アプリケーションセキュリティはコードから始まる

当社のSASTエンジンは、開発ワークフロー内の重大な脆弱性を自動的に検出し、本番環境に到達する前に阻止します。

• 幅広い言語サポート： Java、JavaScript、Python、C++、C#など、主要なプログラミング言語を網羅しています。
• シームレスなワークフロー統合： コンテキストを切り替えることなく、IDEやCI/CDパイプライン内で直接フィードバックを取得できます。
• 迅速な修正：明確なガイダンスとAI搭載のCodeFix提案により、問題をより速く解決します。
• カスタマイズ可能なポリシー：カスタム検出ルールを作成し、組織固有のセキュリティ基準を適用します。

当社の汚染分析エンジンは、アプリケーション コードのレイヤーを通過する複雑なデータ フローを追跡し、信頼できないソースから機密性の高いシンクに至るまでの潜在的なセキュリティの脆弱性を特定します。

• SQLインジェクション、XSS、SSRF、デシリアライゼーション、その他のインジェクション脆弱性の検出
• 誤検知を減らすために、関数間およびファイル間の高度で正確なデータフロー分析を実施
• 一般的なフレームワークのセキュリティ制御を理解するフレームワーク対応スキャン

当社の高度な静的解析機能は、従来のSASTを凌駕し、誤検知率を低減しながら、深く潜むセキュリティ脆弱性を発見します。高度なSASTは、アプリケーションコードとサードパーティ（オープンソース）コードの相互作用によって生じる、より深く複雑な脆弱性を特定するのに役立ちます。

• ソースとシンク間のフローを理解する外部依存関係を考慮したSAST分析
• サードパーティのライブラリを深く調べて、見つけにくい脆弱性を検出するクロスファイル汚染分析
• 高速かつ正確な分析にもかかわらず、設定は必要なく、オーバーヘッドもありません
• Java、C#、JavaScript、TypeScriptで利用可能

ソフトウェア サプライ チェーンを分析し、脆弱性を特定し、ライセンス コンプライアンスを確保することで、チームはコードベースを積極的に保護し、サードパーティの依存関係に関連するリスクを軽減できます。

• 脆弱性の特定: サードパーティのオープンソース依存関係におけるサードパーティの脆弱性 (CVE を含む) を追跡、管理、軽減するための合理化されたプロセス
• ライセンスコンプライアンス: 組み込まれたすべてのコンポーネントが組織の許可されたソフトウェアライセンスのポリシーを満たしていることを確認する
• SBOM（ソフトウェア部品表）：チームがコードの構成を理解し、管理し、報告するのに役立つ詳細なインベントリ

包括的なシークレット検出機能により、機密情報の偶発的な漏洩を防止します。SonarQubeは、SonarQube for IDEを使用してIDEのソースコード内のシークレットを検出できるだけでなく、SonarQube (Server and Cloud)を使用してCI/CDパイプライン内のシークレットを検出できます。

• 一般的なテクノロジーとプロバイダーをすべて網羅する数百のルールと秘密パターンを使用して、APIキー、パスワード、トークン、その他の機密データを検出します。
• 正規表現と意味解析の強力な組み合わせを使用して秘密を検出します
• プライベートサービスにおける組織固有の秘密情報のカスタムパターン検出
• IDE でコード内の秘密を直接検出し、リポジトリへの侵入を防止します。

インフラストラクチャ アズ コード (IaC) 内のセキュリティ構成ミスを検出し、安全な運用環境を確保します。

• Terraform、CloudFormation、Azure Resource Manager、Kubernetes マニフェスト、Ansible のサポート
• インフラストラクチャ定義における誤った構成とセキュリティリスクの検出
• 実用的な高精度の分析結果を受け取る