“漏报——那个会要你的命”：理解产业界对基于静态分析的安全测试的视角
密码学与安全
2024-06-21 v3 软件工程
摘要
对自动化安全分析技术（如基于静态分析的安全测试（SAST）工具）的需求持续增长。为开发能被开发者有效用于发现漏洞的SAST，研究者和工具设计者必须理解开发者如何感知、选择和使用SAST，他们对工具有何期望，是否知晓工具的局限，以及他们如何应对这些局限。本文描述了一项探索使用SAST的开发者所经历的假设、期望、信念与挑战的定性研究。我们对20名具备多样化软件开发专长以及独特安全、产品与组织背景的从业者进行了深度半结构化访谈。我们识别出项关键发现，揭示了开发者对SAST的认知与诉求，并暴露了现状中的鸿沟——挑战了SAST设计优先级中长期持有的信念。最后，我们基于研究发现为研究者和从业者提供了具体未来方向。
引用
@article{arxiv.2307.16325,
title = {"False negative -- that one is going to kill you": Understanding Industry Perspectives of Static Analysis based Security Testing},
author = {Amit Seal Ami and Kevin Moran and Denys Poshyvanyk and Adwait Nadkarni},
journal= {arXiv preprint arXiv:2307.16325},
year = {2024}
}
备注
Published at the IEEE Symposium on Security and Privacy 2024