我們才能真正認(rèn)識(shí)到佛法的真相。錢(qián)多了會(huì)壓死你，你承受得了嗎?帶，帶不走，放，放不下。時(shí)時(shí)刻刻發(fā)悲心，饒益眾生為他人。14、夢(mèng)想總是跑在我的前面。努力追尋它們，為了那一瞬間的同步，這就是動(dòng)人的生命奇跡。15、懶惰不會(huì)讓你一下子跌倒，但會(huì)在不知不覺(jué)中減少你的收獲;勤奮也不會(huì)讓你一夜成功，但會(huì)在不知不覺(jué)中積累你的成果。人生需要挑戰(zhàn)，更需要堅(jiān)持和勤奮!16、人生在世：可以缺錢(qián)，但不能缺德;可以失言，但不能失

17、信;可以倒下，但不能跪下;可以求名，但不能盜名;可以低落，但不能墮落;可以放松，但不能放縱;可以虛榮，但不能虛偽;可以平凡，但不能平庸;可以浪漫，但不能浪蕩;可以生氣，但不能生事。17、人生沒(méi)有筆直路，當(dāng)你感到迷茫、失落時(shí)，找?guī)撞窟@種充滿正能量的電影，坐下來(lái)靜靜欣賞，去發(fā)現(xiàn)生命中真正重要的東西。18、在人生的舞臺(tái)上，當(dāng)有人愿意在臺(tái)下陪你度過(guò)無(wú)數(shù)個(gè)沒(méi)有未來(lái)的夜時(shí)，你就更想展現(xiàn)精彩絕倫的自己。但愿每個(gè)被努力支撐的靈魂能吸引更多的人同行。第43頁(yè)，共44頁(yè)。1、想要體面生活，又覺(jué)得打拼辛苦；想要健康身體，又無(wú)法堅(jiān)持運(yùn)動(dòng)。人最失敗的，莫過(guò)于對(duì)自己不負(fù)責(zé)任，連答應(yīng)自己的事都辦不到，又何必抱怨這個(gè)世界都和

18、你作對(duì)？人生的道理很簡(jiǎn)單，你想要什么，就去付出足夠的努力。2、時(shí)間是最公平的，活一天就擁有24小時(shí)，差別只是珍惜。你若不相信努力和時(shí)光，時(shí)光一定第一個(gè)辜負(fù)你。有夢(mèng)想就立刻行動(dòng)，因?yàn)楝F(xiàn)在過(guò)的每一天，都是余生中最年輕的一天。3、無(wú)論正在經(jīng)歷什么，都請(qǐng)不要輕言放棄，因?yàn)閺膩?lái)沒(méi)有一種堅(jiān)持會(huì)被辜負(fù)。誰(shuí)的人生不是荊棘前行，生活從來(lái)不會(huì)一蹴而就，也不會(huì)永遠(yuǎn)安穩(wěn)，只要努力，就能做獨(dú)一無(wú)二平凡可貴的自己。4、努力本就是年輕人應(yīng)有的狀態(tài)，是件充實(shí)且美好的事，可一旦有了表演的成分，就會(huì)顯得廉價(jià)，努力，不該是為了朋友圈多獲得幾個(gè)贊，不該是每次長(zhǎng)篇贅述后的自我感動(dòng)，它是一件平凡而自然而然的事，最佳的努力不過(guò)是：但行好事

19、，莫問(wèn)前程。愿努力，成就更好的你！5、付出努力卻沒(méi)能實(shí)現(xiàn)的夢(mèng)想，愛(ài)了很久卻沒(méi)能在一起的人，活得用力卻平淡寂寞的青春，遺憾是每一次小的挫折，它磨去最初柔軟的心智、讓我們懂得累積時(shí)間的力量；那些孤獨(dú)沉寂的時(shí)光，讓我們學(xué)會(huì)守候內(nèi)心的平和與堅(jiān)定。那些脆弱的不完美，都會(huì)在努力和堅(jiān)持下，改變模樣。6、人生中總會(huì)有一段艱難的路，需要自己獨(dú)自走完，沒(méi)人幫助，沒(méi)人陪伴，不必畏懼，昂頭走過(guò)去就是了，經(jīng)歷所有的挫折與磨難，你會(huì)發(fā)現(xiàn)，自己遠(yuǎn)比想象中要強(qiáng)大得多。多走彎路，才會(huì)找到捷徑，經(jīng)歷也是人生，修煉一顆強(qiáng)大的內(nèi)心，做更好的自己！7、“一定要成功”這種內(nèi)在的推動(dòng)力是我們生命中最神奇最有趣的東西。一個(gè)人要做成大事，絕不

20、能缺少這種力量，因?yàn)檫@種力量能夠驅(qū)動(dòng)人不停地提高自己的能力。一個(gè)人只有先在心里肯定自己，相信自己，才能成就自己！8、人生的旅途中，最清晰的腳印，往往印在最泥濘的路上，所以，別畏懼暫時(shí)的困頓，即使無(wú)人鼓掌，也要全情投入，優(yōu)雅堅(jiān)持。真正改變命運(yùn)的，并不是等來(lái)的機(jī)遇，而是我們的態(tài)度。9、這世上沒(méi)有所謂的天才，也沒(méi)有不勞而獲的回報(bào)，你所看到的每個(gè)光鮮人物，其背后都付出了令人震驚的努力。請(qǐng)相信，你的潛力還遠(yuǎn)遠(yuǎn)沒(méi)有爆發(fā)出來(lái)，不要給自己的人生設(shè)限，你自以為的極限，只是別人的起點(diǎn)。寫(xiě)給渴望突破瓶頸、實(shí)現(xiàn)快速跨越的你。10、生活中，有人給予幫助，那是幸運(yùn)，沒(méi)人給予幫助，那是命運(yùn)。我們要學(xué)會(huì)在幸運(yùn)青睞自己的時(shí)候?qū)W會(huì)感恩，在命運(yùn)磨練自己的時(shí)候?qū)W會(huì)堅(jiān)韌。這既是對(duì)自己的尊重，也是