深度解密 | 灵脉SAST 3.0最新特性曝光

一、多模智能引擎焕新

2023年6月，灵脉SAST入选国际权威咨询机构Forrester发布的《The Static Application Security Testing Landscape》报告成为全球范围内仅有的两款亚太区SAST代表产品之一。

此次3.0版本重大焕新，灵脉SAST从检测工具的灵魂核心入手，对引擎进行重构升级，运用多模核心技术，各类语言检测精度显著提升。

二、漏洞误报再创新低

灵脉SAST3.0支持与SCA软件成分分析、ASOC等产品进行联动，拓展自身应用实践场景、赋能敏捷工具链能力全面提升：

• 灵脉SAST与源鉴SCA产品深度结合，通过控制流分析、数据流分析等核心技术，对源代码进行漏洞存在性及漏洞可达性分析，真实判断漏洞是否有可能被源代码触发，极大程度有效降低漏洞误报率。
• 与夫子ASOC联动：夫子ASOC可以对SAST、SCA、IAST、RASP等工具进行统一调度和管理，并整合分析各工具之间的检测数据，通过漏洞优先级分析，帮助开发人员将有限精力聚焦到最高优先级的真实风险当中。

三、检测焕新

灵脉SAST 3.0支持的主流开发语言、检测规则类型及数量大幅增加，漏报更少，检出率更高

此外，灵脉SAST 3.0增加了大量检测规则依据的规范和标准，使得自身的行业应用场景更广阔：

• 按照OWASP行业标准划分的缺陷颗粒度更细、更准确；
• 支持C/C++、Java、C#对应的国家代码审计标准，可出具符合国标的评测报告，更适配合规场景需求；
• 其他行业标准，如GJB 8114，可满足军工科研院所对代码进行静态分析的需要；
• Misra系列编码标准，可满足汽车制造行业对于编码质量的要求，符合国际对于车载系统编码安全的标准要求。

四、敏捷焕新

除了误报率、检出率等技术硬指标的升级外，灵脉SAST 3.0同样关注业务场景的变化，截至目前已对接多个源码仓库、项目管理平台、CI/CD平台插件、IDE插件等，可集成至项目CI流水线中，满足企业敏捷开发、快速迭代的需求。

五、体验焕新

√缺陷信息功能更完善：

• 检测结果展示：缺陷路径跟踪与代码文件对齐展示，方便开发人员利用缺陷路径定位和排查缺陷；
• 缺陷详情信息：包括CWE编号（若有）、 标准编号、检测集名称、缺陷名称、缺陷描述、潜在风险、缓解措施、错误示例、正确示例等，信息更加全面；
• 人工审计：可调整缺陷等级、可指派给相应人员、添加审计日志等。即使不对接外部禅道、Jira等缺陷管理系统，在产品内部也可以实现缺陷闭环处理。

√在检测模板中新增推荐模板和全量模板：

• 推荐模版包含最常见的CWE缺陷，方便用户快速使用；
• 支持在已有检测模板基础上调整检测规则数量，方便用户根据自身需求定制规则模版。

√新增项目-应用-任务三级检测任务组织方式：

• 日常创建检测【项目/应用】，便于多种维度统计检测数据；
• 应急时创建快速检测任务，检测结果不纳入图表分析，不对数据统计分析产生影响。

√产品可控能力优化，提升缺陷处理效率：

• 可自行控制检测任务启动、停止、重新启动；
• 新增批量修改缺陷描述、批量审计功能。

灵脉SAST白盒代码审计平台是悬镜自主研发的下一代静态应用安全测试(SAST)解决方案，作为悬镜DevSecOps智适应威胁管理体系中的新型威胁发现平台，灵脉SAST3.0核心引擎运用改进的数据流、控制流分析、符号执行、抽象解释执行等技术，高效精准地检测出代码中的质量缺陷和安全缺陷，帮助开发人员在软件研发早期发现并修复缺陷，真正实现安全左移，降低软件风险及缺陷修复成本，提升企业代码安全治理能力。悬镜灵脉SAST是落地实践安全左移的基石，是敏捷安全工具链中的核心关键环节。悬镜敏捷安全工具链将不断提供更智能、更可信的安全保障，持续守护中国数字供应链安全。