Microsoft는 소스 코드의 릴리스를 발표했습니다. 소스 코드 분석 도구 "Microsoft 응용 프로그램 검사기 ", 외부 소프트웨어 구성 요소에 의존하는 개발자를 돕기 위해. Microsoft Application Inspector는 소스 코드 분석기 소프트웨어 구성 요소의 중요한 기능 및 기타 특성을 드러내도록 설계된이 제품은 JSON 기반 규칙 엔진과 함께 정적 분석을 사용합니다.
이 코드 분석기는 같은 유형의 다른 도구와 다릅니다. 프로그래밍 사례 만 감지하는 데 국한되지 않습니다., 이후 그런 방식으로 설계되었습니다, 코드 검사 중 일반적으로 신중한 수동 분석이 필요한 특성을 식별하고 강조합니다.
도구에 대해 Microsoft에서 제공 한 설명에 따르면 :
Microsoft Application Inspector는 "양호"또는 "불량"모델을 식별하지 않습니다. 기능 탐지를 위해 400 개 이상의 규칙 템플릿 집합을 참조하여 찾은 내용을보고하는 내용이 있습니다. Microsoft에 따르면 여기에는 암호화 사용 등과 같이 보안에 영향을 미치는 기능도 포함됩니다.
이 도구는 명령 줄에서 작동하며 크로스 플랫폼입니다.. 소프트웨어가 무엇인지 또는 무엇을하는지 확인하기 위해 사용하기 전에 구성 요소를 스캔하도록 설계되었습니다.
제공하는 데이터는 대부분 제한된 문서 나 권장 사항에 의존하지 않고 소스 코드를 직접 검사하여 소프트웨어 구성 요소가 수행하는 작업을 결정하는 데 걸리는 시간을 줄이는 데 도움이 될 수 있습니다.
Microsoft 응용 프로그램 관리자 다양한 프로그래밍 언어의 구문 분석 지원, 여기에는 다음이 포함됩니다. C, C++, C#, 자바, 자바스크립트, HTML, Go, PowerShell, 등, HTML, JSON 및 텍스트에 출력 형식을 포함합니다.
Microsoft Application Inspector 개발자는 다음과 같이 말합니다. 개별적으로 또는 대규모로 사용하도록 설계되었습니다. 다양한 프로그래밍 언어를 사용하여 구축 된 수백만 줄의 구성 요소 소스 코드를 분석 할 수 있습니다.
Microsoft는 Application Inspector를 사용하여 증가 된 공격 표면에서 악의적 인 백도어에 이르는 모든 것을 나타낼 수 있으므로 시간 경과에 따른 구성 요소 기능 세트 (버전 별)의 주요 변경 사항을 식별합니다.
또한이 도구를 사용하여 고위험 구성 요소를 식별합니다. 추가 조사가 필요한 예상치 못한 특성을 가진 사람들. 고위험 구성 요소에는 취약성이 더 많은 문제를 일으킬 가능성이있는 암호화, 인증 또는 역 직렬화와 같은 영역에 관련된 구성 요소가 포함됩니다.
이후 목표는 타사 소프트웨어 구성 요소를 빠르게 식별하는 것입니다. 세부 사항에 따라 위험에 처해 있지만이 도구는 많은 안전하지 않은 상황에서도 유용합니다.
기본적으로, 이것이 가장 중요한 특성입니다 Microsoft Application Inspector에서 :
- 정적 분석을 수행하는 JSON 기반 규칙 엔진입니다.
- 여러 언어로 작성된 구성 요소에서 수백만 줄의 소스 코드를 분석하는 기능.
- 고위험 구성 요소 및 예상치 못한 특성을 가진 구성 요소를 식별하는 기능.
- 악의적 인 백도어에서 더 큰 공격 표면에 이르기까지 모든 것을 나타낼 수있는 구성 요소의 기능 집합에 대한 변경 사항을 버전별로 식별하는 기능입니다.
- JSON 및 HTML을 포함한 여러 형식으로 결과를 생성하는 기능.
- Microsoft Azure, Amazon Web Services, Google Cloud Platform 서비스 API 및 운영 체제 기능 (예 : 파일 시스템, 보안 기능, 애플리케이션 프레임 워크)을 포괄하는 기능을 검색하는 기능.
예상대로, 플랫폼과 암호화는 잘 다루어집니다, 대칭, 비대칭, 해시 및 TLS를 지원합니다.
민감한 개인 식별 정보를 포함한 데이터 유형의 위험을 확인할 수 있습니다.
기타 검사에는 플랫폼 식별, 파일 시스템, 레지스트리 및 사용자 계정과 같은 운영 체제 기능과 인증 및 권한 부여와 같은 보안 기능이 포함됩니다.
최종적으로 관심있는 사람들을 위해 Microsoft Application Inspector를 테스트 할 때 이미 GitHub에서 사용할 수 있습니다.