Microsoft, üçüncü taraf yazılım bileşenlerine güvenen geliştiricilere yardımcı olmak amacıyla kaynak kod analiz aracı Microsoft Application Inspector'ın kaynak kodunu yayınladığını duyurdu . Microsoft Application Inspector , JSON tabanlı kural motoruyla statik analiz kullanarak yazılım bileşenlerinin önemli ve diğer özelliklerini ortaya çıkarmak için tasarlanmış bir kaynak kod analiz aracıdır.
Bu kod analiz aracı, aynı türdeki diğer araçlardan farklıdır çünkü yalnızca programlama uygulamalarını tespit etmekle sınırlı değildir ; kod kontrolü sırasında genellikle dikkatli manuel analiz gerektiren özellikleri belirleyip vurgulayacak şekilde tasarlanmıştır .
Microsoft'un araçla ilgili yaptığı açıklamalara göre:
Microsoft Application Inspector, "iyi" veya "kötü" modelleri belirlemeye çalışmaz. Özellik tespiti için bulduklarını 400'den fazla kural şablonuna başvurarak raporlamak içeriktir. Microsoft'a göre bu, şifreleme kullanımı ve daha fazlası gibi güvenlik etkisine sahip özellikleri de içeriyor.
Bu araç komut satırından çalışır ve platformlar arası uyumludur . Yazılımın ne olduğunu veya ne işe yaradığını belirlemeye yardımcı olmak için kullanımdan önce bileşenleri taramak üzere tasarlanmıştır.
Sağladığınız veriler, çoğunlukla sınırlı belgelere veya önerilere güvenmek yerine, kaynak kodunu doğrudan inceleyerek yazılım bileşenlerinin ne yaptığını belirlemek için gereken süreyi azaltmada yardımcı olabilir.
Microsoft Application Inspector , C, C++, C#, Java, JavaScript, HTML, Go, PowerShell vb. dahil olmak üzere çeşitli programlama dillerinin analizini ve HTML, JSON ve metin formatlarında çıktı eklenmesini destekler.
Microsoft Application Inspector geliştiricileri, aracın bireysel veya büyük ölçekli kullanım için tasarlandığını ve birçok farklı programlama dili kullanılarak oluşturulmuş bileşenlerden milyonlarca satır kaynak kodunu analiz edebildiğini söylüyor.
Microsoft, artan bir saldırı yüzeyinden kötü niyetli bir arka kapıya kadar her şeyi gösterebildiğinden, zaman içinde bir bileşenin özellik kümesinde (sürüme göre) önemli değişiklikleri belirlemek için Uygulama Denetçisi'ni kullanır.
Ayrıca bu aracı, yüksek riskli bileşenleri ve daha fazla inceleme gerektiren beklenmedik özelliklere sahip bileşenleri belirlemek için de kullanıyorlar . Yüksek riskli bileşenler arasında, bir güvenlik açığının daha fazla soruna yol açma olasılığının yüksek olduğu kriptografi, kimlik doğrulama veya seri durumdan çıkarma gibi alanlarla ilgili olanlar yer almaktadır.
Amaç , belirli özelliklerine dayanarak risk altındaki üçüncü taraf yazılım bileşenlerini hızlı bir şekilde belirlemektir , ancak bu araç birçok güvensiz ortamda da faydalıdır.
Özetle, Microsoft Application Inspector'ın en önemli özellikleri şunlardır :
- Statik analiz gerçekleştiren JSON tabanlı bir kural motoru.
- Birçok dilde oluşturulmuş bileşenlerden milyonlarca satırlık kaynak kodu analiz etme yeteneği.
- Yüksek riskli bileşenleri ve beklenmedik özelliklere sahip bileşenleri belirleme yeteneği.
- Kötü niyetli bir arka kapıdan daha büyük bir saldırı yüzeyine kadar her şeyi gösterebilen, bir bileşenin özellik setinde sürüm bazında değişiklikleri tanımlama yeteneği.
- JSON ve HTML dahil olmak üzere birden çok formatta sonuç üretme yeteneği.
- Microsoft Azure, Amazon Web Services ve Google Cloud Platform hizmeti API'lerini kapsayan özellikleri ve dosya sistemi, güvenlik özellikleri ve uygulama çerçeveleri gibi işletim sistemi özelliklerini keşfetme yeteneği.
Beklendiği gibi, platform ve şifreleme, simetrik, asimetrik, karma ve TLS desteğiyle iyi bir şekilde ele alınmış.
Hassas ve kişisel olarak tanımlanabilir bilgiler dahil olmak üzere veri türleri riskler açısından kontrol edilebilir.
Diğer kontroller; platform tanımlama, dosya sistemi, kayıt ve kullanıcı hesapları gibi işletim sistemi işlevlerini ve kimlik doğrulama ve yetkilendirme gibi güvenlik özelliklerini içerir.
Son olarak, Microsoft Application Inspector'ı denemek isteyenler için , artık GitHub'da mevcut .