SonarQube高階安全性（Advanced Security）是SonarQube 企業版（及更高版本）的擴充模組，代表了SonarQube 在安全分析領域的重大突破。它將SonarQube 的強大分析能力擴展至整個軟體供應鏈，特別關注開源依賴項的安全性。此目標透過兩大核心功能實現：進階靜態應用程式安全測試（SAST） 與軟體元件分析（SCA）。本文SonarQube中國授權合作夥伴-創實資訊將帶您深入了解SonarQube高級安全的關鍵功能之一— 高級SAST。
進階靜態應用程式安全測試（SAST）透過掃描分析原始碼文件，識別安全漏洞、缺陷、程式碼異味以及其他問題，進而降低安全漏洞風險，全面保障程式碼品質與安全性。
借助高級SAST 深入挖掘程式碼安全問題
Sonar 的高級SAST 功能包含在SonarQube高級安全性（Advanced Security）元件中，使組織能夠識別、解決來自與第三方開源程式庫互動所引發的應用程式程式碼問題。這項獨特功能使Sonar 的SAST 能夠追蹤資料在庫內外的流動路徑，從而有效發現那些其他工具難以偵測到的深層隱藏安全漏洞。
高階SAST在現有SAST引擎的基礎上進一步增強，原引擎已具備深度污點分析、全面的安全規則、雲端金鑰偵測等強大功能。如今，借助這項創新技術，SonarQube 的商業版（Server和Cloud）可對主流開源程式庫的內部運作機制實現全面洞察，帶來前所未有的程式碼分析能力。
透過Sonar的高階SAST，企業可以更從容地應對程式碼安全挑戰，建構強健的應用程式安全體系，打造更可靠、更穩固的程式碼基礎，並建立更充分的競爭優勢。
高階SAST（靜態應用程式安全測試）核心優勢
01、發現深層隱藏的安全問題
如今，99% 的軟體應用程式都會使用並依賴第三方程式庫（依賴項）中的程式碼。然而目前，大多數SAST 工具僅分析應用程式本身的程式碼，而不分析這些通常作為「黑盒」存在的程式庫程式碼。
Sonar 的高階SAST 技術擴展了程式碼分析與掃描範圍，涵蓋了那些開源依賴項中的未知程式碼部分。透過掃描相依性（即函式庫），Sonar SAST 能夠擴展資料流分析，發現其他工具無法偵測到的深層安全性問題。
目前，高階SAST 支援Java、C# 和JavaScript/TypeScript ，適用於SonarQube Server 與SonarQube Cloud。它支援數千個最受歡迎且廣泛使用的開源程式庫，並涵蓋其間接依賴（transitive dependencies）。該功能可自動擴展，未來還將支援更多語言和函式庫。此外，系統也利用機器學習（ML）進行最佳化。
02、加速安全開發流程
SAST可在軟體開發生命週期（SDLC）早期階段執行，在程式碼部署到生產環境之前即可完成分析。在開發階段使用SAST，有助於更早識別並修復安全漏洞和缺陷，防止被攻擊者利用。
對拉取請求（Pull Request）進行SAST 分析有助於賦能開發人員，透過將安全性檢查左移並儘早揭示安全漏洞，確保在程式碼仍處於新鮮狀態且修復較為簡單時進行處理。
SAST 功能預設整合於SonarQube Server 與SonarQube Cloud 中，作為常規程式碼分析的一部分運行，並無縫整合至DevSecOps 管線。
03、降低安全漏洞風險
透過實施安全的程式碼開發實踐來提升程式碼質量，組織可以有效防止惡意攻擊者利用漏洞竊取敏感資訊。
Sonar 的分析工具在掃描程式碼時會回報各類型問題（包括錯誤和漏洞）以及安全熱點（Security Hotspots）。當Sonar 發現某段程式碼存在可被攻擊的入口點並需要修復時，會將其標記為「漏洞」。而那些涉及安全敏感、需要開發人員進一步審查評估的程式碼區域，則會被歸類為「安全熱點」。
此外，Sonar 的安全性規則還能偵測程式碼中硬編碼的憑證（如密碼）和金鑰。這項「雲端金鑰偵測」（Cloud Secret Detection）功能進一步擴展，可識別意外硬編碼的密碼、憑證、令牌、雲端存取金鑰、API 金鑰，以及主流雲端平台服務商（如AWS、GCP、Microsoft Azure、IBM 和阿里雲）中的雲端帳號/金鑰等資訊。
04、自動化程式碼掃描
Sonar SAST 可快速掃描大量程式碼，從而節省軟體開發生命週期中的時間和成本。透過SAST實現程式碼掃描自動化，有助於提升整體應用的安全水平，減少對手動程式碼審查的依賴，使開發人員能夠專注於漏洞修復，同時保持高效且安全的開發流程。
開發人員可以在開發生命週期的早期識別並解決程式碼品質和安全性問題，透過提供可操作的洞察、安全性報告和指標，實現持續改進，幫助團隊不斷提升其應用程式的整體程式碼品質。
05、代碼安全與合規性管理
對於複雜項目，Sonar 提供基於SAST 的全面應用安全追蹤與治理能力。它使安全審計人員能夠追蹤程式碼安全合規情況，並透過詳細報告在企業層級評估其軟體資產的風險程度。
透過安全報告、高階主管總結報告及PDF 報告，大型組織可以獲得所需的透明度，以評估其軟體資產所面臨的風險。使用Sonar SAST，安全負責人可以迅速掌握應用程式的整體安全狀況。
在SonarQube Server 的企業版（Enterprise Edition）和資料中心版（Data Center Edition）以及SonarQube Cloud 的企業版（Enterprise Edition）和資料中心版（Data Center Edition）以及SonarQube Cloud 的企業計畫（Enterprise Plan）中，Sonar提供專門的報告，用於追蹤應用程式程式碼是否符合OWASP Top 10、OWASP ASVS、CWE Top 25（2021、2020 和2019）。 SonarSource 報告可協助安全專家將安全問題轉化為開發者能理解的語言，從而更有效地溝通與協作。
06、全面覆蓋的程式碼安全分析
Sonar 旨在偵測和修復各種可能導致漏洞與安全風險的程式碼問題，支援30 多種程式語言和框架，內建超過6,000 條「清潔程式碼」規則（Clean Code Rules），並持續擴展支援的語言範圍。
Sonar 能夠在原始程式碼層面偵測錯誤和安全缺陷，包括原始程式碼、輔助程式碼（如設定程式碼、基礎架構程式碼、腳本、測試程式碼）、第三方程式碼（如外部依賴項和程式庫）。其真實正報率（True Positive Rate, TPR）通常超過90%。其安全分析功能可識別多種安全性風險，例如：SQL 注入漏洞、跨站腳本攻擊（XSS）、程式碼注入攻擊、緩衝區溢位、驗證問題、雲端金鑰外洩偵測、以及其他常見安全隱患。
通過污點分析，實現全面防護
追蹤潛在威脅源
確保用戶輸入的數據在進入關鍵系統（如數據庫、檔系統、操作系統等）之前經過清理，是保障代碼安全的關鍵。污點分析 （Taint Analysis）能夠追蹤不受信任的用戶輸入在整個執行流程中的傳播路徑——不僅跨越方法調用，還能貫穿多個檔，幫助你精准識別潛在攻擊面。
重要語言的關鍵代碼安全規則
獲取與關鍵語言高度相關的規則，以幫助使用 SAST 工具確保代碼安全。
支持的語言包括：Java、PHP、C#、C、C++、Python、JavaScript、TypeScript 等。
更早回饋，賦能開發人員
主動負責，即時回饋
在代碼審查過程中獲得安全性回饋，是你提升技能、增強安全意識，並主動承擔代碼安全責任的寶貴機會。
集成IDE，安全能力擴展至開發環境中
借助 SonarQube Server 或 SonarQube Cloud 提供的SAST功能，你可以在開發環境中識別漏洞和安全熱點（Security Hotspots），並借助 SonarQube for IDE 的指引直接在你的 IDE 中修復問題。
品質門禁，保障代碼安全
在品質門禁中強制執行漏洞標準和安全熱點審核機制，確保只有安全的代碼才能被合併。
解讀安全規則，持續守護
深入理解問題的本質及其潛在影響，有助於更有效地修復漏洞，構建更安全的應用程式。
Sonar 安全報告
Sonar安全報告可幫助您快速全面瞭解代碼在安全標準方面的合規情況。在 SonarQube Server 企業版、數據中心版以及 SonarQube Cloud 企業計畫中均可使用此功能。通過這些報告，您可以清晰掌握代碼在常見安全漏洞防護方面的表現，及時發現差距。
合規性報告還可追蹤每個版本的品質情況，作為交付代碼符合企業品質標準的重要證據。
支持的報告標準包括：
- PCI DSS（版本 4.0 和 3.2.1）
- OWASP Top 10（版本 2021 和 2017）
- CWE Top 25（版本 2022、2021 和 2020）
- OWASP ASVS（版本 4.0，支持 Level 1 到 Level 3）
- STIG
- CASA
端到端的 SAST 工具
無縫集成靜態分析至軟體開發生命週期
DevOps 與 CI/CD
將 SAST（靜態應用程式安全測試）集成到 DevOps 和 CI/CD 流水線中，組織能夠提升軟體整體安全性，並確保在開發生命週期早期就能識別漏洞。隨著開發人員提交代碼更改，安全分析工具成為開發流程中不可或缺的一部分，並能即時獲得回饋。
Sonar 支持與主流 DevOps 和 CI/CD 平臺的集成，包括：GitHub、GitLab、Azure DevOps、TravisCI、CircleCI、Bitbucket。
此外，Sonar 還原生支持最流行的版本控制系統（SCM），如 Git、Subversion，並通過社區支持 CVS、Jazz RTC、Mercurial、TFVC 等其他常用系統。
拉取請求注解功能
在你的拉取請求和開發分支中即時獲得代碼審查回饋，在問題發生之前就將其修復：
- 實現Go/No-Go品質門，以便在代碼未達到設定標準時，自動中斷 CI/CD 流水線。
- 在 DevOps 平臺介面內直接審查和優先處理代碼問題。
- 對於包含多個專案的單體倉庫（monorepo），可設置多個品質門，為每個專案提供針對性的回饋資訊。
IDE 集成：SonarQube for IDE
將卓越的代碼品質工具功能直接集成至開發者的編碼環境中
- 即時分析回饋
- 高亮顯示代碼問題
- 提供嚴格的代碼品質標準、詳細的漏洞資訊以及修復建議
- 可自定義規則，讓開發者根據自身需求進行編碼
- 強大的靈活性，支持多種語言，以便開發者適應並採用該工具
通過 SonarQube for IDE，開發人員可以在編寫代碼的同時立即發現並修復潛在的安全隱患和品質問題，真正做到“邊寫邊檢”，提高效率與安全性。
免費試用SonarQube Advanced Security：
諮詢SonarQube授權合作夥伴-龍智，立即體驗SonarQube企業版及Advanced Security高級安全功能，構建更好、更安全的應用！
瞭解更多：https://hkdsdtech.com/hk/sonarqube/advanced-security
聯繫我們：+0852-55169850、customer@hkdsdtech.com
