软件静态分析解决方案.pdfVIP

Klocwork 软件静态分析解决方案 1. Klocwork 简介 Klocwork 公司是软件静态分析领域技术和市场领先的厂商，全球拥有 200 多 个客户，其中许多是全球财富 500 强中的公司。 Klocwork 软件是 Klocwork 公司基于专利技术分析引擎开发的，综合应用了 多种近年来最先进的静态分析技术，是出色的软件静态分析软件。Klocwork 产 品与其它同类产品相比，具有很多突出的特征：Klocwork 支持的语言种类多， 能够分析 C、C++和 Java 代码；能够发现的软件缺陷种类全面，既包括软件质量 缺陷，又包括安全漏洞方面的缺陷，还可以分析对软件架构、编程规则的违反情 况；软件分析功能全面，既能分析软件的缺陷，又能进行可视化的架构分析、优 化；能够分析软件的各种度量；能够提供与多种主流 IDE 开发环境的集成；能 够分析超大型软件（上千万代码行）。 1.1 Klocwork 功能简介 Klocwork 功能包括： 缺陷检测 安全漏洞检测 软件架构分析 软件度量分析 可定制的代码分析 开发人员 IDE 集成 1.1.1 缺陷检测 提供多角度的各种缺陷类型的分析。 自动化的缺陷检测功能易于使用，定制灵活，具有图形化的构建和报表管理 图形界面，拥有业界领先的消息过滤器，极具柔性的配置，和强大的学习调整知 识库； Klocwork 能够分析 C/C++和 Java 代码，生成代码问题报告，能够发现的缺陷 类型举例。（详细参见附录）： C/C++缺陷类型样例 Java缺陷类型样例 空指针释放 效率错误（如：空的finalize方法） 内存管理问题（如：内存泄漏） 可维护性问题（如：空的catch从句） 数组越界 可靠性问题 (如资源泄漏) 未初始化数据使用 编码风格问题（如：在条件中赋值） 1.1.2. 安全漏洞检测 Klocwork 确信软件安全性是软件质量中一个重要的、并越来越受重视的方 面。同样的，所有的 Klocwork 安全漏洞分析是基于市场领先的缺陷检测能力， 从原来的缺陷检测分离出来单独的安全漏洞检测和违反推荐的安全代码最佳实 践的缺陷检测。能够检测到的安全漏洞类型举例（详细参见附录） C/C++安全漏洞分类 Java安全漏洞分类 访问控制缺陷 拒绝服务 缓冲区溢出 注入缺陷（如：SQL注入、进程注入等） DNS欺骗 未经验证的输入 忽略返回值 移动代码安全 注入缺陷 有漏洞的会话管理 不安全的存储 跨站点脚本 未经验证的用户输入 出错处理不当 有漏洞的访问控制 1.1.3. 软件架构分析 Klocwork 帮助组织为任何需要理解软件架构的项目进行准备工作，如：外包 项目、改造利用一段老的代码、或者向已有系统添加新功能。利用 Klocwork ， 架构师、管理人员和开发人员能够重新获得对他们软件和产品的架构理解，并在 进行任何代码修改的时候进行功能强大的影响分析。当结合使用 Klocwork 的缺 陷和安全漏洞检测，它提供一个强大的功能集帮助理解在您软件架构异