OpenText™ Fortify™ 静态代码分析器 可以找出源代码中安全漏洞的根本原因，优先处理最严重的问题，并提供详细的修复指导，这样开发人员就可以通过集中式软件安全管理在更短的时间内解决问题。它能就开发过程中引入代码的问题向开发人员提供即时反馈，从而降低应用程序的安全风险。Fortify SCA 使您能够利用集成的 SAST 安全地编写代码 快速分流和修复复杂的安全问题 支持主要的网络语言 在 CI/CD 管道中实现自动化安全 启动快速的自动化扫描 扩展您的 AppSec 程序

概述

静态应用程序安全测试（SAST）是一种常用的应用程序安全（AppSec）工具，可扫描应用程序的源代码、二进制代码或字节代码。作为一种白盒测试工具，它能找出漏洞的根本原因，并帮助修复潜在的安全漏洞。SAST 解决方案从 "内部 "分析应用程序，不需要运行中的系统来执行扫描。

SAST 可就开发过程中引入代码的问题向开发人员提供即时反馈，从而降低应用程序的安全风险。它有助于在开发人员工作时对他们进行安全教育，为他们提供实时访问建议和代码行导航，从而加快漏洞发现和协作审核。这样，开发人员就能创建更多不易受到攻击的代码，从而提高应用程序的安全性，减少对应用程序和软件不断更新和现代化的需求。

然而，SAST 工具无法识别代码之外的漏洞。例如，在第三方应用程序接口中发现的漏洞不会被 SAST 检测到，而需要进行动态应用程序安全测试 (DAST)。您可以在 "什么是 DAST？

SAST 的优点

扫描源代码，查找导致漏洞的薄弱环节
提供实时报告
涵盖开发人员使用的语言

SAST 的缺点

无法识别动态环境中的漏洞
报告假阳性的高风险
由于报告是静态的，因此很快就会过时

IT 安全专业人士认为，应用程序开发和测试仍然是企业最具挑战性的安全流程。开发人员需要解决方案来帮助他们创建安全的代码，而这正是 AppSec 工具发挥作用的地方。

AppSec 是一门流程、工具和实践的学科，旨在保护应用程序在整个应用生命周期中免受威胁。

测试应用程序安全性的方法有很多，包括

静态应用程序安全测试 (SAST)
动态应用安全测试 (DAST)
移动应用安全测试 (MAST)
交互式应用程序安全测试 (IAST)

SAST

SAST 为何重要？

SAST 是软件开发生命周期 (SDLC) 中的一个重要步骤，因为它能在应用程序向公众部署之前发现其中的关键漏洞，而修复这些漏洞的成本最低。在静态代码分析的这一阶段，开发人员可以进行编码、测试、修改和再次测试，以确保最终应用程序的功能符合预期，不存在任何漏洞。如果将 SAST 作为持续集成/持续开发（CI/CD）管道的一部分，则称为 "安全 DevOps "或 "DevSecOps"。

如果不检查这些漏洞，就这样部署应用程序，可能会导致数据泄露，造成重大经济损失和品牌声誉受损。

SAST 如何工作？

SAST 使用静态代码分析工具，可以把它想象成大楼的保安员。静态代码分析仪与保安员检查未上锁的门和打开的窗是否可能为入侵者提供入口类似，也是通过查看源代码来检查编码和设计缺陷是否可能导致恶意代码注入。OWASP 指出，这些恶意攻击的一些例子包括SQL 注入、命令注入和服务器端注入等。

什么是适合开发人员使用的 SAST 工具？

OpenText™ Fortify™ 静态代码分析器可以找出源代码中安全漏洞的根本原因，优先处理最严重的问题，并提供详细的修复指导，这样开发人员就可以通过集中的软件安全管理在更短的时间内解决问题。

它能就开发过程中引入代码的问题向开发人员提供即时反馈，从而降低应用程序的安全风险。

Fortify SCA 允许您

利用集成的 SAST 安全编码
快速分流和修复复杂的安全问题
支持主要网络语言
在 CI/CD 管道中实现安全自动化
启动快速自动扫描
扩展您的 AppSec 计划

在 Fortify...

我们帮助您经营业务并实现业务转型。我们的软件为您提供构建、运营、保护和分析企业所需的关键工具。根据设计，这些工具可以弥合现有技术与新兴技术之间的差距，这意味着您可以在数字化转型的竞争中以更低的风险更快地进行创新。

Fortify 以业界领先的安全研究为后盾，提供最全面的静态和动态应用程序安全测试技术，以及运行时应用程序监控和保护。解决方案可以在内部部署，也可以作为托管服务，以建立一个可扩展的、灵活的软件安全保证计划，满足当今 IT 组织不断变化的需求。

静态应用程序安全测试 (SAST)

立即开始

了解更多信息