Microsoft Application Inspector ตัววิเคราะห์รหัสโอเพนซอร์ส

Microsoft ได้ประกาศเปิดตัวซอร์สโค้ดของ เครื่องมือวิเคราะห์ซอร์สโค้ดของคุณ "ตัวตรวจสอบแอปพลิเคชันของ Microsoft "เพื่อช่วยนักพัฒนาที่ต้องพึ่งพาส่วนประกอบซอฟต์แวร์ภายนอก Microsoft Application Inspector คือ ตัววิเคราะห์ซอร์สโค้ด ออกแบบมาเพื่อเปิดเผยคุณสมบัติที่สำคัญและคุณสมบัติอื่น ๆ ของส่วนประกอบซอฟต์แวร์โดยใช้การวิเคราะห์แบบคงที่ด้วยเอ็นจินกฎที่ใช้ JSON

ตัววิเคราะห์โค้ดนี้แตกต่างจากเครื่องมือประเภทเดียวกันเนื่องจาก ไม่ จำกัด เฉพาะการตรวจจับเฉพาะแนวทางการเขียนโปรแกรมเท่านั้นตั้งแต่ ได้รับการออกแบบในลักษณะที่ในระหว่างการตรวจสอบรหัส ลักษณะเฉพาะที่โดยทั่วไปต้องมีการวิเคราะห์ด้วยตนเองอย่างรอบคอบจะถูกระบุและเน้น

ตามคำอธิบายของ Microsoft เกี่ยวกับเครื่องมือ:

Microsoft Application Inspector ไม่พยายามระบุรุ่น "ดี" หรือ "ไม่ดี" เป็นเนื้อหาในการรายงานสิ่งที่พบโดยอ้างถึงชุดเทมเพลตกฎมากกว่า 400 รายการสำหรับการตรวจจับคุณลักษณะ ตามข้อมูลของ Microsoft สิ่งนี้ยังรวมถึงคุณสมบัติที่มีผลกระทบต่อความปลอดภัยเช่นการใช้การเข้ารหัสและอื่น ๆ

เครื่องมือทำงานจากบรรทัดคำสั่งและข้ามแพลตฟอร์ม. ออกแบบมาเพื่อสแกนส่วนประกอบก่อนใช้งานเพื่อช่วยระบุว่าซอฟต์แวร์คืออะไรหรือทำอะไร

ข้อมูลที่คุณให้จะเป็นประโยชน์ในการลดเวลาที่ต้องใช้ในการพิจารณาว่าส่วนประกอบของซอฟต์แวร์ทำอะไรโดยการตรวจสอบซอร์สโค้ดโดยตรงแทนที่จะใช้เอกสารหรือคำแนะนำที่ จำกัด ส่วนใหญ่

ตัวตรวจสอบแอปพลิเคชันของ Microsoft รองรับการแยกวิเคราะห์ภาษาโปรแกรมต่างๆซึ่งรวมถึง: C, C++, C#, Java, JavaScript, HTML, Go, PowerShell, ฯลฯ รวมถึงการรวมรูปแบบเอาต์พุตใน HTML, JSON และข้อความ

นักพัฒนา Microsoft Application Inspector กล่าวเช่นนั้น ได้รับการออกแบบมาเพื่อใช้เป็นรายบุคคลหรือตามขนาด และสามารถวิเคราะห์ซอร์สโค้ดคอมโพเนนต์หลายล้านบรรทัดที่สร้างขึ้นโดยใช้ภาษาโปรแกรมต่างๆ

Microsoft ใช้ตัวตรวจสอบแอปพลิเคชันเพื่อระบุการเปลี่ยนแปลงที่สำคัญของคุณลักษณะของส่วนประกอบที่ตั้งไว้เมื่อเวลาผ่านไป (รุ่นตามเวอร์ชัน) เนื่องจากสามารถระบุอะไรก็ได้ตั้งแต่พื้นผิวการโจมตีที่เพิ่มขึ้นไปจนถึงแบ็คดอร์ที่เป็นอันตราย

พวกเขายังใช้เครื่องมือเพื่อระบุส่วนประกอบที่มีความเสี่ยงสูง และผู้ที่มีลักษณะที่ไม่คาดคิดซึ่งต้องมีการตรวจสอบข้อเท็จจริงเพิ่มเติม ส่วนประกอบที่มีความเสี่ยงสูง ได้แก่ ส่วนที่เกี่ยวข้องในด้านต่างๆเช่นการเข้ารหัสการพิสูจน์ตัวตนหรือการแยกส่วนที่เป็นช่องโหว่ซึ่งอาจทำให้เกิดปัญหามากขึ้น

ในขณะที่ เป้าหมายคือการระบุส่วนประกอบซอฟต์แวร์ของ บริษัท อื่นอย่างรวดเร็ว มีความเสี่ยงตามข้อมูลจำเพาะ แต่เครื่องมือนี้ยังมีประโยชน์ในบริบทที่ไม่ปลอดภัยอีกมากมาย

โดยทั่วไป นี่คือลักษณะที่สำคัญที่สุด จาก Microsoft Application Inspector:

• เอ็นจินกฎที่ใช้ JSON ซึ่งทำการวิเคราะห์แบบคงที่
• ความสามารถในการวิเคราะห์ซอร์สโค้ดนับล้านบรรทัดจากส่วนประกอบที่สร้างขึ้นด้วยหลายภาษา
• ความสามารถในการระบุส่วนประกอบที่มีความเสี่ยงสูงและผู้ที่มีลักษณะที่ไม่คาดคิด
• ความสามารถในการระบุการเปลี่ยนแปลงชุดคุณลักษณะของส่วนประกอบทีละรุ่นซึ่งสามารถบ่งชี้อะไรก็ได้ตั้งแต่แบ็คดอร์ที่เป็นอันตรายไปจนถึงพื้นผิวการโจมตีที่ใหญ่ขึ้น
• ความสามารถในการสร้างผลลัพธ์ในหลายรูปแบบรวมถึง JSON และ HTML
• ความสามารถในการค้นหาคุณลักษณะที่ครอบคลุม Microsoft Azure, Amazon Web Services และ API บริการ Google Cloud Platform และคุณลักษณะของระบบปฏิบัติการเช่นระบบไฟล์คุณลักษณะด้านความปลอดภัยและกรอบงานแอปพลิเคชัน

อย่างที่คาดไว้ แพลตฟอร์มและการเข้ารหัสลับได้รับการคุ้มครองอย่างดีด้วยการรองรับแบบสมมาตรไม่สมมาตรแฮชและ TLS

ประเภทของข้อมูลสามารถตรวจสอบความเสี่ยงรวมถึงข้อมูลที่ละเอียดอ่อนและสามารถระบุตัวตนได้

การตรวจสอบอื่น ๆ รวมถึงฟังก์ชันของระบบปฏิบัติการเช่นการระบุแพลตฟอร์มระบบไฟล์รีจิสทรีและบัญชีผู้ใช้และคุณลักษณะด้านความปลอดภัยเช่นการพิสูจน์ตัวตนและการอนุญาต

ในที่สุด สำหรับผู้ที่สนใจ ในการทดสอบ Microsoft Application Inspector ควรทราบว่ามีอยู่แล้ว พร้อมใช้งานบน GitHub