- 在软件开发和维护过程中，资源是有限的。通过明确缺陷的危险等级，可以帮助团队合理分配资源。同时缺陷危险等级为风险评估提供了一个量化的指标，可以更好地管理项目风险。本文将从软件静态分析工具、开发规范、国家标准、以及评估体系多个角度讨论软件缺陷等级的划分方式，以便对软件缺陷检查工具、软件缺陷管理中缺陷等级的划分起到一定的指导作用。 在软件开发和维护过程中，资源是有限的。通过明确缺陷的危险等级，可以帮助团队合理分配资源。同时缺陷危险等级为风险评估提供了一个量化的指标，可以更好地管理项目风险。本文将从软件静态分析工具、开发规范、国家标准、以及评估体系多个角度讨论软件缺陷等级的划分方式，以便对软件缺陷检查工具、软件缺陷管理中缺陷等级的划分起到一定的指导作用。
- CodeNavi 是一种用于编写静态检查规则的DSL语言。本篇继续介绍 CodeNavi 检查规则语言如何描述代码中的表达式。这些节点主要包括：对象创建表达式、强制类型转换、类型判断表达式、一元表达式、二元表达式、条件表达式/三目运算、方法引用表达式、lambda表达式，以及匿名内部类表达式。 CodeNavi 是一种用于编写静态检查规则的DSL语言。本篇继续介绍 CodeNavi 检查规则语言如何描述代码中的表达式。这些节点主要包括：对象创建表达式、强制类型转换、类型判断表达式、一元表达式、二元表达式、条件表达式/三目运算、方法引用表达式、lambda表达式，以及匿名内部类表达式。
- CodeNavi 是一种用于编写静态检查规则的DSL语言。《CodeNavi 规则的语法结构》中已经描述了CodeNavi 编写规则的基础语法和对节点筛选的条件语句的语法。 这篇里将进一步介绍代码中基础节点的定义，这些基础节点包括：节点类型、字面量、一般变量、枚举、成员变量（字段），以及数组。 CodeNavi 是一种用于编写静态检查规则的DSL语言。《CodeNavi 规则的语法结构》中已经描述了CodeNavi 编写规则的基础语法和对节点筛选的条件语句的语法。 这篇里将进一步介绍代码中基础节点的定义，这些基础节点包括：节点类型、字面量、一般变量、枚举、成员变量（字段），以及数组。
- 《寻找适合编写静态分析规则的语言》中我们一直在寻找一种更适合编写静态分析规则的语言，并给出了两个示例来说明我们的期望。这一篇重点介绍了这个用于编写代码检查规则的工具 CodeNavi 的语法结构。 《寻找适合编写静态分析规则的语言》中我们一直在寻找一种更适合编写静态分析规则的语言，并给出了两个示例来说明我们的期望。这一篇重点介绍了这个用于编写代码检查规则的工具 CodeNavi 的语法结构。
- 目前静态分析工具的主要痛点：无法开发自定义规则、对误报和漏报的规则无法快速修改，以及开发自定义规则有一定的难度。为了解决这些问题，我们需要寻找适合编写静态分析规则的语言。 目前静态分析工具的主要痛点：无法开发自定义规则、对误报和漏报的规则无法快速修改，以及开发自定义规则有一定的难度。为了解决这些问题，我们需要寻找适合编写静态分析规则的语言。
- 代码检视是代码可读性、可维护性、规范遵从、团队内部学习和教育，以及把关和事故预防的重要手段。本文通过运用代码检视的检视表的方法，对代码常见的安全问题进行了覆盖，进一步降低代码安全问题的发生。 代码检视是代码可读性、可维护性、规范遵从、团队内部学习和教育，以及把关和事故预防的重要手段。本文通过运用代码检视的检视表的方法，对代码常见的安全问题进行了覆盖，进一步降低代码安全问题的发生。
- 随着网络攻击和漏洞利用的增加，静态应用程序安全测试（SAST）在 DevSecOps 使用的继续激增，以满足全球日益增长的安全需求。怎样的静态分析工具才是软件开发人员期望的工具? 程序员更关心的误报率，还是漏报率？让我们通过和大模型的一场对话，来帮助我们进一步梳理在这些问题上的根因以及改进的要素。 随着网络攻击和漏洞利用的增加，静态应用程序安全测试（SAST）在 DevSecOps 使用的继续激增，以满足全球日益增长的安全需求。怎样的静态分析工具才是软件开发人员期望的工具? 程序员更关心的误报率，还是漏报率？让我们通过和大模型的一场对话，来帮助我们进一步梳理在这些问题上的根因以及改进的要素。
- 在DevSecOps的应用过程中，静态分析工具在开发阶段承担着非常重要的代码质量和安全的看护任务。本文根据开发过程的不同位置的开发环境、代码特征以及检测工具能力的差异，提出了需要因地制宜地部署检查工具，形成递进的三层代码安全防御体系，从而提高应用软件整体安全性，同时又能有效的贯彻安全左移的策略，降低安全问题的维护成本。 在DevSecOps的应用过程中，静态分析工具在开发阶段承担着非常重要的代码质量和安全的看护任务。本文根据开发过程的不同位置的开发环境、代码特征以及检测工具能力的差异，提出了需要因地制宜地部署检查工具，形成递进的三层代码安全防御体系，从而提高应用软件整体安全性，同时又能有效的贯彻安全左移的策略，降低安全问题的维护成本。
- 一个长期困扰软件分析研究人员的现实问题是缺乏统一的测试框架和测试用例集。本文将介绍面向软件分析工具的新型CI生态系统SAVE (Software Analysis Verification and Evaluation)。SAVE的目的是提供一个统一的软件分析验证和测试平台，为验证和对比软件分析工具提供方便。 一个长期困扰软件分析研究人员的现实问题是缺乏统一的测试框架和测试用例集。本文将介绍面向软件分析工具的新型CI生态系统SAVE (Software Analysis Verification and Evaluation)。SAVE的目的是提供一个统一的软件分析验证和测试平台，为验证和对比软件分析工具提供方便。
- 工业控制系统是全球关键基础设施的心脏，随着IoT、IT和运营技术（OT）的不断融合，工业领域由闭塞走向互联。工业控制系统在受到网络威胁时，通过基础设施对人类社会造成更大危害性。新版的CWE 4.7，引入了安全能源基础设施执行工作组的缺陷分类方式，为我们进一步研究和防范这类安全威胁，提供了系统的视角。 工业控制系统是全球关键基础设施的心脏，随着IoT、IT和运营技术（OT）的不断融合，工业领域由闭塞走向互联。工业控制系统在受到网络威胁时，通过基础设施对人类社会造成更大危害性。新版的CWE 4.7，引入了安全能源基础设施执行工作组的缺陷分类方式，为我们进一步研究和防范这类安全威胁，提供了系统的视角。
- 我们将CWE存储在xml文件中的信息转换到SQLite数据库中。通过SQL语言的公用表表达式（CTE）实现对CWE树结构进行递归查找，从而快速得到某个CWE在视图中所归属的分类信息（父节点）或所包含的弱点信息（子节点）；同时利用CWE数据库，可以帮助我们分析CWE中包含的各种安全规范之间的关系，快速汇总CWE中保存的各种弱点的消减措施，从而更好的完成软件安全的整体防御。 我们将CWE存储在xml文件中的信息转换到SQLite数据库中。通过SQL语言的公用表表达式（CTE）实现对CWE树结构进行递归查找，从而快速得到某个CWE在视图中所归属的分类信息（父节点）或所包含的弱点信息（子节点）；同时利用CWE数据库，可以帮助我们分析CWE中包含的各种安全规范之间的关系，快速汇总CWE中保存的各种弱点的消减措施，从而更好的完成软件安全的整体防御。
- 一图看懂软件缺陷检查涉及的内容 一图看懂软件缺陷检查涉及的内容
- 静态扫描工具融入在DevSecOps的开发过程中，对提高产品的整体的安全水平发挥着重要的作用。为了获取安全检查能力覆盖的最大化，开发团队通常会引入多个安全扫描工具。为了降低各种分析工具的结果汇总到通用工作流程中的成本和复杂性, 业界开始采用静态分析结果交换格式(SARIF)。本篇是SARIF应用的入门篇和进阶篇中的进阶篇，将介绍SARIF的更复杂的应用。 静态扫描工具融入在DevSecOps的开发过程中，对提高产品的整体的安全水平发挥着重要的作用。为了获取安全检查能力覆盖的最大化，开发团队通常会引入多个安全扫描工具。为了降低各种分析工具的结果汇总到通用工作流程中的成本和复杂性, 业界开始采用静态分析结果交换格式(SARIF)。本篇是SARIF应用的入门篇和进阶篇中的进阶篇，将介绍SARIF的更复杂的应用。
- 静态扫描工具融入在DevSecOps的开发过程中，对提高产品的整体的安全水平发挥着重要的作用。为了获取安全检查能力覆盖的最大化，开发团队通常会引入多个安全扫描工具。为了降低各种分析工具的结果汇总到通用工作流程中的成本和复杂性, 业界开始采用静态分析结果交换格式(SARIF)。本篇是SARIF应用的入门篇和进阶篇中的入门篇，将介绍SARIF的基础概念。 静态扫描工具融入在DevSecOps的开发过程中，对提高产品的整体的安全水平发挥着重要的作用。为了获取安全检查能力覆盖的最大化，开发团队通常会引入多个安全扫描工具。为了降低各种分析工具的结果汇总到通用工作流程中的成本和复杂性, 业界开始采用静态分析结果交换格式(SARIF)。本篇是SARIF应用的入门篇和进阶篇中的入门篇，将介绍SARIF的基础概念。
- 静态分析工具通过自动识别源代码中的错误来促进软件维护。但是，对于大型系统，这些工具通常会生成大量的缺陷报告，其中许多缺陷报告在概念上是相似的。单独处理缺陷会花费开发人员的工作量，并增加维护负担。建议对生成的缺陷报告进行聚类，以便可以对类似的错误进行分类，并可能一起修复。论文的方法利用静态错误报告中可用的语法和结构信息来准确地聚类相关报告，从而加快维护过程。 静态分析工具通过自动识别源代码中的错误来促进软件维护。但是，对于大型系统，这些工具通常会生成大量的缺陷报告，其中许多缺陷报告在概念上是相似的。单独处理缺陷会花费开发人员的工作量，并增加维护负担。建议对生成的缺陷报告进行聚类，以便可以对类似的错误进行分类，并可能一起修复。论文的方法利用静态错误报告中可用的语法和结构信息来准确地聚类相关报告，从而加快维护过程。
上滑加载中
推荐直播
-
鸿蒙应用入门：轻松掌握ArkTS开发语言2024/12/05 周四 16:00-18:00
Edi 华为云学堂技术讲师
本期直播课旨在让开发者了解ArkTS语法、轻松掌握ArkUI组件开发，带你零门槛入门鸿蒙开发，掌握状态管理实验和渲染控制实验。
回顾中 -
人工智能应用测试深度解析：理论基础与实践应用指南2024/12/06 周五 14:30-16:30
Alex 华为云学堂技术讲师
本期直播主要结合理论及人工智能的相关实验，给大家讲述AI应用测试的主要流程和方法。帮助开发者了解AI应用测试的理论及方法，和AI应用测试在模型迭代调优过程中的作用。
去报名 -
2024 华为云开源开发者论坛 — 主论坛2024/12/07 周六 09:00-12:00
华为及外部讲师团
2024年12月7日，首届华为云开源开发者论坛将于上海静安香格里拉酒店举行。论坛主题为“开放创新，释放云上数字生产力”，面向生态合作伙伴、企业、个人和高校开发者。论坛将围绕当前热门的开源话题，如“开源生态前景剖析”、“开源技术解读”、“开源开发者支持与实践”等进行分享和讨论，旨在帮助开发者利用开源链接鲲鹏、昇腾根生态和华为云生态，实现高效创新和价值裂变。
即将直播
热门标签