诸子云 | 项目：代码审计建设调研报告

2020年12月3日16:15:27评论41 views字数 2493阅读8分18秒阅读模式

诸子云 | 项目：代码审计建设调研报告

诸子云 ▪ 企业网络安全专家联盟——以中国境内各行业各领域企业组织的网络安全从业骨干为主体的社群组织，是为奋战在用户单位网络安全一线的实践者提供的交流互助平台。

2019年6月，诸子云首次推出“项目”共建机制，鼓励会员群策群力、创新分享。这一模式基于诸子云社群特点，以“众人拾柴火焰高”、“集中力量办大事”为理念，为网安行业创新发展添砖加瓦。一经发起，应者众多。第一季共计11个“诸子项目”，成果斐然。

2020年1月，诸子项目第二季拉开序幕。虽受疫情影响，但参与者热情不减，项目题材更为丰富、理论研究更为深刻。第二季共计10个“诸子项目”，成绩卓著。

2020年5月，诸子项目第三季发起预热，在前两季成功经验的基础上，我们做出了突破性尝试，项目广度、深度、趣味性层面均有进一步提升。既包含“个人信息保护”、“物联网与智慧城市”等热门话题，也有“量子通信安全”、“IAM账户管理与鉴权”、“网络准入系统调研分析”等专业问题，还包括“HW行动”、“薪资调查”、“诸子星球”等现实问题。

今天我们展示的，就是诸子项目第三季成果之一：代码审计建设调研报告。

-----

诸子云 | 项目：代码审计建设调研报告

-----

项目名称：代码安全审计建设调研报告

项目内容：本项目对企业源代码审计建设中出现的常见问题，踩过的坑及相应解决方案、经验教训进行总结，提供给还在进行企业源代码安全建设摸索或者正准备做这块的安全工程师做个参考。

项目类型：共享

诸子云 | 项目：代码审计建设调研报告

项目经理

黄小波

负责企业源代码安全建设相关工作，拥有丰富的移动安全经验。

项目成员

肖文棣

晨星资讯（深圳）有限公司安全架构师，OWASP中国广东分会负责人，CISSP，AWS助理解决方案架构师和AWS认证安全专家。

陈翰杰

某车联网公司安全负责人，拥有CCSE、CASP、OSCP、CEH等资质，8年安全运营经验，4年安全团队管理经验。

李良

安信证券开发安全和数据安全管理岗，CISSP

陈炯昊

平安国际智慧城市科技股份有限公司系统管理部信息安全架构师，6年安全行业经验，现牵头主导平安智慧城市开发安全体系建设及落地。

吴坚锋

某集团网络安全专家

项目概览

诸子云 | 项目：代码审计建设调研报告

超过50%的安全漏洞是由错误的编码产生的，开发人员由于一般安全开发意识和安全开发技能不足，更加关注业务功能的实现，容易忽略安全问题，虽然一般企业都制定了安全开发红线和安全编码规范，但是我们无法确保开发人员是否有效的按照安全开发红线或者安全编码规范进行编码。一旦带有漏洞的代码上线，那么后期针对漏洞修复工作所付出的成本将极大地增加。而且漏洞一旦被攻击者利用，也会给企业造成巨大危害。

因此，我们需要一种在项目上线前，最好是开发阶段就能提前发现应用漏洞，从而解决安全问题的办法。代码审计正好能解决这个问题。代码审计是一种针对源代码的漏洞分析方法，它从安全的角度对整个项目代码进行审计，找出应用系统中可能存在的安全隐患，并给出相应的漏洞修复方案，帮助开发人员提高应用系统的安全性。（获取方式见文末）