两款商品化源码审计工作辅助工具对照

随著网络的急速发展，各种应用软体不断涌现，应用软体已经正式成为现代人生活不可或缺的一部分，在大家享受应用软体给现代人带来便利的与此同时，安全可靠难题频繁发生，关键信息外泄、业务中断、敲诈等安全可靠事件比比皆是，如何保证网络的安全可靠正式成为了两个关键的话题。

近年来，大部分安全可靠难题来自于网络层安全可靠，网络层的安全可靠难题主要由开发辅助工具源码中的安全可靠瑕疵所导致。有关源码安全可靠的研究越来越多，源码安全可靠正式成为了化解网络安全可靠难题的两个关键方向，也是网络安全可靠中的两个新兴应用领域。

在测试阶段引入标识符检验化解安全可靠难题的思路开始被许多企业所认可。源码检验属于程序预测应用领域，需要具有有关应用领域的控制技术实力，许多传统的安全可靠供应商都没有有关的商品化控制技术商品。网上有许多开放源码的审计工作辅助工具，但检验能力、检验精确度极差，责任编辑结合多年对源码检验商品的了解，介绍两款较为成熟的商品化源码检验商品。

1、Fortify SCA

Fortify Software公司是一间总部位于硅谷，致力于提供更多应用开发辅助工具安全可靠开发辅助工具和管理方案的供应商。Fortify为应用开发辅助工具开发组织、安全可靠审计工作人员和应用安全可靠职员提供更多辅助工具并确立最佳的应用开发辅助工具安全可靠实践和策略，帮助他们在开发辅助工具开发开发周期地鸣鼠最多的时间和成本去辨识和复原开发辅助工具源码中的安全可靠隐患。

Fortify SCA是两个动态的、科茴芹的开发辅助工具源码安全可靠测试辅助工具，它透过内建的五大主要预测发动机：报文、语法、结构、巨集、配置流等对应用开发辅助工具的源码展开动态的预测，预测的过程中与它特有的开发辅助工具安全可靠漏洞规则集展开全面地相匹配、搜寻，进而将源码中存在的安全可靠漏洞扫描器出来，并给予整理报告。扫描器的结论中不但包括详细的安全可靠漏洞的关键信息，还会有有关的安全可靠知识的说明，以及复原意见的提供更多。

Fortify SCA全力支持Java,JSP,ASP.NET,C,VB.NET,C,C ,COBOL,ColdFusion,

Transact-SQL,PL/SQL,JavaScript/Ajax,Classic,ASP,VBScript,VB6,PHPjava，jsp多种不同语言，600多种不同信用风险类别，全力支持CWE/OWASP国际性非主流国际性标准，交货型态为纯开发辅助工具。

2、Checkmarx CxSuite

Checkmarx 是巴勒斯坦的一间高技术开发辅助工具公司。它的商品CheckmarxCxSuite专门设计为辨识、追踪和复原开发辅助工具源码上的控制技术和逻辑方面的安全可靠信用风险。首开了以面向对象定位标识符安全可靠难题，其采用独特的词语预测控制技术和CxQL专利权查阅控制技术来扫描器和预测源码中的安全可靠漏洞和软肋。

Checkmarx CxSuite的扫描器结论能以动态财务报表形式展示，也能透过能对开发辅助工具安全可靠漏洞和产品质量瑕疵在标识符的运行时的数据传递和初始化图追踪的标识符瑕疵的各个环节，与此同时还能提供更多对安全可靠漏洞和产品质量瑕疵展开复原提供更多指导建议。也能对结论展开审计工作，进而消除误用。

Checkmarx CxSuite全力支持JAVA、ASP.NET（C、VB.NET）、JavaScript、Jscript、C/C 、APEX等语言，500多种不同信用风险类别，全力支持CWE/OWASP国际性非主流国际性标准，交货型态为纯开发辅助工具。

3、360标识符卫士

360标识符卫士是360企业安全可靠集团基于多年源码安全可靠实践经验推出的新一代源码安全可靠检验化解方案，包括源码瑕疵检验、合规检验、溯源检验三大检验功能，与此同时360标识符卫士还可实现开发辅助工具安全可靠开发开发周期管理，与企业已有标识符版本管理系统、瑕疵管理系统、构建辅助工具等无缝对接，将源码检验融入企业开发流程，实现开发辅助工具源码安全可靠目标管理、自动化检验、差距预测、Bug复原追踪等功能，帮助企业以最小代价建立标识符安全可靠保障体系并落地实施，构筑关键信息系统的内建安全可靠。

标识符卫士目前全力支持Windows、Linux、Android、Apple iOS、IBM AIX等平台上的标识符安全可靠检验，全力支持的编程语言涵盖C/C /C/Objective-C/Java/JSP/JavaScript/PHP/Python/Cobol等非主流语言。在开发辅助工具标识符瑕疵检验方面，标识符卫士全力支持24大类，700多个小类标识符安全可靠瑕疵的检验，兼容国际性CWE、ISO/IEC 24772、OWASP Top 10、SANS Top 25等国际性标准和最佳实践；在开发辅助工具编码合规检验方面，标识符卫士可全力支持US CERT C/C /Java安全可靠编码规范的检验，并可根据用户需求展开灵活定制；在开放源码码溯源检验方面，标识符卫士可全力支持80000多个开放源码码模块辨识，28000多个开放源码码漏洞的检验。

4、对比预测

三大检验辅助工具是目前为止源码检验应用领域的领军商品，对比情况如下：

这两款动态源码扫描器辅助工具都有其各自特色，SCA全力支持的语言多达20多种不同，基本上涵盖了绝大多数的应用，具有相当广泛的适用性，但与此同时也使得其价格非常昂贵；CxSuite全力支持的语言包括常见Web应用的语言，适用范围基本上包括了大部分的应用，其使用独创的语言来自定义规则非常有特色，价格较之SCA有一定的优势；360标识符卫士是国内首款源码审计工作商品化商品，检验能力多元化，可低成本融入开发流程，更适合企业用户的需求，性价比很高。值得一提的是，随著国内网络安全可靠商品自主、可控原则的推广，更多的企业会倾向于本地服务更好的国内源码审计工作商品。