近年來，由于網(wǎng)絡邊界愈發(fā)模糊、新型攻擊手段層出不窮，軟件安全的重要性也愈加突顯，越來越不容忽視。應用安全測試（Application Security Testing，簡稱AST）作為保障軟件安全的核心手段，自然也取得了快速發(fā)展。Gartner在2017年6月的《全球信息安全預測分析報告》中指出：“預計2021年之前，應用安全測試領(lǐng)域的市場將保持14.3%以上的綜合年度增長率（CAGR），這是所有信息安全環(huán)節(jié)中增長率最高的部分” 。

代碼作為構(gòu)建各種應用、系統(tǒng)的基礎(chǔ)組件，其安全問題是軟件安全的根源性問題。因此，AST領(lǐng)域中有多類技術(shù)都可以應用在代碼安全保障中，例如靜態(tài)應用安全測試技術(shù)（Static Application Security Testing，簡稱SAST）技術(shù)、動態(tài)應用安全測試技術(shù)（Dynamic Application Security Testing，簡稱DAST）技術(shù)、軟件成分分析（Software Component Analysis，簡稱SCA）技術(shù)等。

隨著開發(fā)模式的不斷演進和信息安全趨勢的變化，對代碼安全保障技術(shù)提出了規(guī)模化、自動化、智能化的要求，從而實現(xiàn)軟件的快速、安全、自動的發(fā)布。未來數(shù)年中，代碼安全保障技術(shù)將會走向何方，以下是我們根據(jù)該領(lǐng)域現(xiàn)狀分析歸納出的幾項趨勢和技術(shù)發(fā)展方向。

基于人工智能的代碼安全分析

由萬物智能互聯(lián)而產(chǎn)生的數(shù)據(jù)洪流，催生了當今人工智能的飛速發(fā)展。作為分析、挖掘數(shù)據(jù)價值的創(chuàng)新方法，人工智能可以充分利用、釋放數(shù)據(jù)的價值，從而帶來前所未有的增值效應。隨著軟件的復雜度不斷提升，軟件的代碼數(shù)量也在迅速增加，從代碼中抽象出的數(shù)據(jù)也越來越多，同時安全測試往往又是對復雜數(shù)據(jù)的分析。如此看來，代碼安全對于人工智能而言，似乎是一個完美的應用場景。

雖然利用人工智能技術(shù)輔助安全和風險管理者進行代碼安全治理的路線目前尚不十分明晰。但是，一些世界頂級的安全廠商，已經(jīng)開始使用人工智能在代碼安全領(lǐng)域開展一些研究和嘗試。例如對于SAST產(chǎn)品而言，雖然其應用十分廣泛、價值不可否認，但是其誤報率較高的問題一直受到業(yè)界的詬病。引入人工智能的技術(shù)后，可以使用SAST工具的結(jié)果作為輸入，以訓練缺陷模式從而發(fā)現(xiàn)誤報；然后系統(tǒng)會輸出某個置信水平內(nèi)的誤報列表（或排除誤報的列表）；為了進一步的改進，可以通過結(jié)果的審計，識別出新的誤報并反饋到訓練集中，計算出新的模型。隨著這種算法的迭代進行，新的信息不斷被納入到預測算法中，以期持續(xù)的改進。IBM的SAST產(chǎn)品提供了針對掃描結(jié)果的智能查找分析（IFA），以消除誤報，噪音或利用概率低的結(jié)果。360代碼衛(wèi)士團隊也在進行將人工智能技術(shù)應用于代碼安全分析的研究，以期在其產(chǎn)品的后續(xù)新版本中提供相應的功能。

雖然人工智能、機器學習乃至深度學習作為近年來大熱的技術(shù)方向，讓人難以區(qū)分其價值的真實成分和炒作成分。但是不得不承認，人工智能技術(shù)和傳統(tǒng)代碼安全技術(shù)的結(jié)合，是AST領(lǐng)域的重要發(fā)展趨勢之一。

基于人工智能的代碼安全分析

Forrester Research 2017年的一份研究則表明，為了加速應用的開發(fā)，開發(fā)人員常使用開源組件作為應用基礎(chǔ)，這導致80%-90%的代碼來自于開源組件。而VeraCode在《軟件安全報告（第7版）》中指出，大約97％的Java應用程序中至少包含一個存在已知漏洞的組件。由此可見，隨著開源組件在現(xiàn)代軟件中使用比率的持續(xù)增長，以及日益嚴峻的組件安全問題，開源（或第三方）組件的發(fā)現(xiàn)和管理已經(jīng)成為AST解決方案中關(guān)鍵性甚至強制性的功能之一。

軟件代碼成分分析（SCA）技術(shù)是指通過對軟件的組成進行分析，識別出軟件中使用的開源和第三方組件（如底層庫、框架等等），從而進一步發(fā)現(xiàn)開源安全風險和第三方組件的漏洞。通常，SCA的檢測目標可以是源代碼、字節(jié)碼、二進制文件、可執(zhí)行文件等的一種或幾種。除了在安全測試階段采用SCA技術(shù)對軟件進行分析以外，SCA技術(shù)還可以集成到MSVC、Eclipse等IDE或SVN、Git等版本控制系統(tǒng)，從而實現(xiàn)對開發(fā)者使用開源組件的控制。

SCA技術(shù)和其他AST技術(shù)的深入融合，也是代碼安全技術(shù)發(fā)展的趨勢之一。當使用單一SAST技術(shù)掃描某個項目的源代碼之后，你可能會得到開發(fā)人員的反饋：“檢測結(jié)果中有90%是開源代碼的問題，我處理不了”。而當SAST融合了SCA技術(shù)之后，開發(fā)人員拿到的結(jié)果將是開源組件中的已知漏洞信息和實際開發(fā)代碼中的SAST掃描結(jié)果。

面向DevSecOps的代碼安全測試

由于敏捷開發(fā)和DevOps的開發(fā)技術(shù)趨勢，傳統(tǒng)應用安全的形態(tài)不斷發(fā)生著變化。很多具體的技術(shù)路線仍然在不斷演進，但是對于自動化、工具化、時間控制的要求越來越明顯了。面向DevSecOps的代碼安全測試，并不是一門全新的技術(shù)，但是幾乎所有的傳統(tǒng)安全測試技術(shù)，都會因為DevOps而產(chǎn)生變化，演化出新的產(chǎn)品形態(tài)。

由于開發(fā)運維的一體化，原本開發(fā)人員的一次普通Tag或Merge操作，也被賦予了更多的含義。提交代碼中的安全問題，可能就意味著一次失敗的發(fā)布。因此，代碼安全的需求也被前置到了前所未有的程度。能夠在代碼編寫的同時，發(fā)現(xiàn)代碼中的安全隱患，從而在第一時間內(nèi)修復，成為了DevSecOps的基本需求。因而IDE插件、輕量級的客戶端快速檢測模式，也成為了下一代代碼安全產(chǎn)品的標配。

由于持續(xù)集成、持續(xù)部署在DevOps中的大量應用，自動化的、快速地代碼安全測試也勢在必行。因此，代碼安全產(chǎn)品需要與Jenkins、Bamboo等持續(xù)集成系統(tǒng)，Bugzilla、Jira等生命周期管理系統(tǒng)進行集成，實現(xiàn)有效的自動化；同時，提供針對代碼安全基線的檢測，以及增量分析、審計信息攜帶等功能，從而在少量或沒有人工參與的情況下，盡可能快速地、有效地保證軟件的安全性。

交互式應用安全測試

SAST產(chǎn)品，通常從源代碼層面對程序進行建模和模擬執(zhí)行分析，但是由于缺少一些必要的運行時信息，容易產(chǎn)生較高的誤報；DAST產(chǎn)品雖然能夠通過攻擊的方式，發(fā)現(xiàn)一些確實存在的安全問題，但其對應用的覆蓋率很低。

交互式應用安全測試（Interactive Application Security Testing，簡稱IAST）技術(shù)，是解決上述問題的一個新的嘗試。關(guān)于IAST，Gartner分析師給出的定義是：“IAST產(chǎn)品結(jié)合了DAST和SAST的技術(shù)，從而提高測試的準確率（類似于DAST對于攻擊成功的確認），同時對代碼的測試覆蓋率達到與SAST相似的水平”。 IAST在其準確度、代碼覆蓋率、可擴展性等方面，有著獨到之處。但又受限于它自身的技術(shù)路線，無法在所有場景中替代DAST產(chǎn)品。

IAST產(chǎn)品的解決方案通常包含兩個部分：應用探針和測試服務器。應用探針會部署于被測Web應用所在的服務器，從而捕獲來自于用戶代碼、庫、框架、應用服務器、運行時環(huán)境中的安全信息，并傳輸給測試服務器；測試服務器會對收集來的安全數(shù)據(jù)進行分析，得出漏洞的信息進而生成報告。另外，值得一提的是，基于這種應用深度探測與分析的技術(shù)，還能夠?qū)崿F(xiàn)實時的應用層攻擊的自我防護，阻斷對諸如SQL注入、跨站腳本等漏洞進行的利用和攻擊，這就是實時應用程序自我保護（Runtime Application Self-Protection）技術(shù)。