Giải pháp Dò Quét Lỗ Hổng Bảo Mật Ứng Dụng Web – Fortify

Giải pháp Dò Quét Lỗ Hổng Bảo Mật Ứng Dụng Web – Fortify

1.    Vai trò của giải pháp bảo vệ ứng dụng

1.1. Tổng quan

Các tổ chức đang đối mặt với thách thức của việc mở rộng nhanh chóng danh mục ứng dụng, cả về quy mô và độ phức tạp. Điều này mang lại nhiều vấn đề về an ninh ứng dụng mà các doanh nghiệp phải đối mặt. Bảo vệ các ứng dụng trước các rủi ro và lỗ hổng đã trở thành một ưu tiên cấp bách đối với doanh nghiệp, nhằm đảm bảo sự bảo vệ cho doanh nghiệp và khách hàng.

Cụ thể, để đảm bảo an ninh ứng dụng, các doanh nghiệp cần bảo vệ ứng dụng của mình ở mọi giai đoạn của quy trình phát triển phần mềm (Software Development Lifecycle – SDLC). An ninh ứng dụng cần được đảm bảo từ khi mã nguồn được phát triển, qua giai đoạn kiểm thử, cho đến khi ứng dụng được triển khai và đi vào sản xuất. Điều này nhấn mạnh sự cần thiết của việc áp dụng các chương trình đảm bảo an ninh phần mềm, đồng thời tối ưu hóa chi phí và đảm bảo tuân thủ chính sách cũng như thực thi liên tục.

Tuy nhiên, chỉ có 13% những người có quyền quyết định về công nghệ và những cá nhân ảnh hưởng cho biết rằng tất cả các ứng dụng hiện tại của họ đang được bảo vệ dưới các chương trình an ninh ứng dụng. Điều này tương tự cho thấy việc triển khai và duy trì an ninh ứng dụng vẫn là một thách thức lớn đối với nhiều tổ chức. Điều này đặt ra vấn đề cấp bách cần giải quyết để đảm bảo an toàn cho môi trường kinh doanh và khách hàng.

1.2. Vai trò của các giải pháp bảo vệ ứng dụng

Một trong những thách thức lớn mà các doanh nghiệp đối mặt khi phát triển ứng dụng là bảo đảm tính an toàn và bảo mật cho sản phẩm của mình. Việc đảm bảo rằng ứng dụng hoạt động một cách an toàn trước các mối đe dọa bảo mật ngày càng phức tạp trở thành một ưu tiên hàng đầu. Vì vậy, các giải pháp bảo vệ ứng dụng đóng vai trò cực kì quan trọng đồng thời đem lại cho các doanh nghiệp, tổ những lợi ích như:

• Bảo vệ Toàn Diện Ứng dụng: Các giải pháp an ninh phần mềm đảm bảo an ninh từ khi mã nguồn được phát triển, qua giai đoạn kiểm thử, cho đến khi ứng dụng được triển khai và đi vào sản xuất. Điều này giúp ngăn chặn các rủi ro và lỗ hổng an ninh.
• Đảm Bảo Tuân Thủ Chính Sách: Các giải pháp này đóng vai trò quan trọng trong việc đảm bảo tuân thủ các chính sách và tiêu chuẩn an ninh. Chúng giúp doanh nghiệp thực hiện các chính sách an ninh một cách liên tục và đáng tin cậy.
• Tối Ưu Hóa Chi Phí: Sử dụng các giải pháp an ninh phần mềm trong quy trình phát triển và triển khai ứng dụng có thể tối ưu hóa chi phí so với việc sửa lỗi sau khi ứng dụng đã đi vào sản xuất. Điều này giúp tiết kiệm tài nguyên và nguồn lực.
• Bảo Vệ Khách Hàng: Các giải pháp an ninh phần mềm đóng vai trò quan trọng trong việc bảo vệ dữ liệu và thông tin cá nhân của khách hàng. Điều này tạo lòng tin và bảo vệ danh tiếng của doanh nghiệp.
• Phát Hiện Lỗ Hổng: Các công cụ kiểm tra an ninh ứng dụng giúp phát hiện và sửa lỗi trong quá trình phát triển, tránh việc phát hiện sau khi ứng dụng đã đi vào sản xuất.

2.    Giải pháp bảo vệ ứng dụng Fortify on Demand (FoD)

2.1. FoD DAST

2.1.1. Giới thiệu về DAST

DAST (Dynamic Application Security Testing) là một phương pháp kiểm tra bảo mật ứng dụng động, tập trung vào việc đánh giá và kiểm tra các ứng dụng và dịch vụ web trong điều kiện thời gian chạy (runtime). Đây là một phần quan trọng của việc đảm bảo an ninh thông tin cho các ứng dụng và hệ thống.

Fortify on Demand (FoD) là một giải pháp dựa trên phương pháp kiểm thử bảo mật ứng dụng động (DAST) của Fortify, được quản lý và cung cấp bởi đội ngũ chuyên gia hàng đầu trong lĩnh vực kiểm thử bảo mật ứng dụng. Nền tảng FoD DAST đóng vai trò quan trọng trong việc đảm bảo tính an toàn của ứng dụng động. Bằng cách tập trung vào việc quét ứng dụng đang chạy, xác định lỗ hổng bảo mật và đánh giá API, FoD DAST mang lại hiệu suất và độ chính xác cao trong đánh giá bảo mật ứng dụng.

SAST (Static Application Security Testing), mặt khác chỉ tập trung vào phân tích mã nguồn trong khi DAST tập trung vào quét ứng dụng đang chạy. Hai phương pháp này bổ sung lẫn nhau, cung cấp một đánh giá bảo mật toàn diện.

Kiểm tra và đánh giá bảo mật động của Fortify on Demand là sự bổ sung quan trọng cho việc kiểm tra bảo mật ứng dụng tĩnh (SAST) trên mã nguồn, bởi chúng tập trung vào việc xác định lỗ hổng trong môi trường thực tế của sản phẩm. Các ví dụ về lỗ hổng chỉ có thể phát hiện thông qua kiểm tra động bao gồm:

• Lỗ hổng liên quan đến cấu hình: Ví dụ: Một ứng dụng cấu hình sai lệch, cài đặt máy chủ không được bảo mật đúng cách cho phép truy cập không ủy quyền vào các tài nguyên hoặc cấu hình để mở cổng một cổng mạng nào đó, cho phép tấn công từ xa vào hệ thống.
• Kỹ thuật hack phức tạp: Ví dụ: Một kẻ tấn công có thể tận dụng các lỗ hổng kết hợp với các kĩ thuật phức tạp như SQL injection hay cross-site scripting (XSS) để có thể xâm nhập và kiểm soát ứng dụng.
• Chiến thuật tấn công cụ thể đối với logic kinh doanh của ứng dụng: Cụ thể: Một kẻ tấn công có thể tận dụng lỗ hổng trong cách ứng dụng xử lý các yêu cầu gửi từ người dùng để truy cập hoặc thay đổi dữ liệu một cách trái phép.

2.1.2. Đặc điểm của DAST

Các kiểm tra bảo mật động (Dynamic Application Security Testing – DAST) của Fortify on Demand có các đặc điểm sau:

• Mô phỏng các kỹ thuật hack thực tế và tấn công vào các ứng dụng mục tiêu: Bằng cách mô phỏng cuộc tấn công thực tế, ta xác định được lỗ hổng nào có thể sử dụng được để khai thác vào ứng dụng, từ đó ưu tiên giải quyết trước so với các lỗ hổng khác (có thể nguy hiểm hơn nhưng không thể sử dụng để khai thác vào hệ thống).
• Cung cấp phân tích bảo mật toàn diện cho các ứng dụng web và dịch vụ web phức tạp.
• Quét toàn bộ bề mặt tấn công để tìm lỗ hổng có thể bị tấn công: DAST thực hiện quét toàn bộ bề mặt tấn công của ứng dụng, bao gồm các URL, tham số, form, và các điểm cuối khác để tìm kiếm các điểm yếu có thể bị tấn công.
• Có khả năng kiểm tra các ứng dụng nội bộ thông qua kết nối VPN site-to-site hoặc cho phép định rõ địa chỉ IP trung tâm dữ liệu chính thức của Fortify on Demand.
• DAST đạt hiệu quả trong việc xác định các lỗ hổng liên quan đến môi trường như mã hóa yếu (Xác định phương thức mã hóa và phát hiện dữ liệu có thể bị giải mã hóa không) và vấn đề SSL (Tìm kiếm lỗ hổng của phiên bản, đảm bảo kết nối SSL được thiết lập một cách an toàn).
• DAST mạnh trong việc đánh giá bảo mật API, đặc biệt trong môi trường microservices.
• Không yêu cầu kiến thức sâu về cú pháp mã nguồn của ứng dụng.

Công nghệ DAST của chúng tôi hỗ trợ kiểm tra bảo mật cho các ứng dụng web, dịch vụ web và các ứng dụng được tối ưu hóa cho trình duyệt di động. Điểm độc đáo của các kiểm tra DAST của Fortify on Demand là tích hợp ba thành phần quan trọng: kiểm tra tự động WebInspect, phân tích thủ công (Manual Analysis) và tùy chọn kiểm tra chủ động IAST (Active IAST).

a) WebInspect

Fortify on Demand tận dụng những khả năng tiên tiến về đánh giá bảo mật ứng dụng web động của WebInspect. WebInspect được coi là giải pháp hàng đầu trong ngành về đánh giá bảo mật ứng dụng web động. Nó được thiết kế để phân tích một cách toàn diện các ứng dụng web và dịch vụ web phức tạp hiện nay để xác định các lỗ hổng bảo mật. Fortify on Demand khám phá các mối đe dọa tiềm ẩn trên tất cả các ứng dụng web và dịch vụ web khi chúng di chuyển qua giai đoạn kiểm tra chất lượng, môi trường staging (staging environment là một bản sao gần như chính xác của môi trường production dùng để kiểm thử phần mềm) và sản xuất.

Các điểm nổi bật về khả năng của WebInspect bao gồm:

Tìm lỗ hổng nhanh chóng, dễ dàng hơn

WebInspect có khả năng tùy chỉnh và tối ưu hóa cho ứng dụng, giúp tìm ra các lỗ hổng nhanh chóng trong quy trình phát triển phần mềm (SDLC). Đồng thời, nó cải thiện quá trình quét bằng việc sử dụng công nghệ agent để mở rộng phạm vi tấn công và phát hiện thêm các loại lỗ hổng.

• Fortify WebInspect Agent tích hợp kiểm tra động và phân tích thời gian chạy để cải thiện kết quả và phạm vi quét. Agent xác định các lỗ hổng bằng cách duyệt nhiều phần của ứng dụng hơn, mở rộng phạm vi tấn công và tiết lộ các lỗ hổng tốt hơn so với việc chỉ sử dụng kiểm tra động.
• Các chính sách tùy chỉnh đã được điều chỉnh để tối ưu quá trình quét, giúp tăng tốc độ quét. Ngoài ra, công cụ quét thực hiện hai nhiệm vụ quan trọng đồng thời: duyệt (crawling – quét toàn bộ ứng dụng hoặc một phần của nó để xác định các thành phần, cấu trúc, hoặc liên kết giữa các phần) và kiểm tra (testing – quét lỗ hổng bảo mật).
• Để tối ưu quá trình kiểm tra, công cụ loại bỏ các cuộc tấn công trùng lặp. Thay vì gửi nhiều cuộc tấn công đến cùng một lớp/hàm ở một phần khác của ứng dụng, quét chỉ diễn ra một lần đối với mỗi lớp/hàm đó.
• Cùng với đó, tính năng tránh kiểm tra giới hạn việc gửi nhiều cuộc tấn công đến cùng một loại kiểm tra cụ thể nếu agent xác định rằng ứng dụng có thể xử lý cuộc tấn công đó. Thông tin chi tiết và kết quả quét được tải lên Trung tâm Bảo mật Phần mềm Fortify (SSC) và kết hợp với kết quả quét từ Fortify Static Code Analyzer, giúp tổ chức đánh giá và ưu tiên các vấn đề một cách hiệu quả.

Tiết kiệm thời gian với tự động hóa và công nghệ Agent

Để tối ưu hóa quá trình tìm kiếm lỗ hổng và tiết kiệm thời gian, Fortify WebInspect cung cấp nhiều tính năng hữu ích. Các tính năng như phát hiện trang trùng lặp, tạo macro tự động, quét tăng dần giúp giảm bớt thời gian và tài nguyên cần thiết.

• Tính năng phát hiện trang trùng lặp cho phép nhận diện và loại bỏ các trang hoặc phần tử trong ứng dụng mà đã được quét trước đó. Điều này giúp tránh việc quét lại những thành phần đã được kiểm tra, tiết kiệm thời gian và tài nguyên.
• Macro tự động là một chuỗi các hành động được ghi lại và thực thi một cách tự động, việc tạo macro tự động giúp tối ưu hóa quá trình quét bằng cách tự động hóa các bước phức tạp và lặp lại một số hành động quét.
• Quét tăng dần (incremental scanning) chỉ quét và kiểm tra các phần mới hoặc thay đổi từ lần quét trước. Điều này giúp giảm thời gian quét bằng cách tập trung vào các phần thay đổi thực sự trong ứng dụng, không cần phải quét lại toàn bộ ứng dụng.

Quét các khung làm việc và công nghệ web

Fortify WebInspect không giới hạn việc quét các ứng dụng web thông thường, mà còn khám phá và kiểm tra các khung làm việc và công nghệ web hiện đại. Việc này bao gồm hỗ trợ cho các công nghệ web mới nhất như HTML5, JSON, AJAX, JavaScript, HTTP2, và nhiều công nghệ khác.

Công cụ này cũng đặc biệt quan trọng trong việc tìm kiếm một loại lỗ hổng mới được gọi là “Out of Band” hoặc OAST Vulnerabilities. Fortify WebInspect sử dụng máy chủ Fortify OAST công cộng để phát hiện các lỗ hổng OAST như Log4Shell, đóng góp vào tính toàn diện của quá trình quét.

Hơn nữa, Fortify WebInspect có khả năng phát hiện ứng dụng trang đơn (SPA) trong các khung làm việc phổ biến như Angular, AngularJS, React, GWT, Vue, Dojo và Backbone. Điều này mở rộng khả năng kiểm tra lỗ hổng cho các ứng dụng hiện đại.

Quản Lý Rủi Ro Bảo Mật Toàn Diện Với ScanCentral DAST

Fortify WebInspect tích hợp với ScanCentral DAST để mang đến quản lý toàn diện về bảo mật ứng dụng.

• ScanCentral DAST cung cấp báo cáo chi tiết về các lỗ hổng bảo mật, hỗ trợ quy trình khắc phục và giám sát quản lý. Điều này cho phép doanh nghiệp theo dõi xu hướng và thực hiện hành động để khắc phục lỗ hổng bảo mật trong ứng dụng. Đồng thời, nó cho phép xây dựng chương trình bảo mật ứng dụng doanh nghiệp và quản lý hồ sơ rủi ro bằng cách cung cấp tầm nhìn rõ ràng qua bảng điều khiển và báo cáo.
• Trong tổ chức, quản lý người dùng và giới hạn miền cũng trở nên quan trọng. ScanCentral DAST giúp quản lý người dùng một cách hiệu quả, đồng thời xử lý quy trình quét một cách chất lượng trong mô hình tự phục vụ.
• Cuối cùng, quản lý thông tin xác thực và tích hợp với các kho lưu trữ (như PostGresSQL) giúp tiết kiệm thời gian và tối ưu hóa chất lượng quét. ScanCentral DAST đóng vai trò quan trọng trong việc quản lý rủi ro bảo mật ứng dụng toàn diện, đặc biệt trong các tổ chức lớn.

b) Manual Analysis

Fortify on Demand (FoD) cung cấp một đội ngũ chuyên gia về bảo mật ứng dụng để đánh giá lỗ hổng một cách thủ công trong kết quả quét động. Khi quét ứng dụng của bạn bằng công cụ WebInspect, kết quả sẽ được tổng hợp. Các chuyên gia về bảo mật ứng dụng của Fortify on Demand thực hiện phân tích kết quả quét động ban đầu, thực hiện phân tích thủ công để loại bỏ những kết quả không chính xác.

Các doanh nghiệp có thể không có đủ thời gian hoặc kiến thức chuyên môn để xem xét một cách kỹ lưỡng những báo cáo chi tiết để xác nhận phạm vi quét và loại bỏ các kết quả không chính xác. Fortify on Demand sẽ đóng vai trò như một bộ phận hỗ trợ cho đội ngũ bảo mật ứng dụng trong tổ chức của bạn. Một số nhiệm vụ mà đội ngũ kiểm tra của Fortify on Demand thực hiện bao gồm:

• Phát triển các macro xác thực nếu cần thiết.
• Xác nhận phạm vi quét.
• Loại bỏ hơn 99% kết quả không chính xác từ kết quả tổng hợp, bao gồm cả kiểm tra thủ công và tự động, giúp tiết kiệm thời gian và tài nguyên cần thiết cho việc khắc phục.

Việc phân tích thủ công đối với ứng dụng web hoặc dịch vụ web mục tiêu được thực hiện trong tối đa là 8 giờ. Sử dụng phương pháp kiểm tra của Fortify on Demand để bổ sung kết quả quét từ WebInspect bằng các kiểm tra xâm nhập tiên tiến, tập trung vào các khía cạnh quan trọng như khám phá sâu về hệ thống xác thực, quản lý phiên, kiểm soát truy cập của ứng dụng và xem xét các lỗ hổng về mặt logic, … Chuyên gia xác định những lỗ hổng chỉ có thể được phát hiện thông qua can thiệp của con người, bao gồm:

• Khả năng thu thập tài khoản người dùng.
• Bypass quy trình xác thực đa bước.
• Lỗi khôi phục mật khẩu.
• Truy cập dữ liệu hoặc nội dung nhạy cảm của người dùng khác.
• Nâng cấp quyền ngang hoặc dọc.
• Bỏ qua các bước giao dịch quan trọng như thanh toán giỏ hàng.
• Lạm dụng giới hạn giảm giá hoặc quy định về doanh số kinh doanh.
• Lỗi về logic kinh doanh đặc thù do giả định sai của nhà phát triển.

c) Active IAST

Active IAST (Interactive Application Security Testing) Agent là một thành phần quan trọng được tích hợp vào quy trình đánh giá động. IAST Agent này được cài đặt trực tiếp lên máy chủ thực thi ứng dụng và tương tác trực tiếp với ứng dụng đang chạy. Nó hoạt động bằng cách theo dõi các cuộc gọi hàm, thao tác dữ liệu và tương tác giữa các thành phần của ứng dụng.

Nhờ khả năng tương tác trực tiếp với ứng dụng, IAST Agent cung cấp thông tin chi tiết về việc thực thi và tương tác của ứng dụng trong thời gian thực. Điều này giúp xác định lỗ hổng bảo mật và vấn đề liên quan đến an ninh một cách tổng thể và chính xác hơn. Một số lợi ích chính của Active IAST bao gồm cải thiện độ phủ kiểm thử, độ chính xác và tốc độ phát hiện, giúp giảm thiểu các thông báo false positives và tăng tốc quá trình khắc phục. Các lợi ích của IAST Agent bao gồm:

• Độ phủ rộng hơn (Kiểm tra tất cả các thành phần chính của bề mặt tấn công)
• Độ chính xác cao hơn (Tạo ra ít thông báo false positives hơn)
• Tiến trình khắc phục nhanh chóng hơn (Cung cấp stack trace đầy đủ cho mỗi vấn đề được xác định)

2.2. FoD SAST

2.2.1 Giới thiệu về SAST

Fortify on Demand là một giải pháp an ninh ứng dụng toàn diện, đã được chứng minh qua dịch vụ, có khả năng mở rộng linh hoạt theo nhu cầu và tải ứng dụng đa dạng của doanh nghiệp. Fortify on Demand có khả năng giảm thời gian phát triển lên đến 25% nhờ quét mã có thể được cấu hình để chạy tự động.

Các rủi ro có thể được xác định thông qua quét tĩnh của Fortify on Demand chỉ trong vài phút, thường tiết lộ gấp đôi số lượng lỗ hổng trong mã nguồn so với các nhà cung cấp khác. Fortify on Demand cũng giảm số lượng kết quả không chính xác lên đến 95%, giúp tăng tốc quá trình triển khai. Đặc biệt, nó có thể giúp giảm số lượng lỗ hổng mã lặp lại lên đến 40%, đồng nghĩa với việc giảm thiểu rủi ro sản xuất và tăng tốc quá trình phát triển ứng dụng với ít rủi ro hơn.

2.2.2 Đặc điểm của SAST

FoD SAST là một giải pháp hàng đầu mang tính cách mạng trong lĩnh vực bảo mật ứng dụng bằng cách phát hiện và khắc phục các rủi ro bảo mật ngay từ khi mã nguồn đang được viết. Hoàn toàn tích hợp trong môi trường IDE (Integrated Development Environment), Fortify on Demand đảm bảo nhà phát triển nhận được thông tin và đề xuất tức thì về các lỗ hổng mã nguồn tiềm ẩn khi họ viết mã.

Phản hồi tức thì này giúp nhà phát triển xây dựng phần mềm mạnh mẽ và bảo mật hơn ngay từ đầu. Các đánh giá quét tĩnh giúp nhà phát triển xác định và loại bỏ các lỗ hổng trong mã nguồn, mã nhị phân hoặc mã byte. Sử dụng Fortify Static Code Analyzer (SCA), kiểm định tĩnh của Fortify on Demand có thể phát hiện hơn 781 hạng mục lỗ hổng trên 27 ngôn ngữ lập trình khác nhau, bao gồm hơn 1 triệu API.

Hoạt động của Fortify SCA

Fortify SCA hoạt động tương tự như một trình biên dịch – đọc các tệp mã nguồn và chuyển đổi chúng thành một cấu trúc trung gian được tối ưu hóa cho phân tích bảo mật. Định dạng trung gian này được sử dụng để xác định lỗ hổng bảo mật. Bộ máy phân tích, bao gồm nhiều bộ phân tích chuyên biệt, sử dụng các quy tắc lập trình an toàn để phân tích mã nguồn và xác định vi phạm quy tắc lập trình an toàn.

• Khi tiến hành thẩm định tĩnh, Fortify SCA bắt đầu quét ứng dụng ngay sau khi mã nguồn được tải lên. Quét được thực hiện với cấu hình tối ưu hóa được chọn dựa trên đặc điểm riêng của mỗi ứng dụng. Đối với ứng dụng được gửi lần đầu, nhóm chuyên gia bảo mật điều chỉnh thêm để đảm bảo chất lượng và giảm thời gian quét.
• Sau khi quét Fortify SCA hoàn thành, kết quả được xử lý bởi Fortify Scan Analytics. Công cụ này sử dụng Deep Learning và kiến thức được tích luỹ từ hàng triệu quyết định kiểm tra lịch sử của các chuyên gia Fortify theo yêu cầu để ưu tiên các lỗ hổng quan trọng và loại bỏ các kết quả sai.
• Thông tin mới được liên tục tích hợp, giúp biến đổi lượng lớn thông tin bảo mật thành một tập nhỏ kết quả hành động với độ tin cậy cao trong vài giây. Người dùng có thể chọn áp dụng các dự đoán này tự động hoặc yêu cầu một cuộc kiểm tra bổ sung bởi chuyên gia bảo mật, tùy thuộc vào loại đánh giá.
• Thẩm định tĩnh Fortify theo yêu cầu cũng bao gồm phân tích mã nguồn mở tùy chọn cho ứng dụng. Phân tích mã nguồn mở diễn ra song song với quét Fortify SCA và không làm rò rỉ mã nguồn ra khỏi môi trường Fortify theo yêu cầu. Thành phần mềm được xác định qua phân tích mã nguồn mở cung cấp thông tin về các lỗ hổng công khai đã biết và giấy phép sử dụng.
• Kết quả của quá trình phân tích được cung cấp thông qua nền tảng Fortify on Demand tập trung. Mỗi lỗ hổng bao gồm thông tin đầy đủ để nhà phát triển hiểu và khắc phục vấn đề: mô tả chi tiết, dòng mã, sơ đồ luồng dữ liệu, hướng dẫn khắc phục, hậu quả nếu không giải quyết và quy tắc tốt để viết mã an toàn hơn.

Đặc điểm của Fortify SAST

Các khả năng kiểm định tĩnh trong Fortify on Demand được xem là một phần quan trọng và linh hoạt của giải pháp này. Được xây dựng kỹ lưỡng, giải pháp này được tạo ra để đồng thời đáp ứng nhu cầu quản lý rủi ro toàn diện về an ninh ứng dụng và đáp ứng yêu cầu của nhà phát triển về tốc độ và tính tiện lợi. Một số điểm nổi bật bao gồm:

• Hỗ trợ đa ngôn ngữ: Fortify on Demand hỗ trợ một loạt ngôn ngữ lập trình đa dạng, bao gồm ABAP/BSP, ActionScript, Apex, ASP.NET, C#, C/C++, HTML, Java, JavaScript, PHP, Python, Ruby, Swift, và nhiều ngôn ngữ khác.
• Tích hợp công cụ phát triển: Nó tương thích tốt với quy trình agile hoặc DevOps hiện tại thông qua các công cụ phát triển như các plugin IDE, tải lên mã từ máy chủ xây dựng hoặc Continuous Integration (CI), và tích hợp native với các hệ thống theo dõi lỗi.
• Phân tích thành phần mã nguồn mở: Được cung cấp bởi Sonatype, giúp xác định các lỗ hổng được công khai và rủi ro về giấy phép liên quan đến các thành phần mã nguồn mở.
• Phạm vi quét toàn diện: Fortify on Demand cung cấp phạm vi quét bao quát cho mọi loại ứng dụng: web, di động hoặc thick-client, phân tích mã nguồn, mã byte hoặc mã đối tượng..
• Mô hình cấp phép tĩnh linh hoạt: Cho phép người dùng có khả năng lựa chọn giữa các mô hình cấp phép tĩnh linh hoạt, bao gồm quét một lần hoặc áp dụng mô hình theo dõi (quét và kiểm tra liên tục, tự động kiểm tra mã nguồn mới hoặc đã thay đổi).
• Xác định lỗ hổng và báo cáo tức thì: Với Fortify Security Assistant người dùng có thể trải nghiệm việc xác định và báo cáo lỗ hổng ngay lập tức, mang lại thông tin hữu ích một cách nhanh chóng.

Các khả năng của Fortify on Demand được thiết kế để cung cấp môi trường viết mã an toàn và khuyến khích việc tiếp cận tích cực đối với bảo mật trong vòng đời phát triển. Bằng cách xác định và khắc phục các lỗ hổng ngay từ đầu, nhà phát triển và tổ chức có thể cải thiện đáng kể tư thế bảo mật của sản phẩm phần mềm của mình

3.    Liên hệ

Giải pháp Dò Quét Source Code, ứng dụng hiện tại đang được phân phối bởi công ty cổ phần giải pháp công nghệ SONIC. Mọi yêu cầu về thử nghiệm cũng như hỗ trợ kinh doanh & kỹ thuật khách hàng có thể liên hệ chi tiết theo các thông tin dưới đây.

Chi tiết xin liên hệ:

Công ty cổ phần giải pháp công nghệ Sonic

Địa chỉ: Tầng 16, Tòa nhà Licogi 13, 164 Khuất Duy Tiến, P. Nhân Chính, Q. Thanh Xuân, TP. Hà Nội

Tel: 0915.059.850

Email: sales@sonic.com.vn