Das Static Application Security Testing, kurz SAST, soll sich mit CodeSonar 6.0 von GrammaTech besser in bestehende DevOps-Pipelines integrieren. Darüber hinaus bietet das neue Major Release laut Hersteller verschiedene Visualisierungs- und Analyseverbesserungen.

Nicht nur versehentliche Fehler gefährden die eigene Software: Auch böswillige Angriffe durch Insider stellen ein erhebliches Risiko dar. Um absichtliche Code-Manipulationen und versteckten Schadcode zu finden, bietet sich die statische Analyse an. Eigener, aber auch Code aus fremden Händen sollte damit überprüft werden.

Die Codeanalyse-Lösung CodeSentry fon GrammaTech prüft Softwarezusammensetzung (Software Composition Analysis / SCA) durch und inventarisiert Code von Drittanbietern, um darin enthaltene Schwachstellen zu erkennen. Das Tool identifiziert auf diese Weise mögliche Problemstellen und ermöglicht es Sicherheitsexperten, Risiken während des gesamten Software-Lebenszyklus schnell und einfach abzuschätzen und zu verwalten.

MISRA C hat sich als Programmierstandard in der Automobilbranche bewährt. Auch andere Branchen können von der Richtlinien- und Regelsammlung profitieren, um Sicherheit und Zuverlässigkeit der Anwendungen zu steigern. Der Einstieg birgt jedoch ein paar Hindernisse, die man umschiffen muss. Eine wichtige Hilfe dabei ist die statische Code-Analyse.

Dr. Paul Anderson, Vice President of Engineering bei GrammaTech, gehört nun dem MISRA-Komitee an, um an den Richtlinien für sichere und zuverlässige Software-Entwicklung mitzuarbeiten.

GrammaTech, stellt seine Datenstruktur „GrammaTech Intermediate Representation for Binaries“ (GTIRB) als Open-Source-Software zur Verfügung, um die Zusammenarbeit zwischen Entwicklern und Anwendern im Bereich der Binäranalyse, des Reverse Engineerings und des Binary Rewritings zu erleichtern.

GrammaTech will die Zusammenarbeit von Entwicklern in den Bereichen Binäranalyse, Reverse Engineering und Binary Rewritings fördern. GTIRB-Datenstruktur, Disassembler und Code-Rewriter des Herstellers werden deshalb künftig in einer Open-Source-Suite bereitgestellt.

Wie lassen sich die Architekturinformationen von Binärdateien wiederherstellen? Mit einem entsprechenden Forschungsauftrag befasst sich aktuell GrammaTech – und wird dabei vom Office of the Secretary of Defense mit einer Million Dollar unterstützt.

CodeSonar, das Tool zur statischen Code-Analyse von GrammaTech, verfügt in der neuen Version 5 über einen integrierten C-Decompiler für Binärcode.

Auch wenn es als schlechter Stil gilt, ist Copy&Paste dennoch unter Entwicklern ein gängiges Verfahren zur Code-Wiederverwertung. Doch können dabei auch vorhandene Sicherheitslücken kopiert werden – und neue Fehler entstehen. Die statische Code-Analyse kann helfen, Bugs in kopiertem Code zu vermeiden.