ERPScan, дочерняя компания Digital Security, представила новый продукт собственной разработки – cистему статического анализа кода ERPScan CheckCode. Это решение предназначено для поиска потенциальных уязвимостей и закладок в программном коде и совмещает как типовые методы поиска уязвимостей, основанные на анализе потока данных, используемые в SAST-продуктах, так и уникальные методы поиска программных закладок, специфичных для бизнес-приложений. Статический анализатор кода, разработанный ERPScan, позволяет выявлять проблемы безопасности на этапе разработки и эксплуатации информационной системы. В данный момент ERPScan CheckCode поддерживает следующие языки: ABAP/4, PeopleCode, X++ и 1C. В ближайшее время запланирована поддержка JAVA, C, C++, C#, PHP, PL/SQL.
Эксперты ERPScan ведут работу по анализу защищенности бизнес-приложений и исследования исходного кода на языке ABAP уже не один год. Серьезным шагом на этом пути стало создание несколько лет назад статического анализатора ABAP-кода, входящего в состав ERPScan Security Monitoring Suite for SAP, в котором применение собственных алгоритмов позволило искать уязвимости, существенно минимизировав при этом число ложных срабатываний и обеспечив должную полноту поиска. Решив эту задачу для АВАР, одного из самых сложных на сегодня языков для бизнес-приложений, в ERPScan задались целью адаптировать этот опыт и для других языков. В итоге, был создан отдельный продукт ERPScan CheckCode.
Одной из общеизвестных проблем статического анализа кода является количество ложных срабатываний при поиске уязвимостей, связанных с неправильной валидацией данных. Исследования ERPScan показывают, что более 70 % уязвимостей в большинстве языков крайне сложно обнаружить без применения статического анализа с потоками данных, что обуславливает необходимость этой технологии для статических сканеров исходного кода. (ERPScan/NovostIT)