Many security incidents are caused

Many security incidents are caused by software developers’ failure to adhere to secure programming practices. Static analysis tools have been used to detect software vulnerabilities. However, their wide usage by developers is limited by the special training required to write rules customized to application-specific logic. Our approach is interactive static analysis, to integrate static analysis into Integrated Development Environment (IDE) and provide in-situ secure programming support to help developers prevent vulnerabilities during code construction. No additional training is required nor are there any assumptions on ways programs are built. Our work is motivated in part by the observation that many vulnerabilities are introduced due to failure to practice secure programming by knowledgeable developers. We implemented a prototype interactive static analysis tool as a plug-in for Java in Eclipse. Our technical evaluation of our prototype detected multiple zero-day vulnerabilities in a large open source project. Our evaluations also suggest that false positives may be limited to a very small class of use cases.

ผลลัพธ์ (ไทย) 1:

เกิดปัญหาด้านความปลอดภัยหลาย โดยนักพัฒนาซอฟต์แวร์ความล้มเหลวในการยึดมั่นการปฏิบัติเขียนโปรแกรม มีการใช้เครื่องมือวิเคราะห์คงตรวจหาช่องโหว่ของซอฟต์แวร์ อย่างไรก็ตาม ผู้ใช้มากมาย โดยนักพัฒนาจำกัด โดยฝึกอบรมพิเศษที่จำเป็นในการเขียนกฎตรรกะเฉพาะโปรแกรมประยุกต์ที่กำหนดเอง วิธีการของเราเป็นแบบโต้ตอบคงการวิเคราะห์ การรวมวิเคราะห์คงเป็นรวมพัฒนาสภาพแวดล้อม (IDE) และให้การสนับสนุนโปรแกรมทางในการวิเคราะห์เพื่อช่วยป้องกันปัญหาระหว่างก่อสร้างรหัสนักพัฒนา ฝึกอบรมเพิ่มเติมไม่จำเป็น หรือมีข้อสันนิษฐานใด ๆ เกี่ยวกับวิธีที่โปรแกรมสร้างขึ้น งานของเรามีแรงจูงใจในส่วน โดยสังเกตว่า ช่องโหว่จำนวนมากมีการแนะนำเนื่องจากความล้มเหลวในการฝึกเขียน โดยนักพัฒนาที่มีความรู้ทาง เราใช้เครื่องมือการวิเคราะห์แบบคงต้นแบบเป็นปลั๊กอินสำหรับ Java ใน Eclipse เราประเมินทางเทคนิคของต้นแบบของเราตรวจพบช่องโหว่หลายวันศูนย์ในโครงการขนาดใหญ่มาเปิด ประเมินของเรายังแนะนำว่า ทำงานผิดพลาดที่ไม่อาจจำกัดชั้นเล็ก ๆ ของกรณีใช้

ผลลัพธ์ (ไทย) 2:

เหตุการณ์ที่เกิดขึ้นการรักษาความปลอดภัยจำนวนมากเกิดจากความล้มเหลวของนักพัฒนาซอฟต์แวร์ให้เป็นไปตามการรักษาความปลอดภัยการเขียนโปรแกรม เครื่องมือในการวิเคราะห์แบบคงที่ได้รับการใช้เพื่อตรวจสอบช่องโหว่ซอฟต์แวร์ แต่การใช้งานของพวกเขากว้างโดยนักพัฒนาจะถูก จำกัด โดยการฝึกอบรมพิเศษที่จำเป็นในการเขียนกฎที่กำหนดเองกับตรรกะโปรแกรมเฉพาะ แนวทางของเราคือการวิเคราะห์แบบคงโต้ตอบเพื่อบูรณาการวิเคราะห์แบบคงที่ลงในแบบบูรณาการการพัฒนาสิ่งแวดล้อม (IDE) และจัดให้มีแหล่งกำเนิดในการสนับสนุนการเขียนโปรแกรมที่ปลอดภัยเพื่อช่วยให้นักพัฒนาป้องกันช่องโหว่ในระหว่างการก่อสร้างรหัส ไม่มีการฝึกอบรมเพิ่มเติมเป็นสิ่งจำเป็นหรือจะมีสมมติฐานใด ๆ เกี่ยวกับวิธีการโปรแกรมที่ถูกสร้างขึ้น การทำงานของเราเป็นแรงบันดาลใจส่วนหนึ่งเกิดจากการสังเกตว่าช่องโหว่จำนวนมากได้รับการแนะนำให้รู้จักเนื่องจากความล้มเหลวในการฝึกการเขียนโปรแกรมที่มีความปลอดภัยโดยนักพัฒนาที่มีความรู้ เราดำเนินการต้นแบบเครื่องมือในการวิเคราะห์แบบคงที่แบบโต้ตอบเป็น plug-in สำหรับ Eclipse ใน Java การประเมินผลด้านเทคนิคของเราต้นแบบของเราตรวจพบช่องโหว่หลาย zero-day ในโครงการโอเพนซอร์สที่มีขนาดใหญ่ การประเมินผลของเรายังแสดงให้เห็นว่าผลบวกปลอมอาจจะ จำกัด อยู่ในระดับที่น้อยมากของกรณีการใช้งาน

ผลลัพธ์ (ไทย) 3:

เหตุการณ์การรักษาความปลอดภัยมากมายที่เกิดจากนักพัฒนาซอฟต์แวร์ ความล้มเหลวที่จะปฏิบัติตามเพื่อความปลอดภัยของโปรแกรมการปฏิบัติ เครื่องมือการวิเคราะห์แบบคงที่จะถูกใช้เพื่อตรวจหาช่องโหว่ซอฟต์แวร์ อย่างไรก็ตาม การใช้งานกว้างของพวกเขาถูก จำกัด โดยนักพัฒนาโดยการฝึกอบรมพิเศษต้องเขียนกฎที่กำหนดเองเพื่อใช้ตรรกะที่เฉพาะเจาะจง แนวทางของเราคือการวิเคราะห์แบบคงที่แบบโต้ตอบการรวมการวิเคราะห์แบบคงที่ในสภาพแวดล้อมการพัฒนาแบบบูรณาการ ( IDE ) และให้การสนับสนุนโปรแกรมเพื่อช่วยนักพัฒนาควบคู่ป้องกันช่องโหว่ในการสร้างรหัส . ไม่ต้องมีการฝึกอบรมเพิ่มเติมหรือมีสมมติฐานในวิธีที่โปรแกรมถูกสร้างขึ้นงานของเราคือแรงบันดาลใจบางส่วนโดยการสังเกตว่า มีช่องโหว่ที่รู้จักเนื่องจากความล้มเหลวในการปฏิบัติการการเขียนโปรแกรมโดยนักพัฒนาที่มีความรู้ เราใช้เครื่องมือการวิเคราะห์แบบคงที่แบบโต้ตอบเป็นปลั๊กอินสำหรับ Java ด้วย Eclipse การประเมินด้านเทคนิคของเราต้นแบบของเราตรวจพบช่องโหว่ซีโร่เดย์ในหลาย ๆโครงการเปิดแหล่งใหญ่การประเมินของเรายังแนะนำว่าแจ้งเท็จอาจถูก จำกัด ในชั้นเรียนขนาดเล็กมากของกรณีใช้