Společnost Microsoft oznámila vydání zdrojového kódu svého nástroje pro analýzu zdrojového kódu, Microsoft Application Inspector , který má pomoci vývojářům, kteří se spoléhají na softwarové komponenty třetích stran. Microsoft Application Inspector je analyzátor zdrojového kódu, jehož cílem je odhalit důležité a další vlastnosti softwarových komponent pomocí statické analýzy s enginem pravidel založeným na JSON.
Tento analyzátor kódu se liší od ostatních nástrojů stejného typu, protože se neomezuje pouze na detekci programátorských praktik , ale je navržen tak, aby během kontroly kódu identifikoval a zdůraznil ty charakteristiky, které obecně vyžadují pečlivou manuální analýzu.
Podle vysvětlení poskytnutých společností Microsoft o nástroji:
Microsoft Application Inspector se nepokouší identifikovat „dobré“ nebo „špatné“ modely. Obsahem je hlásit, co najde, odkazem na sadu více než 400 šablon pravidel pro detekci funkcí. Podle společnosti Microsoft to zahrnuje také funkce, které mají dopad na zabezpečení, jako je použití šifrování a další.
Nástroj funguje z příkazového řádku a je multiplatformní . Je navržen tak, aby před použitím skenoval komponenty a pomohl určit, o jaký software se jedná nebo co dělá.
Data, která poskytnete, mohou být užitečná při zkrácení času potřebného k určení, jaké softwarové komponenty se provádějí přímým prozkoumáním zdrojového kódu, místo aby se spoléhaly na většinou omezenou dokumentaci nebo doporučení.
Microsoft Application Inspector podporuje analýzu různých programovacích jazyků , včetně: C, C++, C#, Java, JavaScript, HTML, Go, PowerShell atd., a také zahrnutí výstupních formátů v HTML, JSON a textu.
Vývojáři Microsoft Application Inspector tvrdí, že je navržen pro individuální i rozsáhlé použití a dokáže analyzovat miliony řádků zdrojového kódu z komponent vytvořených pomocí mnoha různých programovacích jazyků.
Společnost Microsoft používá Application Inspector k identifikaci klíčových změn v čase nastavených funkcích komponenty (verze po verzi), protože mohou indikovat cokoli od zvýšeného povrchu útoku až po nebezpečnou zadní vrátka.
Nástroj také používají k identifikaci vysoce rizikových komponent a komponent s neočekávanými vlastnostmi, které vyžadují další kontrolu. Mezi vysoce rizikové komponenty patří ty, které se podílejí na oblastech, jako je kryptografie, autentizace nebo deserializace, kde zranitelnost pravděpodobně způsobí další problémy.
Cílem je rychle identifikovat ohrožené softwarové komponenty třetích stran na základě jejich specifických charakteristik, ale nástroj je užitečný i v mnoha nezabezpečených kontextech.
V podstatě se jedná o nejdůležitější funkce nástroje Microsoft Application Inspector:
- Stroj pravidel založený na formátu JSON, který provádí statickou analýzu.
- Schopnost analyzovat miliony řádků zdrojového kódu z komponent vytvořených v mnoha jazycích.
- Schopnost identifikovat vysoce rizikové komponenty a komponenty s neočekávanými vlastnostmi.
- Schopnost identifikovat změny v sadě funkcí komponenty, verze po verzi, které mohou naznačovat cokoli od škodlivého backdooru po větší útočnou plochu.
- Schopnost generovat výsledky v různých formátech, včetně JSON a HTML.
- Možnost objevovat funkce, které pokrývají rozhraní API služby Microsoft Azure, Amazon Web Services a Google Cloud Platform a funkce operačního systému, jako je souborový systém, funkce zabezpečení a aplikační rámce.
Jak se očekávalo, platforma a kryptografie jsou dobře pokryty , s podporou symetrického, asymetrického, hashovacího a TLS protokolu.
Je možné zkontrolovat rizika u typů dat, včetně citlivých a osobně identifikovatelných informací.
Mezi další kontroly patří funkce operačního systému, jako je identifikace platformy, souborový systém, registr a uživatelské účty, a bezpečnostní funkce, jako je ověřování a autorizace.
A konečně, pro ty, kteří mají zájem vyzkoušet Microsoft Application Inspector, je nyní k dispozici na GitHubu.