- 在 整個(gè)軟件開發(fā)生命周期（SDLC）中集成應(yīng)用程序安全性
- 盡早找到并修復(fù)安全缺陷
- 全面了解應(yīng)用程序安全風(fēng)險(xiǎn)
- 使用現(xiàn)有工具自動(dòng)執(zhí)行安全測(cè)試
- 一個(gè)平臺(tái)，多個(gè)引擎
美國(guó)新思科技公司 （Synopsys, Nasdaq: SNPS）近日宣布發(fā)布其全新的Polaris軟件完整性平臺(tái)。Polaris軟件完整性平臺(tái)將新思科技軟件質(zhì)量與安全的產(chǎn)品和服務(wù)的強(qiáng)大功能整合到一個(gè)集成解決方案中，幫助安全和開發(fā)團(tuán)隊(duì)更快地構(gòu)建安全、優(yōu)質(zhì)的軟件。
新思科技Polaris軟件完整性平臺(tái)是一個(gè)基于云端的平臺(tái)，通過結(jié)合新思科技Code Sight? IDE插件和集中式分析服務(wù)器，共享相同的強(qiáng)大分析引擎，簡(jiǎn)化并且實(shí)現(xiàn)從開發(fā)到部署的全面的應(yīng)用程序安全性；與流行的開發(fā)和運(yùn)營(yíng)工具的廣泛集成；報(bào)告、儀表板和API提供應(yīng)用程序安全風(fēng)險(xiǎn)的統(tǒng)一視圖。通過Polaris軟件完整性平臺(tái)，團(tuán)隊(duì)可以在開發(fā)早期檢測(cè)和修復(fù)漏洞，并且在整個(gè)軟件開發(fā)生命周期（SDLC）中集成和自動(dòng)化全面的安全分析，在整個(gè)應(yīng)用程序組合中全面管理應(yīng)用程序安全風(fēng)險(xiǎn)。
新思科技軟件質(zhì)量與安全部門總經(jīng)理Andreas Kuehlmann表示：“為了有效保護(hù)應(yīng)用程序免受日益增長(zhǎng)的復(fù)雜攻擊，企業(yè)需要在SDLC多個(gè)點(diǎn)中采用安全測(cè)試技術(shù)的組合。但是為了確保開發(fā)速度以保持競(jìng)爭(zhēng)力，他們也需要能夠與不斷增速的軟件開發(fā)流程相匹配的應(yīng)用程序安全解決方案，并且可以擴(kuò)展、可以與現(xiàn)有的開發(fā)基礎(chǔ)架構(gòu)無縫集成。在過去的幾年中，我們開發(fā)了一系列差異化產(chǎn)品和服務(wù)，以滿足市場(chǎng)上的安全測(cè)試需求。我們致力于推動(dòng)這些解決方案的協(xié)同增效作用并且提升使用效率，Polaris軟件完整性平臺(tái)有助于實(shí)現(xiàn)這個(gè)愿景。”
權(quán)威調(diào)研機(jī)構(gòu)Gartner表明，“隨著DevOps在快速交付和新IT支持功能的創(chuàng)新方面越來越受歡迎，對(duì)安全性和合規(guī)性的擔(dān)憂也隨之增加。安全和風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)需要在不影響開發(fā)進(jìn)程的情況下，使安全工具、流程和策略適應(yīng)DevOps工具鏈。”
Polaris軟件完整性平臺(tái)的裨益包括以下幾點(diǎn)：
早期風(fēng)險(xiǎn)發(fā)現(xiàn)和遷移 - Polaris軟件完整性平臺(tái)可幫助開發(fā)人員在開發(fā)過程中盡早修復(fù)安全漏洞，同時(shí)提高效率和成本效益。新的Code Sight IDE插件是Polaris軟件完整性平臺(tái)的一個(gè)關(guān)鍵組件，可以將新思科技的解決方案擴(kuò)展到開發(fā)人員的本地工作環(huán)境，使他們能夠在編寫代碼時(shí)輕松查找和修復(fù)代碼中的安全漏洞。Code Sight最初可用于IntelliJ, Visual Studio, 和Eclipse，它將與平臺(tái)中央服務(wù)器相同的強(qiáng)大分析引擎和快速增量分析相結(jié)合，在不影響生產(chǎn)效率的前提下，確保全面、一致的結(jié)果。Code Sight還提供上下文敏感的電子教學(xué)模塊，幫助開發(fā)人員快速解決問題，并培訓(xùn)他們今后編寫更安全的代碼。
- 從檢測(cè)到預(yù)防向左推移 - Polaris軟件完整性平臺(tái)是在中央服務(wù)器上使用相同功能強(qiáng)大的分析引擎作為CI / CD管道的一部分，以及在開發(fā)人員桌面上進(jìn)行快速增量掃描的唯一解決方案。它使開發(fā)人員能夠在編寫代碼時(shí)解決漏洞，從而在將其檢入存儲(chǔ)庫之前生成更安全的代碼庫。這種雙重工作流程顯著提升了開發(fā)人員的工作效率，而集中式分析可以在投產(chǎn)之前捕獲任何剩余缺陷。
- 簡(jiǎn)單和靈活地運(yùn)營(yíng) - Polaris軟件完整性平臺(tái)基于云端的中央服務(wù)器通過直觀的web管理用戶界面，使用多個(gè)新思科技分析引擎，比如Coverity和Black Duck，提供部署管理、啟動(dòng)安全掃描、分析結(jié)果和協(xié)調(diào)修復(fù)活動(dòng)的靈活性。平臺(tái)還使用現(xiàn)有的開發(fā)和DevOps工具，包括Jenkins, Jira, Slack, Red Hat OpenShift和 Kubernetes，為團(tuán)隊(duì)提供整個(gè)SDLC過程中集成和自動(dòng)化應(yīng)用程序安全分析的靈活性。
- 綜合風(fēng)險(xiǎn)報(bào)告 - Polaris軟件完整性平臺(tái)幫助安全團(tuán)隊(duì)全面查看應(yīng)用程序安全風(fēng)險(xiǎn)，綜合報(bào)告和交互式儀表板將來自于多個(gè)安全分析引擎的信息。這些信息整合到應(yīng)用程序組合中，并隨著時(shí)間的推移得出結(jié)果。除此之外，Polaris 軟件完整性平臺(tái)API 使團(tuán)隊(duì)可以輕松地將新思科技安全測(cè)試結(jié)果集成到第三方安全和風(fēng)險(xiǎn)報(bào)告解決方案中。
了解更多信息，請(qǐng)?jiān)L問Polaris軟件完整性平臺(tái)官網(wǎng) https://www.synopsys.com/zh-cn/software-integrity/polaris.html。
1. 來源：Gartner, “Integrating Security Into the DevSecOps Toolchain”，作者為Mark Horvath, Neil MacDonald 和 Ayal Tirosh，發(fā)表于2017年10月3日。
