静态应用程序安全测试 (SAST) 是软件开发生命周期中至关重要的一环。SAST 工具通过分析源代码来识别安全漏洞和其他问题，且分析过程发生在代码编译或执行之前。这有助于开发者在开发过程的早期发现并修复问题，从而降低成本并提高整体安全性。
目前市面上有很多流行的 SAST 工具，每种工具都有其自身的优势和特点。在本文中，我们将对最常用的 SAST 工具进行比较。
CheckMarx
CheckMarx SAST 是一种源代码分析解决方案，可识别代码中的安全漏洞、合规性问题和其他缺陷。它构建代码元素和流程的逻辑图，然后查询该图以查找问题。CheckMarx 支持多种编程语言，并且可以在开发生命周期的任何阶段运行扫描。
CheckMarx 的主要功能包括：
- 针对已知漏洞的广泛的预配置查询列表
- 能够为安全性、质量保证和业务逻辑配置自定义查询
- 用于跟踪运行时行为和补救的交互式界面
- 与构建自动化工具、SCM 系统、问题跟踪器和 CI/CD 平台集成
Fortify
OpenText Fortify Static Code Analyzer 是另一种领先的 SAST 工具。它可以精确定位源代码中安全漏洞的根本原因，确定最严重问题的优先级，并提供补救指南。Fortify 支持超过 1600 个漏洞类别，涵盖 33 种以上的编程语言。
Fortify 的一些主要功能包括：
- 通过广泛的集成生态系统将安全性嵌入到开发工具中
- 使用 Audit Assistant 调整扫描深度并最大限度地减少误报
- 动态扩展扫描以满足 CI/CD 管道的需求
- 在开发的早期阶段识别源代码、二进制代码或字节码中的漏洞
- 与 Jenkins、Jira、Azure DevOps 等 CI/CD 工具集成
Frogbot
Frogbot 是一个 Git 机器人，它使用 JFrog Xray 扫描拉取请求中的安全漏洞。当创建或标记新的拉取请求时，Frogbot 会运行扫描并将发现的任何问题直接报告在 Git UI 中。这允许开发人员在将漏洞合并到代码库之前解决它们。
Frogbot 的主要功能包括：
- 扫描拉取请求中的已知漏洞
- 在 Git 界面中以注释的形式报告发现的问题
- 能够通过将标签添加到现有拉取请求来重新运行扫描
- 与 JFrog Xray 集成以实现扫描引擎
Veracode
Veracode 提供基于云的自动化 SAST 解决方案。它扫描已编译的代码（二进制文件），而不仅仅是源代码，从而提供更深入和更全面的结果。Veracode 识别潜在问题，如恶意代码或不充分的功能，并根据业务风险确定发现结果的优先级。
Veracode 的一些值得注意的方面包括：
- 扫描二进制文件以包括可能从仅源代码扫描中省略的第三方库
- 根据业务目标和风险承受能力确定结果的优先级
- 提供高度准确和可操作的发现结果，误报率极低
- 无需专门的安全人员即可实现快速扫描和结果
Semgrep
Semgrep 是一款开源 SAST 工具，可以从命令行到 CI/CD 管道的任何地方运行。它被设计为易于定制和使用，具有可扩展的架构。Semgrep 规则对用户可见，并且在语法上与源代码相似，使其透明且易于理解。
Semgrep 的主要功能包括：
- 以秒为单位运行扫描，CI 扫描时间中位数为 10 秒
- 灵活编写自定义规则以解决复杂问题
- 提供托管规则库以最大限度地减少自定义规则编写
- 支持 30 多种框架和技术
GitHub CodeQL
CodeQL 是 GitHub 用于安全检查和变体分析的开源分析引擎。它支持多种编程语言，并提供命令行界面和 Visual Studio Code 扩展，用于在开源代码库上运行扫描。
CodeQL 的一些值得注意的方面包括：
- 自动化安全检查和变体分析
- 支持广泛的语言、库和框架
- 提供 CodeQL 中使用的技术术语和概念的概述
Snyk Code
Snyk Code 是一款对开发者友好的 SAST 工具，可以在几分钟内扫描源代码，无需构建。它提供与代码内联的实时结果，以及补救建议，以帮助开发人员快速解决问题。Snyk Code 与流行的语言、IDE 和 CI/CD 工具兼容。
Snyk Code 的主要功能包括：
- 在编写代码时扫描代码，并从 IDE 自动扫描
- 提供可操作的结果以及对开发者友好的补救建议
- 利用机器学习构建强大的知识库
- 根据部署状态和暴露情况确定问题的优先级
腾讯 Xcheck
腾讯 Xcheck 是由腾讯云开发的静态应用程序安全测试 (SAST) 工具。 它旨在帮助开发人员识别源代码中的安全漏洞和其他问题。
- Xcheck 可以精确理解不同编程语言的语法特征，有助于解决因误解代码而导致的误报问题。
- 它可以识别用户自定义的安全保护措施，进一步减少误报。
- Xcheck 支持扫描具有正确语法的受支持语言的完整项目。
- 它可以快速扫描 Web 后端应用程序代码，但对于深度嵌套的递归代码，可能需要更长的时间。
与其他 SAST 工具的比较
- 一篇 Reddit 帖子表明，Xcheck 可以直接扫描原始源代码而无需编译，并且其扫描速度比 Checkmarx 快 100 倍。
部署和安全
- Xcheck 部署在本地，因此被测试的源代码保留在公司网络内，避免了源代码泄漏的风险。
- 包括源代码在内的整个产品生命周期都不会离开公司网络。
腾讯 Xcheck 是一款快速准确的 SAST 工具，可帮助开发人员发现代码中的安全问题。它的本地部署模式确保了源代码的安全性。虽然它在速度和准确性方面优于其他 SAST 工具，但它可能不支持像一些以企业为中心的 SAST 工具那样多的语言或拥有那么广泛的生态系统。
Semgrep
- 开源 SAST 工具，可以从命令行到 CI/CD 管道的任何地方运行
- 被设计为易于定制和使用，具有可扩展的架构
- 支持 30 多种框架和技术
- 提供托管规则库以最大限度地减少自定义规则编写
- 以秒为单位运行扫描，CI 扫描时间中位数为 10 秒
Bandit
- 专门为扫描 Python 代码而设计的开源 SAST 工具
- 适用于 Python 的综合源代码漏洞扫描器
Brakeman
- 专门为 Ruby on Rails 应用程序设计的开源漏洞扫描器
OWASP Dependency-Check
- 识别已知易受攻击组件的使用的开源工具
- 支持 Java 和 .NET 项目
- 与 Gradle、Jenkins 和 Maven 等构建工具集成
PMD
- 支持 Java、JavaScript、Salesforce 和其他语言的开源 SAST 工具
- 与 Ant、Maven、Gradle 和 Jenkins 等构建工具集成
PHPStan
- 适用于 PHP 的开源 SAST 工具
- 支持与 Bitbucket、GitHub 和 GitLab 集成
Cppcheck
- 适用于 C 和 C++ 代码的开源 SAST 工具
- 与 Jenkins 和 Visual Studio 集成
这些只是众多可用的开源 SAST 工具中的几个示例。在选择 SAST 工具时，重要的是要考虑诸如您使用的编程语言、您需要的定制和透明度级别、结果的速度和准确性以及与您现有工具和工作流程的易于集成等因素。
总结
静态应用程序安全测试是安全软件开发的关键组成部分。本文中比较的 SAST 工具各有其优势和特点，但它们都旨在帮助开发人员在开发过程的早期发现并修复安全漏洞。
在选择 SAST 工具时，请考虑您使用的编程语言、您需要的定制和透明度级别、结果的速度和准确性以及与您现有工具和工作流程的易于集成等因素。许多这些工具提供免费试用版或开源版本，因此您可以试用它们，看看哪一种最适合您的需求。
最终，SAST 的目标是通过在攻击者可以利用问题之前发现并修复问题来提高应用程序的整体安全性。通过将 SAST 纳入您的开发过程，您可以构建更安全的软件，并降低未来代价高昂的漏洞利用的风险。