开源网安灰盒安全测试平台和代码审核平台通过可信云评测

2021年7月27日，2021可信云大会在北京国际会议中心举办。本次可信云大会由中国信息通信研究院和中国通信标准化协会共同主办，由中国通信标准化协会云计算标准和开源推进委员会、混合云产业推进联盟、云原生产业联盟、企业数字化发展共建共享平台、数字农业推进方阵、云网产业推进方阵、云边协同产业方阵、金融行业开源技术应用社区、网络风险与保险创新实验室等单位大力支持。

开源网安的灰盒安全测试平台（Vulhunter） 和代码审核平台（CodeSec）两款产品分别通过了《交互式应用程序安全测试工具能力要求》和《静态应用程序安全测试工具要求》两项可信云评测。

灰盒安全测试平台（VulHunter）

开源网安灰盒安全测试平台（VulHunter）在支持的编程语言、支持的中间件、库及开发框架类型、支持的检测方式、支持的安全风险漏洞类型、检测分析类型要求、检测分析配置能力要求、使用模式、缺陷快速定位、缺陷数据多维度展示、结果对比分析、缺陷修复指导、报表要求、分析平台集成、二次开发、自身安全、访问控制、部署模式、漏报率、误报率等方面均满足可信云交互式应用程序安全测试工具能力评估要求。

VulHunter，作为公司在 IAST 领域的核心拳头产品，是国内首款基于“交互式应用安全测试（IAST）”技术的全新一代“灰盒”代码审计、安全测试和第三方软件检测产品，由开源网安自主研发，公司拥有完全的自主知识产权。IAST 是近年来兴起的一项新技术，被 Gartner 公司列为信息安全领域的 TOP10 技术之一。

其检测原理是通过在应用程序的字节码中动态插桩检测“探针”，来获取应用程序运行时的各种上下文信息。在应用程序运行时，实时分析程序的安全弱点。与基于 SAST 和 DAST 技术的产品相比，VulHunter 的最大不同点是，通过字节码插桩应用程序获得更多准确的运行时信息。

同时，VulHunter 融合 SAST 和 DAST 技术的优点，无需源码，支持对字节码的检测，极大地提高了安全测试的效率和准确率，准确率几乎可以达到 100%，高于业界其他同类产品。该产品非常适用于敏捷开发和 DevOps，可以在软件的开发和测试阶段无缝集成现有开发流程，让开发人员和测试人员在执行功能测试的同时，无感知地完成安全测试，解决了现有应用安全测试技术面临的挑战。

VulHunter 自2017年面世以来，在短短4年的时间里，已经广泛应用于金融、通信、能源等领域，收获了一批世界500强企业用户，广受用户好评和认可。

代码审核平台（CodeSec）

开源网安代码审核平台（CodeSec）在支持的编程语言、支持的开发框架类型、支持的扫码方式、支持的安全风险漏洞类型、支持的代码获取方式、检测分析配置能力要求、使用模式、缺陷快速定位、缺陷数据多维度展示、结果对比分析、缺陷修复指导、告警能力要求、报表要求、分析平台集成、漏洞规则自定义、二次开发、自身安全、访问控制、部署模式、漏报率、误报率等方面均满足可信云静态应用程序安全测试工具能力评估要求。

源代码静态安全扫描工具已进入市场多年，早已被人们所熟知，安全人员及开发人员了解 它的好处，但带来的困扰也非常多，导致大部分工具不能发挥其应有的效用。

这些困扰包括：

• 过高的误报率使得漏洞排查工作量很大；
• 开发人员不能理解过于专业化的漏洞描述；
• 扫描工具未给出直接的、代码级的解决方案，开发人员需要自己花时间寻找；
• 企业并行开发项目数多，并发扫描要求高；
• 编码规范无法自动化检测；

这些痛点的存在让白盒工具的可用性大打折扣，开源网安代码审核平台（CodeSec）致力于解决这些技术难 点，大幅提升了产品在开发流程中的可落地性。CodeSec 主要应用于代码安全审核和质量分析，支持对主流编码规范、后门代码检测、分布式引擎部署。

CodeSec 研发团队经过多年对 AST 技术的深入分析及需求调研，注重结果的精确度及工具的易用性，更加适用于 DevSecOps 场景，提升代码安全质量。

关于开源网安

作为国内领先的软件安全全生命周期（S-SDLC）解决方案提供商，开源网安完全对标“Gartner 应用安全测试魔力象限”的领导企业。目前，开源网安自主研发的软件安全测试工具，在产品功能、成熟度、售后服务、支持的运行环境、易用性、可扩展性、可维护性等方面，完全可以替代“Gartner 应用安全测试魔力象限”的领导企业。

公司自主研发的系列化软件安全产品，除了本次通过评测的灰盒安全测试工具 VulHunter、代码审核工具 CodeSec，还有开源组件安全及合规管理平台 SourceCheck、模糊测试工具 SFuzz、实时应用自我防护平台 RASP、及软件安全全生命周期平台 S-SDLC 平台，全面覆盖 IAST、SAST、SCA、FUZZ、RASP。

同时，公司还不断深化 DevSecOps、软件安全上线检测等技术解决方案，推进5G网络、车联网、人工智能、工业互联网等新技术的软件安全解决方案落地，为中国软件安全产业持续输出产品、技术和解决方案，在快速交付的同时不断提升和保障国内软件安全质量。

未来，开源网安将继续坚持“执着专注、精益求精、一丝不苟、追求卓越”的工匠精神，持续打磨产品，为用户提供更加优质的产品和服务。