代碼審計(jì)
源代碼安全審計(jì)是根據(jù)CVE公共漏洞字典表、OWASP十大WEB漏洞，以及設(shè)備、軟件廠商公布的漏洞庫(kù)，結(jié)合專業(yè)漏洞挖掘技術(shù)對(duì)各種程序語(yǔ)言編寫的源代碼進(jìn)行安全審計(jì)。
為客戶提供包括安全編碼規(guī)范咨詢、源代碼安全現(xiàn)狀測(cè)評(píng)、定位源代碼中存在的安全漏洞、分析漏洞風(fēng)險(xiǎn)、給出修改建議等一系列的服務(wù)。
安全編碼規(guī)范及規(guī)則咨詢：利用興先道信息安全團(tuán)隊(duì)豐富的安全測(cè)試經(jīng)驗(yàn)，為軟件開發(fā)人員提供安全編碼規(guī)范、規(guī)則的咨詢和建議，提高源代碼自身的安全性。
源代碼安全審計(jì)服務(wù)：針對(duì)已有應(yīng)用系統(tǒng)，對(duì)軟件源代碼進(jìn)行安全審計(jì)檢測(cè)，利用數(shù)據(jù)流分析引擎、語(yǔ)義分析引擎、控制流分析引擎等技術(shù)，采用專業(yè)的源代碼安全審計(jì)工具與漏洞挖掘技術(shù)對(duì)源代碼安全問題進(jìn)行分析和檢測(cè)并驗(yàn)證，從而對(duì)源代碼安全漏洞進(jìn)行定級(jí)，給出安全漏洞分析報(bào)告等，幫助軟件開發(fā)的管理人員統(tǒng)計(jì)和分析當(dāng)前階段軟件安全的風(fēng)險(xiǎn)、趨勢(shì)，跟蹤和定位軟件安全漏洞，提供軟件安全質(zhì)量方面的真實(shí)狀態(tài)信息。
→ 現(xiàn)場(chǎng)方式—適合源代碼不能對(duì)外提供的客戶。
→ 非現(xiàn)場(chǎng)方式-客戶方提供源代碼樣本。
向客戶提交《源代碼審計(jì)報(bào)告》，詳細(xì)說(shuō)明被審計(jì)代碼的總體情況、審計(jì)發(fā)現(xiàn)的問題、進(jìn)行追加審計(jì)的建議，以及針對(duì)已確定漏洞進(jìn)行補(bǔ)救的建議。
