據(jù)Gartner2019年統(tǒng)計(jì)，網(wǎng)絡(luò)安全92%的風(fēng)險(xiǎn)來自于軟件應(yīng)用層，應(yīng)用層的檢測顯得尤為重要。而2020年，Gartner應(yīng)用安全魔力四象限中提到了代碼分析技術(shù)(SAST)和軟件成分分析技術(shù)(SCA)是軟件研發(fā)更早階段（開發(fā)、測試）檢測重要技術(shù)手段。據(jù)統(tǒng)計(jì)，在開發(fā)階段的檢測成本是發(fā)布階段的1/100,發(fā)現(xiàn)缺陷的數(shù)量是部署后的10倍，研發(fā)安全“左移”也成為了軟件安全保障的主要趨勢。2021年美國著名的RSA沙盒大賽Apiiro團(tuán)隊(duì)正是運(yùn)用這個(gè)概念獲得了全場冠軍。在DevSecOps中采用白盒代碼分析的方式已經(jīng)成為了安全圈新的熱點(diǎn)和方向。
為什么鴻漸科技被推薦
隨著軟件產(chǎn)業(yè)的快速發(fā)展，現(xiàn)代軟件大多數(shù)是被“組裝”出來的，不是被“開發(fā)”出來的。各類信息系統(tǒng)的軟件供應(yīng)鏈也越發(fā)復(fù)雜多元，復(fù)雜的軟件供應(yīng)鏈會(huì)引入一系列的安全問題，導(dǎo)致信息系統(tǒng)的整體安全防護(hù)難度越來越大。如今軟件供應(yīng)鏈已經(jīng)成為國內(nèi)外對抗的焦點(diǎn)，直接影響關(guān)鍵基礎(chǔ)設(shè)施和重要信息系統(tǒng)安全。尤其現(xiàn)在美國的禁運(yùn)，SAST工具卡脖子的問題愈發(fā)明顯。
放眼國內(nèi)，涉及代碼安全分析產(chǎn)品的廠商鳳毛麟角，能夠做到真正自主研發(fā)的團(tuán)隊(duì)更是屈指可數(shù)，大多數(shù)所謂自主產(chǎn)品都是基于開源改造或國外產(chǎn)品封裝，并沒有自己的底層分析技術(shù)。究其原因，主要有以下五點(diǎn)：
1） 技術(shù)門檻高，多源自名校
代碼分析領(lǐng)域?qū)儆谲浖こ讨芯幾g的分支，應(yīng)用了大量的編譯算法，屬于基礎(chǔ)軟件范疇。國內(nèi)開設(shè)編譯課程或軟件分析的高校，只有北大、清華、中科院、港科大等幾所知名高校，了解底層技術(shù)的人員更是鳳毛麟角。橫向來看，國外同類產(chǎn)品大多數(shù)產(chǎn)自于知名高校的長期積累，例如斯坦福大學(xué)的Coverity, 牛津大學(xué)的CodeQL等。
2） 人才要求高，知行合一是關(guān)鍵
即使學(xué)習(xí)了編譯課程，其分析算法的實(shí)現(xiàn)難度對于技術(shù)人員編程能力要求也是非常頂尖的，以鴻漸科技為例，底層算法的大多都是北大和中科院等知名高校計(jì)算機(jī)系的畢業(yè)生（算法和代碼能力超強(qiáng)）多年研發(fā)的結(jié)果，并不是一個(gè)普通程序員通過努力就能掌握和實(shí)現(xiàn)的。
3）研發(fā)時(shí)間久，企業(yè)考核周期短，缺乏長期主義。
一個(gè)實(shí)現(xiàn)了路徑敏感、上下文敏感、對象敏感的代碼分析核心引擎需要上百萬行代碼和多年的算法局部調(diào)優(yōu)，這個(gè)是多年積累的成果，即使一篇頂會(huì)論文的原型，也只是突破了某個(gè)點(diǎn)，對于面上的突破也需要數(shù)年的積累，而任何一個(gè)企業(yè)的考核周期最多是一年、兩年，國內(nèi)的企業(yè)很難能夠容忍一個(gè)部門在三到四年沒有大的產(chǎn)出，還不解散的。
4）興趣愛好與金錢的抉擇
從以上三點(diǎn)可以看出來，一個(gè)代碼分析工具需要具備高素質(zhì)人才，通過長期不懈努力才能收獲相對好的成果，天賦、興趣、愛好、堅(jiān)持和金錢缺一不可。在互聯(lián)網(wǎng)金元經(jīng)濟(jì)大行其道的情況下，清北的本科畢業(yè)生，去互聯(lián)網(wǎng)大廠輕輕松松年薪五十萬起，博士更是動(dòng)以百萬，如果家庭條件一般，很難拒絕金錢的誘惑抑或是屈服于生活的壓力，又有誰會(huì)在冰冷的基礎(chǔ)軟件方向默默耕耘？以鴻漸為例，核心人員都是學(xué)霸和學(xué)神級人物，家庭條件尚可，又在這個(gè)方向都是非常有興趣的Geek（迷戀數(shù)學(xué)和ACM），聚集一群這樣的人才確實(shí)可遇不可求。鴻漸的碩博比例更是高達(dá)60%以上，遠(yuǎn)高于多數(shù)安全大廠。
5)抬頭看天是一種方向，低頭看路是一種清醒，好工具是被罵出來的
產(chǎn)品經(jīng)理和研發(fā)人員投入到一線去發(fā)現(xiàn)、去感知、去挖掘、去挨罵，通過上百家客戶的試用交流，不斷的總結(jié)提升，和客戶一起成長，打磨出中國真正自己的SAST靜態(tài)分析工具和SCA同源分析工具。
由此可見，代碼分析工具并非幾個(gè)人一時(shí)興起的激情投入，也并非國外工具和開源工具加個(gè)殼兒就能解決問題，也并非商務(wù)推進(jìn)低價(jià)中標(biāo)抑或是鋪天蓋地的媒體宣傳。是需要一批有情懷又不是那么差錢，高智商臉皮又足夠厚，能持之以恒又靠譜的年輕人不斷的去挑戰(zhàn)、去征服。
最后，我們歡迎有夢想的年輕人加入，本科985計(jì)算機(jī)、軟件工程相關(guān)專業(yè)，高考成績630分以上，對算法感興趣。如果能來個(gè)博士那就最好了。
也歡迎各甲方客戶交流試用，多提問題和建議，只有都用上了國產(chǎn)測試工具，國產(chǎn)測試工具才能進(jìn)步，才不至于因禁運(yùn)而受制于人！
免責(zé)聲明：市場有風(fēng)險(xiǎn)，選擇需謹(jǐn)慎！此文僅供參考，不作買賣依據(jù)。
