靜態分析或靜態應用程序安全測試（SAST）工具是在開發過程的最早階段發現代碼庫中缺陷的強大方法。但是，用于執行該測試的工具是鈍器。

SAST工具提供了直接用于工具的數據量。我認為它是SOOT。

調查結果需要審核或審查。而且經常是從一個人那里手動分類。即使是出于善意，人類也無法跟上步伐，而且往往不知所措。

來自SAST的SOOT數據問題

由于它提供的信息量很大，工程師最終只是錯過了靜態分析工具發現的一些最重要的漏洞，因為這些缺陷隱藏在所有噪聲（或SOOT）中。

沒有任何額外的過程，開發人員將獲得大量靜態分析結果，但是他們不知道該把精力集中在哪里。發現的違規數量如此之大，以至于忽略和修復問題一樣有用。

在篩選此類SOOT數據時，您試圖找到有意義的信息-您可以處理和精煉的菱形。但這僅占您數據的10％。當您嘗試減少噪聲量（也稱為假陽性比率）時會出現麻煩。為了消除錯誤的讀數，您需要一個可以輕松調整和配置用于特定環境的工具，同時降低對人工智慧和監督的依賴。

誤報的發生可能有多種原因。要了解有關誤報及其可能造成的混亂的更多信息，請閱讀《靜態代碼分析中的誤報》。

掌握貿易的SAST工具

所有SAST工具都始于您選擇正確的檢查器集和配置，以與各種類型的代碼庫（包括舊代碼）一起正常工作，并指定違例嚴重性和缺陷分類。

正確的設置是基于安全準則，可能的法規以及您在現場遇到或預期會發生的問題之類的。然后進行配置以考慮您的框架，上下文，舊代碼等，有助于產生更有用的結果。這些檢查程序通常具有基本的默認嚴重性，以簡化優先級。

利用本地代碼，構建，編碼樣式和框架的上下文，您可以自定義系統中的規則和配置，以定義靜態分析工具將報告的值和閾值。Parasoft通過使用風險模型來完善您應關注的領域來超越此范圍。

使用風險模型

風險模型提供了一種客觀的方法，可以幫助確定代碼缺陷的可利用性，弱點，普遍性和可檢測性的影響。以及它可能對應用程序產生什么樣的影響。結果是要確保能夠優先考慮易于發現和利用的漏洞的更大范圍。通過結合嚴重性模型和風險模型，Parasoft工具可以確定問題的嚴重程度，同時提供建議的措施。

使用Parasoft靜態代碼分析工具，您將獲得一個解決方案，該解決方案可挖掘大量靜態分析結果，從而為您提供希望作用的希望鉆石大小的珠寶。通過在相關風險的上下文中考慮嚴重性的概念，Parasoft工具可以應用來自行業標準安全模型（如CERT，CWE或OWASP）的數據，并將其直接帶入報告和分析儀表板。

通過考慮多種風險模型，我們可以將上下文注入您的靜態分析結果中，從而使您可以專注于大型鉆石，而無需手動濾除所有煙灰，而不必擔心您可能遺漏了什么（假陰性）。

找出最重要的違反AI和ML的行為

通過利用人工智能（AI）和機器學習（ML）技術，Parasoft靜態分析工具可以識別所有發現的違規現象之間的熱點和交集，因此您可以將精力集中在代碼庫中，這是造成許多違規的根本原因其他問題。更好的是，ML監視并學習您自己的開發團隊的行為，以區分重要和不重要。

根據開發團隊的歷史行為來訓練您的AI模型，可對發現進行多維分析，而ML則對數據進行聚類以識別相關，相關或相似的違規行為。結合這兩種技術，您可以獲得更好的結果。可以了解到哪些假陽性結果可以忽略，哪些真陽性結果可以突出顯示，從而可以將大量信息縮減為幾顆非常有價值的鉆石。

例如，靜態分析可以揭示典型代碼庫中成千上萬的違規情況，盡管您可能能夠識別出數百個要解決的缺陷，但您將無法在所有時間內修復所有問題。通過AI和ML查找違規熱點，您可以通過識別導致所有問題的單個代碼來同時修復多個缺陷。

使SAST培訓輕松愉快

培訓人們使用靜態分析工具通常被視為一個問題。它需要對特定的編程語言有深刻的了解才能獲得最大的收益。因此，Parasoft靜態分析解決方案具有集成的培訓，教育和認證計劃，可幫助您的開發人員快速掌握最新情況，從而可以最大程度地減少報告的誤報次數，并將他們的工作重點放在重要的工作上，而不是編寫代碼通過警告。 

通過減少無關結果的數量，該工具的采用率將提高。只需培訓您的團隊，他們便無需進行任何挖掘即可獲取所需的信息。如果您給開發人員提供三項要解決的事情，這些事情顯然是高度優先和真實的，那么您獲得的采用要好于為他們提供300次違規行為，而僅解決30個值得解決的缺陷。而且，如果他們的手干凈了，他們會很樂意一次又一次地使用該工具。它是值得信賴的顧問和工具，而不是上面令人討厭的過程。

總結

無論您的靜態分析有多少自動化，總會有手動分類的元素。問題是，在找到有價值的東西之前，您必須走多遠。但是，借助包含風險元數據的工具以及配備了AI和ML的工具，可以更加有效地發現和修復缺陷，您可以在軟件開發生命周期開始時快速解決違規問題，以構建安全可靠的軟件。