58沙龙-06-《58集团代码分析技术实践》-58.docxVIP

01代码分析安全应用

01

代码分析安全应用

58DevOps现状01代码分析安全应用58集团自建了DevOps流程，日均构建、发布上千次，在快速迭代的背景下，需要在应

58

DevOps现状

01

代码分析安全应用

58集团自建了DevOps流程，日均构建、发布上千次，在快速迭代的背景下，需要在应

用上线前发现安全问题，收敛整个应用安全风险

2021年通过白盒/SCA上线前发现漏洞占比29.3%，本次分享会着重分析一下甲方业务场

景下的代码分析落地的一些问题

02甲方代码分析困境

02

甲方代码分析困境

221静态分析落地难题

22

1

静态分析落地难题

静态分析误报02代码分析应用困境OWA

静态分析误报

02

代码分析应用困境

OWASP对SAST和DAST类产品在OWASPBenchmark的测试结果——检出率最高

100%

误报率最高52%

白盒误报莱斯定理停机问题莱斯定理：递归可枚举语言的所有非平凡性质都是不可判定的

白盒误报

莱斯定理

停机问题

莱斯定理：递归可枚举语言的所有非平凡

性质都是不可判定的

在程序分析中,不存在既无误报又无漏报的分析程序

在白盒分析的场景中，一般来说更倾向更全面即接受可接受的误报，换取

程序的安全及健壮

白盒误报近似求解过近似导致精度丢失案例定义数据抽象：+:正⊥:

白盒误报

近似求解

过近似导致精度丢失案例

定义数据抽象：+