深度解密 | 灵脉SAST 3.0最新特性曝光

  多模智能引擎焕新

2023年6月，

灵脉SAST入选国际权威咨询机构Forrester发布的

《The Static Application Security Testing Landscape》报告

成为全球范围内仅有的两款亚太区SAST代表产品之一

此次3.0版本重大焕新，

灵脉SAST从检测工具的灵魂核心入手

对引擎进行重构升级

运用多模核心技术

各类语言检测精度显著提升

 漏洞误报再创新低

灵脉SAST3.0支持与SCA软件成分分析、ASOC等产品进行联动，拓展自身应用实践场景、赋能敏捷工具链能力全面提升：

• 灵脉SAST与源鉴SCA产品深度结合，通过控制流分析、数据流分析等核心技术，对源代码进行漏洞存在性及漏洞可达性分析，真实判断漏洞是否有可能被源代码触发，极大程度有效降低漏洞误报率。

• 与夫子ASOC联动：夫子ASOC可以对SAST、SCA、IAST、RASP等工具进行统一调度和管理，并整合分析各工具之间的检测数据，通过漏洞优先级分析，帮助开发人员将有限精力聚焦到最高优先级的真实风险当中。

 检测焕新

灵脉SAST 3.0支持的主流开发语言、

检测规则类型及数量大幅增加，

漏报更少，检出率更高

此外，灵脉SAST 3.0增加了大量检测规则依据的规范和标准，使得自身的行业应用场景更广阔：

• 按照OWASP行业标准划分的缺陷颗粒度更细、更准确；

• 支持C/C++、Java、C#对应的国家代码审计标准，可出具符合国标的评测报告，更适配合规场景需求；

• 其他行业标准，如GJB 8114，可满足军工科研院所对代码进行静态分析的需要；

• Misra系列编码标准，可满足汽车制造行业对于编码质量的要求，符合国际对于车载系统编码安全的标准要求。

 敏捷焕新

除了误报率、检出率等技术硬指标的升级外，灵脉SAST 3.0同样关注业务场景的变化，截至目前已对接多个源码仓库、项目管理平台、CI/CD平台插件、IDE插件等，可集成至项目CI流水线中，满足企业敏捷开发、快速迭代的需求。

 体验焕新

√缺陷信息功能更完善：

• 检测结果展示：缺陷路径跟踪与代码文件对齐展示，方便开发人员利用缺陷路径定位和排查缺陷；

• 缺陷详情信息：包括CWE编号（若有）、 标准编号、检测集名称、缺陷名称、缺陷描述、潜在风险、缓解措施、错误示例、正确示例等，信息更加全面；

• 人工审计：可调整缺陷等级、可指派给相应人员、添加审计日志等。即使不对接外部禅道、Jira等缺陷管理系统，在产品内部也可以实现缺陷闭环处理。

√在检测模板中新增推荐模板和全量模板：

• 推荐模版包含最常见的CWE缺陷，方便用户快速使用；

• 支持在已有检测模板基础上调整检测规则数量，方便用户根据自身需求定制规则模版。

√新增项目-应用-任务三级检测任务组织方式：

• 日常创建检测【项目/应用】，便于多种维度统计检测数据；

• 应急时创建快速检测任务，检测结果不纳入图表分析，不对数据统计分析产生影响。

√产品可控能力优化，提升缺陷处理效率：

• 可自行控制检测任务启动、停止、重新启动；

• 新增批量修改缺陷描述、批量审计功能。

关于“悬镜安全”