Checkmarx：源代码安全审计的强大利器

海上孤帆

一、Checkmarx 概述
Checkmarx 是以色列的一家高科技软件公司，专注于源代码安全审计，可检测多种安全漏洞和代码质量问题。它是世界上著名的代码安全扫描软件生产商，旗下的 Checkmarx CxSuite 专门设计为识别、跟踪和修复软件源代码上的技术和逻辑方面的安全风险。
Checkmarx 的主要功能包括：
安全漏洞检测：可以检查诸如 SQL 注入漏洞、跨站点脚本漏洞、不安全的认证和授权机制、安全配置错误、恶意软件植入、拒绝服务攻击、缓冲区溢出等内存错误、敏感数据泄露、加密和解密错误、代码注入漏洞等等。
代码质量缺陷检测：能够识别和跟踪源代码中的质量缺陷问题，帮助提高代码质量。
逻辑问题检测：可检测源代码中的业务逻辑问题，确保软件的逻辑正确性。
提供可视化分析结果：通过直观的源代码安全扫描结果管理工具 CxManager、审查代码扫描结果的 CxViewer 等插件，方便安全人员和开发人员理解和修复问题。
Checkmarx 采用独特的词汇分析技术和 CxQL 专利查询技术来扫描和分析源代码中的安全漏洞和弱点。它支持多种操作系统平台、编程语言和框架，部署在服务器上，用户可以通过一个 Web 接口、Windows 客户端、Eclipse 或 Visual Studio IDE 插件及命令行的方式进行访问。
Checkmarx 无需构建或编译软件项目的源代码，通过虚拟编译器自动对软件源代码分析，并直接建立代码元素及代码元素之间关系的逻辑图，然后对这个内部代码图进行查询，可在软件项目的开发生命周期中任何一个给定时间点运行扫描并生成安全报告，尽早修复安全漏洞和质量缺陷，降低修复成本。


二、强大的安全审计功能
（一）多种安全漏洞检测
Checkmarx 拥有强大的安全漏洞检测能力，能够精准地检测出多种常见的安全漏洞。例如，对于 SQL 注入漏洞，它通过深入的代码分析，能够识别出潜在的恶意 SQL 语句注入点。在实际应用中，一旦开发人员在代码中不小心拼接了用户输入的未经过滤的数据到 SQL 查询语句中，Checkmarx 就能够及时发现并发出警告。对于跨站脚本漏洞，Checkmarx 会仔细检查代码中对用户输入的处理，防止恶意脚本被注入到网页中。在代码注入方面，它能够检测出恶意代码被插入到程序执行流程中的情况。此外，Checkmarx 还能检测出缓存溢出、参数篡改、跨站请求伪造、HTTP 响应拆分、日志伪造、拒绝服务、会话固定、未验证的输入、危险的文件、硬编码密码等多种安全漏洞。据了解，Checkmarx CxEnterprise 包含针对所有编程语言已知数百个安全漏洞和质量缺陷问题预先设定好的查询列表，可以全面而又广泛地查询代码安全和质量缺陷。
（二）代码质量问题分析
Checkmarx 在分析代码质量问题方面也表现出色。对于未处理的异常情况，它能够提醒开发人员及时处理可能出现的错误，避免程序因异常而崩溃。例如，当程序在运行过程中遇到意外情况时，如果没有正确地处理异常，可能会导致程序不稳定甚至数据丢失。Checkmarx 会检测到这种情况并给出相应的建议。在未释放的资源方面，Checkmarx 可以发现资源未被正确释放的代码片段，比如文件句柄、数据库连接等资源在使用后没有及时关闭，这可能会导致资源泄漏，影响系统性能。此外，Checkmarx 还能检测出其他代码质量问题，如代码的复杂性过高、重复代码过多等，帮助开发人员提高代码的可维护性和可读性。


三、可视化分析结果的优势
（一）直观易理解
Checkmarx 的可视化分析结果以清晰的图形显示，将复杂的代码安全信息转化为直观的图像。例如，通过流程图的形式展示代码的执行路径和数据流向，使开发人员能够一目了然地看到各个模块之间的关系和交互模式。这种直观的展示方式不仅让数据更容易理解，也更容易被记忆。当面对大量的代码和复杂的安全漏洞时，可视化图形能够帮助开发人员快速抓住关键信息，提高问题解决的效率。
（二）便于比较与识别
可视化图形在对比数据不同方面具有显著优势。Checkmarx 的可视化界面可以同时展示多个项目或不同版本代码的安全状况，方便开发人员和安全人员进行比较。通过对比不同颜色或形状的图标，更容易发现差异和趋势。例如，在比较两个版本的代码时，可以清晰地看到新增的安全漏洞和已修复的问题。同时，可视化图形也易于识别模式，对于一些常见的安全问题，如特定类型的漏洞或代码质量问题，能够快速识别出其出现的规律，为进一步的分析和解决提供线索。
（三）利于沟通与节省时间
可视化图形易于与他人共享，无论是在团队内部的讨论中，还是与上级领导或客户的沟通中，都能更好地说明观点和结论。开发人员可以通过展示可视化分析结果，向其他团队成员解释代码中的安全问题和改进方向，提高沟通效率。同时，可视化图形能够让人们快速识别数据中的重要信息，无需花费大量时间去分析复杂的文本报告。在紧急情况下，如需要快速响应安全事件时，可视化分析结果能够帮助团队迅速做出决策，节省分析时间，提高应对安全问题的能力。


四、与开发工具集成
（一）支持的开发工具
Checkmarx 支持与众多开发工具集成，展现出强大的兼容性和实用性。在持续集成与持续交付（CI/CD）方面，它能够与主流的 CI/CD 工具集成，确保在软件开发的整个流程中，安全审计能够无缝融入。例如，开发团队可以在自动化构建、测试和部署的各个阶段，借助 Checkmarx 的安全扫描功能，及时发现潜在的安全漏洞，从而保障软件的安全性。
对于 Gitlab 持续集成，虽然目前 Checkmarx 没有专门的 GitLab 集成插件，但可以通过 REST API/CLI 实现与 Gitlab 的集成。开发者可以使用 CLI 而不是 REST API，因为 CLI 提供了更多可用于管道决策的功能。例如，可以查看 Checkmarx 的 Wiki，其中包含了详细的 CxSAST API Guide 和 CxConsole+CxSAST CLI 指南。目前，可以按照以下方法进行配置：首先使用命令生成令牌，如 runCxConsole.cmd GenerateToken -v -CxUser username -CxPassword admin -CxServer http://localhost。在 Build --> Execute Shell 中配置代码，如 Jenkins Script：

1. <font size="3">#!/bin/bash
   
2. export JAVA_HOME=/usr/bin/java
   
3. export CHECKMARX_HOME=/<checkmarx plugin path>/CxConsolePlugin-8.90.2
   
4. echo ${WORKSPACE}
   
5. echo $CX_PROJECT_NAME
   
6. mkdir ${WORKSPACE}/cxReports
   
7. export CHECKMARX_REPORTS_HOME=${WORKSPACE}/cxReports
   
8. echo $CHECKMARX_REPORTS_HOME
   
9. $CHECKMARX_HOME/runCxConsole.sh Scan -v -CxServer <checkmarx server details> -ProjectName "<project anme>" -cxToken <token> -locationtype folder -locationpath "${WORKSPACE}" -preset "Default Checkamrx" -reportcsv $CHECKMARX_REPORTS_HOME/$CX_PROJECT_NAME.csv -ReportPDF $CHECKMARX_REPORTS_HOME/$CX_PROJECT_NAME.pdf</font>

复制代码

注意始终使用令牌进行服务器身份验证，而不是在 CLI 命令中对用户名和密码进行硬编码。此外，Checkmarx 还有很好的文章介绍如何启用和配置与 GitLab 的集成，为开发者提供了详细的指导。
Checkmarx 还支持与蛋糕（cake）文件结合，将静态代码扫描作为一个阶段整合到 devops 管道中。可以使用 NuGet 图库中的蛋糕加载项，或者在蛋糕脚本中合并 Checkmarx.API 的用法。例如：

1. <font size="3">Task("Scan").Does(() =>{
   
2. // place your code here..
   
3. });</font>

复制代码

或者使用过程别名：

1. <font size="3">Task("Scan").Does(() =>{
   
2. StartProcess("runCxConsole.cmd", new ProcessSettings{
   
3. Arguments = @"Scan -v -ProjectName ""CxServer/bookname j2"" -CxServer http://localhost -CxUser username -CxPassword admin -LocationType folder -LocationPath ""C:\Data\Projects\Java\bs java"" -preset ""Checkmarx Default""";
   
4. });
   
5. });</font>

复制代码

海上孤帆

五、综合评价与展望

Checkmarx 在源代码安全审计领域具有重要地位。它以其强大的安全漏洞检测能力、对代码质量问题的精准分析以及可视化的分析结果，为软件开发过程中的安全保障提供了有力支持。同时，与开发工具的集成实现了安全审计的自动化，极大地提高了开发效率。
然而，Checkmarx 也并非完美无缺。例如，安装在 Windows 平台上，这在一定程度上限制了其适用范围；默认检测规则比较差，适用性不强，漏报率相对较高；检测效率较低，一般在 30 - 40 万左右 / 小时；无法支持国产服务器部署；误报率较高，一般在 30 - 40% 左右。
尽管存在这些不足，Checkmarx 仍具有很大的发展潜力。随着软件安全需求的不断增长，源代码安全审计的重要性日益凸显。Checkmarx 可以不断优化其检测算法，提高检测的准确性和效率，降低误报率和漏报率。同时，加强与更多开发工具的集成，拓展其适用范围，更好地满足不同开发环境的需求。
在未来，我们可以期待 Checkmarx 在以下方面取得进一步的发展：一是持续改进可视化分析结果，使其更加直观、易理解，为开发人员和安全人员提供更好的决策支持；二是加强对新兴编程语言和框架的支持，适应不断变化的软件开发技术；三是与人工智能技术相结合，提高安全漏洞的自动识别和修复能力，为软件安全保驾护航。
总之，Checkmarx 在源代码安全审计方面发挥着重要作用，虽然存在一些不足之处，但通过不断的创新和发展，它有望为软件开发行业带来更加可靠的安全保障。