PVS-Studio comme solution SAST

Jusqu'à récemment, dans nos articles, nous positionnions PVS-Studio comme un outil de détection des erreurs de code. Dans le même temps, nous n'avons presque pas considéré PVS-Studio dans le contexte de la sécurité. Essayons de résoudre un peu cette situation et examinons l'outil en termes de test de la sécurité des applications et des pratiques DevSecOps.

PVS-Studio est un outil pour les tests statiques de sécurité des applications (Static Application Security Testing, SAST). En d'autres termes, l'analyseur PVS-Studio détecte non seulement les fautes de frappe, le code mort et d'autres erreurs, mais également les vulnérabilités potentielles.

L'outil fonctionne sous Windows, Linux, macOS et analyse le code des programmes en C, C ++ et C #. Fin 2018, la prise en charge du langage Java est prévue.

Pour la commodité des spécialistes qui utiliseront PVS-Studio comme outil SAST, l'analyseur affiche ses avertissements sur l'énumération des faiblesses communes , les normes de codage SEI CERT et prend également en charge la norme MISRA (actuellement en cours de mise en œuvre).

Tableaux de conformité des diagnostics PVS-Studio à différentes normes:

1. Conformité CWE
2. Conformité SEI CERT
3. Support MISRA (nous prévoyons de le mettre en œuvre avant fin 2018)

La classification la plus courante des alertes d'outil SAST est l'énumération commune des faiblesses (CWE). Voyons, j'utilise le langage CWE car l'analyseur PVS-Studio aide à prévenir les vulnérabilités.

Si nous nous tournons vers la base de données des vulnérabilités de sécurité de l'information bien connues ( CVE ), il s'avère que souvent la cause des vulnérabilités dans les programmes n'est pas quelques failles de sécurité, mais des erreurs logicielles ordinaires. Le National Institute of Standards and Technology (NIST) le confirme en déclarant que 64% des vulnérabilités logicielles sont dues à des erreurs de code.

Ce sont ces erreurs qui pourraient potentiellement conduire à des vulnérabilités décrites dans CWE. Par conséquent, si l'erreur peut être classée comme CWE, il y a une chance qu'elle puisse être exploitée en tant que vulnérabilité et éventuellement remplir la liste CVE. Pour plus de clarté, vous pouvez utiliser l'image de l'entonnoir:


Il y a beaucoup d'erreurs. Certains d'entre eux sont dangereux du point de vue de la sécurité et sont donc classés selon CWE. Certaines erreurs CWE peuvent être exploitées et ce sont des vulnérabilités.

Oui, dans la pratique, seule une très petite fraction des erreurs CWE trouvées sont dangereuses et constituent des vulnérabilités. Cependant, si vous développez des applications critiques pour la sécurité et que vous vous souciez de la sécurité des utilisateurs, vous devez prendre ces erreurs très au sérieux. En éliminant les erreurs CWE, vous protégez votre application de nombreuses vulnérabilités.

Maintenant, la relation entre les erreurs, PVS-Studio et les vulnérabilités devient apparente. L'analyseur PVS-Studio détecte les erreurs et classe bon nombre d'entre elles comme CWE. En corrigeant ces erreurs, vous rendez votre application plus fiable. La découverte d'une vulnérabilité dans un produit peut sérieusement affecter sa réputation. En corrigeant les erreurs de l'analyseur, vous réduisez considérablement ce risque dès le premier stade de développement - l'écriture de code.

L'analyseur PVS-Studio, comme tout autre outil, ne garantit pas qu'il n'y a aucune vulnérabilité dans le code. Cependant, si PVS-Studio empêche, par exemple, 50% des vulnérabilités potentielles, c'est déjà merveilleux.

De plus, nous vous suggérons de lire l'article « Comment PVS-Studio peut-il aider à trouver des vulnérabilités? », Qui montre les erreurs qui ont conduit à des vulnérabilités, qui auraient pu être évitées si l'outil PVS-Studio avait été utilisé dans le processus de développement.

Commencez à utiliser PVS-Studio comme solution SAST: téléchargez PVS-Studio .