鑒釋首席技術官，陳新中

我在編譯器技術領域深耕已有30多年之久，包括MIPS和Intel等公司。目前，我領導著鑒釋科技靜態(tài)應用程序安全測試（SAST）工具的核心開發(fā)工作。該工具能夠分析處于靜態(tài)狀態(tài)的源代碼，即在軟件編譯和運行之前檢查軟件是否存在錯誤。為了做到這一點，我們的工作已經(jīng)超越了編程語言的語法范圍。它不僅僅要檢查源代碼的“語法和拼寫”，還要檢查系統(tǒng)語義以及系統(tǒng)中的數(shù)據(jù)流。通過將編譯器技術應用于其中，我們模擬數(shù)據(jù)在軟件中的流動方式，并檢測在運行期間可能出現(xiàn)的問題，而不是在運行時再去檢測它?；貧w到本質(zhì)，在二進制代碼之前，我們進一步向下執(zhí)行從抽象語法樹（AST）到中間表示（IR）級別的編譯器步驟，因此我們可以看到僅在編程語言代碼中看不到的流程和動作。

陳新中，鑒釋聯(lián)合創(chuàng)始人兼首席技術官

為了進行完整的應用程序安全性測試，SAST一般不獨立運行。 而且必須使用其它測試工具來查找軟件中的缺陷和漏洞，例如動態(tài)應用程序安全測試（DAST）和交互式應用程序安全性測試（IAST）。DAST是目前應用最廣泛的安全測試技術之一，用于在軟件運行過程中檢查問題。IAST則結合了SAST和DAST的元素，在應用程序內(nèi)部進行分析。它可以在執(zhí)行應用程序功能測試時完成安全測試，并且具有準確度高，誤報率低的優(yōu)點。

現(xiàn)有的編程語言可被分為靜態(tài)和動態(tài)語言兩種，C 和C++ 是靜態(tài)型語言，在編譯時就能快速地對代碼進行分析并生成結果。 JavaScript等是動態(tài)型語言，它們的很多特征是無法在編譯時進行分析。有些漏洞是靜態(tài)分析無法判斷的，此時就要依賴IAST和DAST來把關。 沒法在編譯時分析的信息主要包括，在運行時來自外部輸入的信息，以及在運行時程序生成的某些數(shù)據(jù)，從而改變了程序流。 因此，從靜態(tài)到動態(tài)的協(xié)同分析實際上是最好的方法。

SAST工具一直在進步，但是仍然存在許多未解決的問題。 跨文件分析是我已經(jīng)思考了十多年的一個特殊問題。這是一個真正的挑戰(zhàn)，但幸運的是，我們能夠用鑒釋研發(fā)的靜態(tài)代碼分析工具愛科識?解決這個問題。利用新算法，我們可以跨程序邊甚至跨文件分析程序，并且可以在不占用大量內(nèi)存的情況下快速進行此類分析。即使軟件此時處于靜態(tài)，我們也能夠大致分析它在運行狀態(tài)下的行為。例如，愛科識?能夠靜態(tài)分析那些通常在運行時需要輸入的程序流。

超出編程語言的另一個主要問題是我們?nèi)绾螒脴I(yè)務邏輯驗證。這不是編譯器或語言問題。我們面臨的挑戰(zhàn)是，如何整合并滿足公司業(yè)務重點所需的特定業(yè)務邏輯。例如，訪問者在電商網(wǎng)站上結賬時必須遵守的事件序列。這就是精確和自定義規(guī)則基礎的用武之地。我們可以通過符號框架對副作用進行建模和分析用戶定義的規(guī)則。如前文所述，建模是基于“數(shù)據(jù)流”完成的。 因此，它擁有非常快的分析速度，特別是與具有指數(shù)復雜性的傳統(tǒng)形式邏輯方法相比。

靜態(tài)代碼分析可幫助各種規(guī)模的公司解決其業(yè)務問題，與所有行業(yè)都息息相關?，F(xiàn)階段，我正專注于嵌入式領域。比如，現(xiàn)在在中國乃至全世界，人工智能（AI）芯片設計都變得非常流行，初創(chuàng)企業(yè)如雨后春筍般涌現(xiàn)。物聯(lián)網(wǎng)則是另一個巨大的增長領域，幾乎每天都有新的智能設備問世。這些設備帶來了巨大的信息安全問題，需要被扼殺在萌芽期。特別是在該行業(yè)，在沒有嚴格合規(guī)性標準的情況下，多個設備之間存在著大量數(shù)據(jù)流。

當考慮所有這些挑戰(zhàn)時，就會明白為什么分析代碼的語義與語法同樣重要，甚至更重要。現(xiàn)代應用程序體系結構是極其復雜的，所有軟件開發(fā)都必須正確使用靜態(tài)和動態(tài)應用程序安全性測試的黃金組合。 在中國，許多公司在程序分析、缺陷檢測和性能優(yōu)化方面都面臨著挑戰(zhàn)。希望愛科識?能夠為他們提供幫助。

關于作者

作為鑒釋首席技術官兼聯(lián)合創(chuàng)始人，陳新中指導鑒釋科技在中國的核心研發(fā)團隊開發(fā)靜態(tài)代碼分析工具。開發(fā)者，測試人員，質(zhì)量保證專業(yè)人員和高級IT管理者都會使用這些工具來進行深入的源代碼缺陷和漏洞檢測。