國内源代碼安全漏洞檢測工具現狀淺析

       在靜态源代碼檢測工具方面，國内很多公司在研發産品，包括北大軟體CoBOT、奇虎測騰的代碼衛士、360企業代碼衛士、清華大學軟體學院Tsmart代碼分析工具集、騰訊TscanCode開源靜态掃描工具，端瑪企業級靜态源代碼掃描分析平台DMSCA、找八哥源代碼安全檢測系統等。

       知名度比較高的可能是360的代碼衛士，借助其公司品牌和免費防毒軟體等宣傳，行業内知名度較高，但是工具本身可能并不如其品牌。目前産品比較成熟，推廣較多的是北大軟體的CoBOT，借助北京大學平台，在軍方、政府、科院院所推廣相對較多。奇虎測騰是奇安信旗下公司，代碼衛士與360企業代碼衛士名稱很接近，不知道兩個公司之間的關系。360開拓市場主要方法是通過分析一些知名企業、架構的代碼，找到漏洞，進行宣傳，同時與開源中國等網站進行合作，提升市場知名度。清華大學的Tsmart目前正在研發之中，可能主要是做一些國家課題為主，目前還在融資之中，清華大學下屬企業中可能還沒有企業認識到這方面的重要性，社會資本由于對該行業不了解，加上又是一個很細分的市場，可能也不會引入資金。騰訊對軟體代碼分析和成分分析認識比較早，在軟體成分方面推出了哈勃分析系統，能夠對多種檔案類型進行線上成分分析，免費試用提供的資訊相對比較少，不知道收費版本能夠分析到何種程度。代碼成分分析工具，未來在軟體領域也應該是一個藍海，據說，北大CoBOT團隊的代碼成分分析系統也即将釋出。國内，能夠分析二進制程式的工具幾乎是空白，騰訊哈勃能夠分析出PE代碼中成分資訊，應該是無法分析出缺陷和安全漏洞，目前北大CoBOT在二進制缺陷和安全漏洞分析上，應該正在突破，有望在2020年切入民用市場。端瑪DMSCA産品在官網能看到的資訊不多，提供的有價值資訊少，支援開發語言、标準也還可以，不知道具體如何。找八哥是思客雲公司的産品，通過介紹來看，應該是采用C#等windows平台上的開發語言開發的BS架構工具，支援的檢測語言比較多，支援安全漏洞比較多，可能不是采用的主流檢測引擎技術，檢測效率上比較慢。

       随着國際環境的日益複雜，科技戰影響到今後幾年甚至更遠的國家發展戰略，國産軟體，尤其是一些需要更多底層技術的軟體工具、平台，也是需要大力發展的一個方面。針對源代碼的缺陷檢測、安全檢測、開源代碼成分分析、二進制檔案木馬和漏洞分析等市場看好，為了該領域的競争越來越厲害，國外檢測工具市場佔有率将減少，有可能逐漸退出國内市場。

    （完）