9月29日，Facebook宣布開源Mariana Trench，這是一個專注于Android的靜態分析平臺，該平臺用于檢測和防止為移動操作系統大規模創建的應用程序中的安全和隱私漏洞。
Facebook表示，“[Mariana Trench] 旨在能夠掃描大型移動代碼庫并在拉取請求投入生產之前標記潛在問題。”
簡而言之，該實用程序允許開發人員為不同的數據流制定規則以掃描代碼庫，以發現潛在問題。
例如，可能導致敏感數據泄漏的意圖重定向缺陷，或允許攻擊者插入的注入漏洞任意代碼——明確設置用戶提供的數據進入應用程序的邊界，允許來自(源)和流入(接收器)，如數據庫、文件、網絡視圖或日志。
發現違反規則的數據流會返回給安全工程師或發出包含更改的拉取請求。
Facebook表示，在其應用程序(包括 Facebook、Instagram 和 WhatsApp)中檢測到的漏洞，有超過50%是使用自動化工具發現的。Mariana Trench也標志著該公司在Zoncolan和Pysa之后開源的第三項此類服務，它們分別針對Hack和 Python 編程語言。
在此之前，微軟旗下的GitHub也采取了類似的舉措，該公司于2019年收購了Semmle并啟動了一個安全實驗室，旨在保護開源軟件，此外還免費提供諸如CodeQL之類的語義代碼分析工具，以發現公開代碼中的漏洞。
該公司表示：“在移動和Web應用程序之間補丁和確保代碼更新方面存在差異，因此它們需要不同的方法。”
“雖然Web應用程序的服務器端代碼幾乎可以即時更新，但緩解Android應用程序中的安全漏洞，需要依賴于每個用戶及時更新自己設備上的應用程序。這就使得任何應用開發者都需要有相應的系統來防止漏洞出現在手機版本中，這一點變得尤為重要。”
Mariana Trench可以通過GitHub訪問，Facebook也在PyPi庫上發布了一個Python包。
多數情況下，漏洞的存在都是由于系統中出現代碼缺陷，而這種缺陷由人工檢查或不易發覺或費時費力，所以就需要借助靜態代碼檢測工具。靜態代碼檢測可以幫助開發人員減少30%-70%的安全漏洞，大大提高軟件安全性。隨著網絡安全防御已從傳統外部防護延展到軟件內部安全建設，在軟件開發階段實時檢測、修復代碼漏洞，提升軟件本身的安全屬性，降低網絡安全風險，已經成為國際共識。
參讀鏈接：
文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。
轉載請注明本文地址：http://m.specialneedsforspecialkids.com/yun/122217.html
