Synopsys – Application Security

Giảm thiểu rủi ro kinh doanh trên toàn bộ SDLC Mỗi doanh nghiệp là một doanh nghiệp phần mềm. Synopsys xây dựng lòng tin vào phần mềm bằng cách cho phép bạn quản lý các rủi ro về bảo mật, chất lượng và tuân thủ của ứng dụng với tốc độ mà doanh nghiệp của …

Thông tin sản phẩm

Giảm thiểu rủi ro kinh doanh trên toàn bộ SDLC

Mỗi doanh nghiệp là một doanh nghiệp phần mềm. Synopsys xây dựng lòng tin vào phần mềm bằng cách cho phép bạn quản lý các rủi ro về bảo mật, chất lượng và tuân thủ của ứng dụng với tốc độ mà doanh nghiệp của bạn yêu cầu. Các giải pháp bảo mật ứng dụng (AppSec) thế hệ tiếp theo của họ cung cấp cái nhìn toàn diện về rủi ro phần mềm trong danh mục đầu tư, cho phép bạn đi từ ứng phó với lỗ hổng bảo mật sang quản lý rủi ro chủ động và tập trung vào những gì quan trọng nhất đối với tổ chức của bạn.

Tận dụng danh mục đầu tư toàn diện nhất của ngành

Synopsys là hãng cung cấp các giải pháp đánh giá an ninh toàn diện, chuyên dụng cho ứng dụng (application) của tổ chức. Với hệ sinh thái các bộ giải pháp hiện có, Synopsys được đánh giá đứng đầu trong các báo cáo của Gartner và Forrester.

Synopsys giúp doanh nghiệp giải quyết các vấn đề bảo mật và chất lượng một cách toàn diện trong quá trình phát triển và xây dựng ứng dụng.

Software composition analysis. Black Duck® là một giải pháp phân tích thành phần phần mềm (Software Composition Analysis – SCA) và các Binary file, là một giải pháp quản lý mã nguồn mở hoàn chỉnh, cho phép người dùng khám phá mã nguồn mở trong code và ánh xạ các thành phần được phát hiện vào các lỗ hổng đã biết. Black Duck sẽ xác định các rủi ro về giấy phép (license), bảo mật và hoạt động, đồng thời cho phép định cấu hình các chính sách giúp quản lý các yếu tố rủi ro khiến người dùng quan tâm nhất. Black Duck có thể được tích hợp hoàn toàn vào quy trình DevOps và sẽ giám sát dự án và can báo khi các mối đe dọa mới phát sinh. Những điểm nổi bật của Black Duck:
- Kiểm soát thành phần trong code: Công nghệ phát hiện multifactor và cơ sở dữ liệu KnowledgeBase với hơn 4 triệu thành phần mã nguồn mở của Black Duck sẽ liệt kê cho người dùng danh sách BoM (Bill of Material) trong bất kỳ ứng dụng hoặc Container nào.
- Tìm và sửa các lỗ hổng nguy hiểm nhanh chóng: Black Duck Security Advisories giúp người dùng chủ động hơn trước các lỗ hổng từ Open source, cả trong quá trình phát triển và vận hành. Giải pháp cũng cung cấp dữ liệu quan trọng cần thiết để ưu tiên các lỗ hổng để khắc phục, chẳng hạn như thông tin khai thác, hướng dẫn khắc phục, đánh giá mức độ nghiêm trọng và phân tích đường dẫn cuộc gọi.
Static application security testing. Coverity® là một giải pháp phân tích tĩnh (Static Application Security Testing – SAST), cung cấp công cụ kiểm tra an ninh với tốc độ dò quét nhanh, dễ sử dụng, độ chính xác và tuân thủ các tiêu chuẩn ngành cao, khả năng mở rộng dễ dành để phát triển các ứng dụng an toàn, chất lượng cao. Coverity giúp xác định các lỗi nghiêm trọng về chất lượng phần mềm và các lỗ hổng bảo mật trong mã nguồn mở ngay cả khi bắt đầu quát trình phát triển, khi nó ít tốn kém nhất và dễ sửa chữa nhất. Trong quá trình dò quét an ninh mã nguồn, khi phát hiện ra những lỗ hổng, giải pháp Coverity sẽ tư vấn cách khắc phục chính xác và bên cạnh đó công nghệ eLearning theo ngữ cảnh sẽ giúp nhà phát triển hiểu cách khắc phục các vấn đề ưu tiên của họ một cách nhanh chóng mà không cần sự hỗ trợ của chuyên gia bảo mật. Coverity tích hợp liền mạch kiểm tra bảo mật tự động vào CI/CD, hỗ trợ các công cụ và quy trình phát triển hiện có mà nhà phát triển đang sử dụng. Coverity có khả năng hỗ trợ hơn 20 ngôn ngữ và hơn 70 frameworks và templates. Coverity hỗ trợ cả hai hình thức triển khai: on-prem hoặc Cloud.
Dynamic analysis. WhiteHat™ Dynamic thực hiện phân tích động liên tục một cách an toàn và hiệu quả trên các ứng dụng sản xuất, thử nghiệm phần mềm trong cùng trạng thái với kẻ tấn công.
Interactive analysis. Seeker® là một giải pháp phân tích tương tác (Interactive Application Security Testing – IAST) kết hợp giữa phân tích động (DAST) và phân tích tĩnh (SAST) giúp phát hiện các lỗ hổng bảo mật và chỉ ra các vị trí trong code của các ứng dụng web nhiều tầng. Seeker cung cấp hướng dẫn khắp phục đầy đủ cho các nhà phát triển mà không cần chuyên môn về bảo mật một cách liên tục. Seeker sẽ ngay lập tức phát hiện các lỗ hổng bảo mật trong các ứng dụng web đang chạy. Nó mô phỏng khai thức tế, từ đó xác minh kết quả và giảm thiểu dương tính giả. Người dùng có thể xem các lổ hổng tổng hợp trong code của các ứng dụng web trức tiếp được tạo bảo các Seeker Agent 24/7 hoạt động liên tục. Các Agent theo dõi luồng dữ liệu của các ứng dụng, phát hiện lỗ hổng và gửi các lỗ hổng được phát hiện đến các máy chủ thông qua các Sensor. Seeker tích hợp liền mạch kiểm tra bảo mật tự động vào CI/CD, hỗ trợ các công cụ và quy trình phát triển hiện có mà nhà phát triển đang sử dụng xuyên suốt vòng đời phát triển phần mềm (SDLC). Seeker có khả năng hỗ trợ nhiều ngôn ngữ lập trình (như Java, C#, ASP.NET, Scala,…), nhiều runtime/frameworks (như .NET/CLR, Java/JVM, Jave runtime,…), nhiều platforms cũng như nhiều công nghệ (về cơ sở dữ liệu, nhiều loại ứng dụng) đồng thời hỗ trợ nhiều Cloud platform (như Azure Paas, AWS, Google Cloud, Tanzu).
Penetration testing. Flexible and scalable on-demand testing performed by security experts, tailored to meet changing requirements and evolving threats.
Fuzz testing. Defensics® là một giải pháp kiểm thử hộp đen toàn diện, mạnh mẽ và tự động cho phép các tổ chức đánh giá hiệu quả báo mật, phát hiện và khắc phục nhược điểm bảo mật của phần mềm. Cho phép các tổ chức đảm bảo an ninh phần mềm mà không ảnh hưởng đến quá trình phát triển, xác định vị trí các lỗ hổng một cách chiến thuật, chủ yếu là các lỗ hổng không xác định và chưa xác định trước trước khi vận hành phần mềm của tổ chức. Defensics được sử dụng để khám phá các lỗ hổng Zero-day và chưa biết. Defensics phù hợp với hầu hết mọi quy trình phát triển – cả trong môi trường SDL và CI truyền thống, hệ thống cơ sở dữ liệu lớn với hơn 150 giao thức, các bộ thử nghiệm được cấu hình sẵn giúp nắm bắt và giảm thiểu thời gian, chi phí khắc phục cũng như khả năng bị tấn công. Từ việc quét tìm mục tiêu đến xác định số lượng lớp để kết nối, Defensics cung cấp một bộ API phong phú để tự động hóa linh hoạt, có thể mở rộng nhằm đáp ứng mọi nhu cầu của tổ chức. Báo cáo toàn diện bao gồm nhật ký theo ngữ cảnh mô tả chi tiết đường dẫn giao thức và chuỗi thông báo, ánh xạ lỗ hổng theo các tiêu chuẩn ngành như CWE,…