代码审计是什么

源代码审计是一种发现程序中存在的安全缺陷和程序错误（BUG）的技术手段
它对软件的源代码采用静态的语法分析、语义分析、控制流 分析、数据流分析等技术来发现其中存在的潜在问题相对于传统的黑盒程序测试手段，源代码静态分析是一种白 盒的软件检测手段。
基于黑盒的测试无法了解到软件内部的运行逻辑和具体实现， 而白盒检测可以看到软件内部实现的所有细节，因此基于源 代码的检测能够更全面、更彻底的发现软件中存在的问题。

黑客攻击的主要目标一软件本身的安全漏洞根据美国国家标准与技术研究院(NIST)统计，如今的黑客攻击超过90%主要是利 用软件本身的安全漏洞，这些漏洞是由不良的软件架构和不安全的编码产生的。

满足《法律、标准、指南、规范》等监管要求网络安全法。

行道SAST通过了解软件内部的运行逻辑和具体实现、采用静态的语法、语义、控制、数据流等分析技术挖掘软件程序的源代码中存在的潜在缺陷和错误，从而对源代码安全漏洞进行定级，给出安全漏洞分析报告。帮助软开的管理人员统计和分析当前阶段软件安全的风险、趋势，跟踪和定位软件安全漏洞，提供软件安全质量方面的真实状态信息。

支持对多种编程语言的分析检测。

操作系统支持：windows、Linux。

产品形态：

主要功能-项目管理。

接入CI/CD开发流水线：
使用部门：研发中心，安全部门

入了流水线的项目通过插件或接口在构建或合并分支时由流水线触发检测，自动调用系统检测机制对源代码 进行扫描。制定检测通用规则集，可作为卡点，未通过卡点的项目可禁止发布上线。部分语言的项目没有Jenkins流水线，比如C语言项目，这些项目通过直接从代码库获取或者提交Zip包的形式 进行上传扫描。每个项目组都有自己的账号，可以查看到自己的被测项目和缺陷结果。