静的解析ツールKlocwork によるCERT-C/CWE対応

1© 2017 Rogue Wave Software, Inc. All Rights Reserved. 1
静的解析ツール
Klocwork による
CERT-C/CWE対応
Masaru Horioka
Sales Engineering Manager, APAC

アジェンダ
• 静的解析ツールKlocworkによるコーディング規約サポート
– チェッカーとのマッピング
– 分類基準
• 開発プロジェクトへの適用
– チェック項目の決定
– ベースライン解析と選別
– 日々の開発の中での解析
• デスクトップ解析、CI連携
• セキュリティレポート
– エビデンスの作成
• まとめ：Why Klocwork

静的解析ツールKlocworkによる
コーディング規約サポート

Klocworkチェッカー
• Klocworkチェッカー(https://goo.gl/8d1CYu)とは
– 特定のプログラミングエラーを発見するKlocworkの機能
– 用途に応じてチェックのオン・オフが可能

Klocworkによるコーディング規約サポート
コーディングルールとKlocworkチェッカーをマッピング
https://goo.gl/QuLGcq

CWEとのマッピング
(https://goo.gl/9hRCMi)

CERT-C/C++とのマッピング(https://goo.gl/xVmmb9)

コーディング規約と静的解析ツールの
チェッカーのマッピングにおける注意事項
• CWE/CERTのすべてのルールをカバーするわけではない
– CWEは階層構造になっているのでそもそも何とマッピングするか？によって数字
が異なる
– KlocworkのCERT-Cのカバー率は３０％程度
• カスタムチェッカーによるカバー率の向上は可能
• （以下は個人的な意見）あくまでマッピングであり、書かれている全てのことをチェッ
クするとは限らない(おそらくどの静的解析ツールも同じ)
– ルールは自然言語 or 自然言語＋サンプルコードの組み合わせで定義されている
– 各ベンダーのCERT C マッピング
https://www.securecoding.cert.org/confluence/display/c/Klocwork
– 色々比較するためには以下のようなテストセットがある。ただしコーテストケー
スをカバーできても、複雜な問題は発見できない等、利用方法には議論の余地が
ある。
– https://samate.nist.gov/SRD/testsuite.php

Klocwork分類基準(taxonomy)
• Klocwork分類基準とは
– Klocworkチェッカーとコーディング規約のマッピングをプログラム
上で実現したもの
• .tconfとよばれるxmlファイルで提供
– 用途
• チェッカーのオン・オフ
• 解析結果レポート

CERT 分類基準を利用したチェッカーの構
成

CERT 分類基準を利用した指摘件数レポー
ト

C/C++デフォルト分類基準を利用した指摘
件数レポート

開発プロジェクトへの適用

開発プロジェクトへの適用
1. チェック対象の決定
– ルールの選択
– 対象コードの選択
2. ベースライン解析
3. 日々の開発の中での解析
– デスクトップ解析、CI連携
– セキュリティレポート
4. エビデンスの作成

1. チェック対象の決定
全てをチェックするというのは現実的ではない
• チェックルールの選択例
• 納入先から指定されている
• 社内・プロジェクト・コーディング標準で規定
• コーディング規約の重要度を参考に選択
• 対象コードの決定
• レガシーコード vs 新規コード
• サードパーティー
• OSS

• ゴール
– 優先付けにより、アクション可能な状態に絞り込む
• 簡単な例
– OSS、サードパーティー、自動生成のコードの指摘は全て
Ignore
– 出荷済みコードはレガシーコード扱いとし、Filter

Klocworkの推奨展開手順
1. ルールを
選択
2. 対象外の
選択

no
no
ベースライン設定例
Project database
.
.
.
派生元コードの解析
最初のコード
最新バージョン
all issues
Ignore
yes
許可済みコード
MISRA
Ignore
yes
レガシーコード
指摘タイプ
Fix in Later Release
C&C++
外部コード
Severity
Analyse/
Defer
重要度高
Analyse/
Defer
リーダによる
決定
誤検知 Not a Problem
yes
no
Filter
重要度
低
yes
no
外部パッケージ Ignore
yes
no
自動生成・
テストコード
Ignore
grant
アーキ
テクト、
QAチー
ムによ
るレ
ビュー
アクショ
ンの決定
保留

Klocworkの推奨展開手順
1. デスクトッ
プ解析による
問題のある
コードの混入
を防止
2. 全体解析を
自動化し、指
摘件数の推移
を見える化、
メール通知

重要なポイント：早期発見、早期修正
• デスクトップ解析を活用しチェックイン前に指摘を除
去
• 全体解析解析を自動化
• レポートによる見える化
• 指摘件数のトラッキング
• 担当者の自動割当

In-phase detection

継続的インテグレーションによる解析の自
動化
Continuous Integration Server
Source Control Server
Manager Developer I Developer 2

管理者のためのセキュリティレポート
開発中のプロジェクトにおける、セキュリティリスクの残存を可視化
残存するセキュリ
ティ問題TOP３の
件数の推移
直近の解析におけるセ
キュリティ指摘TOP3
セキュリティ指摘が多
く含まれるディレクト
リ

4. エビデンスの作成
Web APIを利用して指摘件数やステータスを抽出し、エビデンスレポート作成
欧州の
Klocwork代理
店Emenda社
が公開してい
るスクリプト
の実行結果

まとめ

まとめ
静的解析ツールKlocwork によるCERT-C/CWE対応
1. KlocworkチェッカーとCERT-C/CWEルールのマッピングを提供
2. Klocworkの設定画面やレポートで利用可能な分類基準を提供
3. 開発プロジェクトに適用するためのガイドライン、導入支援コンサル
ティング（有償）を提供
4. デスクトップ解析や継続的インテグレーション環境との統合により、セ
キュリティ指摘の早期発見、早期修正が可能
5. Web APIを利用することによりエビデンスの自動作成が可能

静的解析ツールKlocwork によるCERT-C/CWE対応

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Semelhante a 静的解析ツールKlocwork によるCERT-C/CWE対応

Semelhante a 静的解析ツールKlocwork によるCERT-C/CWE対応 (20)

Mais de Masaru Horioka

Mais de Masaru Horioka (8)

静的解析ツールKlocwork によるCERT-C/CWE対応