聯系電話:
+886 2 77182788
-
創提部落格
希望我們能與您分享和探討成長中的點點滴滴
-
汽車安全不可避免的數位化轉型
編寫好的軟體很難，確保軟體安全就更難了。它需要專業知識（即對常見程式設計缺陷和規範的認識），檢查輸入尺寸，管理記憶體分配和解除配置，處理字串格式化，避免野指針等等，不勝枚舉。通常情況下，編寫安全的程式碼與開發人員編寫“流暢”的程式碼、專注於正確處理業務邏輯，而不是保護所編寫的每一行程式碼的自然願望是相反的。
2022/04/07
-
上下文感知分析：對最重要的漏洞進行優先順序排序
產品安全團隊如何才能確切地瞭解他們的軟體中有什麼，哪些漏洞與他們的產品安全相關，以及如何對他們的工作進行優先順序排序？更好地理解產品元件運行的上下文，以及特定漏洞可能應用於它們的方式，是任何產品安全團隊需要做的事情。重要的是，您要瞭解您所選擇使用的產品相關的所有資訊。同樣關鍵的是，要瞭解若不執行將產品的整個上下文考慮在內的全量分析會產生的影響。
2022/03/28
-
Docker容器使用指南：如何將Klocwork作為一個容器創建和運行
在這個Docker容器使用指南中，您將學習如何創建和運行Klocwork容器。 Docker的基本定義：一種流行的開源作業系統級虛擬化(通常稱為“容器化”)技術，它是羽量級的，可移植的，主要在Linux和Windows上運行。Docker讓使用容器創建、部署和運行應用程式變得更容易。
2022/03/21
-
如何將Klocwork與Incredibuild一起使用來提高DevOps生產效率
DevOps組織不斷地尋找方法來提高DevOps的生產效率，加快其上市時間。如果沒有合適的集成工具，這將相當具有挑戰性。通過將Incredibuild和Klocwork相結合，您將可以很輕鬆地應對DevOps和DevSecOps的挑戰。這兩個解決方案可以無縫地集成到您的軟體發展生命週期(SDLC)工具鏈中，以對任何規模的程式碼庫提供可操作的回饋，並確保高開發速度。
2022/03/07
-
安全最佳實踐+Klocwork
在部署任何基於web的應用程式時，必須遵循安全最佳實踐。這裡，我們概述了設置Klocwork（一個靜態程式碼分析和應用安全靜態測試的工具（SAST））的步驟，以實現安全操作。這個過程通常是部署在本地的，並且是在防火牆之後。我們也應該採取額外的預防措施，以防在互聯網上暴露任何東西。
2022/02/22
-
汽車網路安全滲透測試
有效的網路安全要求在汽車自身及其元件的生命週期中採用系統化的流程，尤其是在後期由於法律的緣由而必須證明這一有效性時，在前期確保流程的系統化就更加至關重要。本文努力為具體的誤用案例以及如何進行相應的驗證提供指導。事實證明，GBPT比傳統的驗證方案更有效率和效果。此外，工程師的心態也必須改變，除了要關注安全功能，更要關注安全設計和驗證。企業IT部門多年前就意識到採取一些隔離機制，比如將功能分佈在專屬子系統中、元件級的保護、元件間的閘道和防火牆、關鍵功能的驗證等是不夠的，以攻擊者的視角進行智慧測試同樣不可或缺。
2022/02/14
-
如何使用Visure進行版本管理，打基線和使用重複需求文檔和需求的內容
我們這次主要討論的是如何使用Visure的功能對項目裡的需求版本及基線版本進行記錄和管控。我們看到用戶可以使用Visure來完全滿足在這一塊的需求。同時，若是這個專案在後續階段需要有其他的分支專案，使用者也可以通過Visure的範本和可重複使用的功能來快速建立一個新的項目，在新專案裡所使用的內容都是從之前現有的需求內容直接套用的，減少需要人工介入、再次修改的動作和時間。希望這次所討論的內容是對大家有説明的。若是針對以上的說明及步驟有任何問題，也可以再聯繫我們進一步討論。
2022/01/10
-
Log4Shell是什麼?從Log4j漏洞說起
在開源Apache日誌記錄庫Log4j中已發現了一個影響使用Java的設備和應用程式的新漏洞。該漏洞被稱為Log4Shell，是目前互聯網上最重大的安全性漏洞，其嚴重程度為10分(滿分10分)，其影響有愈演愈烈之勢。幸運的是，Perforce靜態分析和SAST工具——Helix QAC和Klocwork——可以提供幫助。在這裡，我們將解釋Log4j漏洞是什麼，提供一個Log4j示例，並解釋像Klocwork這樣的SAST工具如何幫助預防和檢測如Log4Shell這樣的漏洞。
2022/01/04
-
在VectorCAST for Linux中使用分類樹功能生成測試用例
在軟體測試中，測試用例的設計是對測試品質而言非常關鍵的軟體測試活動，因為測試用例集合的選擇對測試的深度和測試範圍的影響非常大。分類樹方法是由Grochtmann和Grimm在1993年提出的，是在軟體功能測試方面一種有效的測試方法，通過分類樹把測試物件的整個輸入域分割成獨立的類。按照分類樹方法，測試物件的輸入域被認為是由各種不同的方面組成並且都與測試相關。對於每個方面，分離和組成各種類別，而分類結果的各類又可能再進一步地被分類。這種通過對輸入域進行層梯式的分類表現為樹狀結構。
2021/12/20
-
使用Helix QAC對OpenHarmony程式碼做靜態分析
Helix QAC是一款權威的C/C++程式碼合規性靜態分析工具，適用於對程式碼的規範性和可靠性有較高要求的軟體系統。針對任何C/C++程式碼都可以使用Helix QAC來做靜態分析，找出程式碼中不符合編碼規範的語法問題，提高軟體整體編碼品質，優化編碼開發習慣。本文對面向全場景、全連接、全智慧時代的Harmony OS的開源專案OpenHarmony程式碼進行靜態分析。
2021/12/06