軟件安全值得關(guān)注,。

　　36氪獲悉,，關(guān)注軟件安全的初創(chuàng)安全公司「水木羽林」已于日前完成千萬元級(jí)天使輪融資，本輪投資人包括前沿基金,、銀杏谷資本,、斗象科技、海南層林等,。

　　當(dāng)前,，不少企業(yè)面臨的安全問題之一即是軟件的安全無法保障。所以,，軟件在開發(fā)流程中的安全問題也引起不少關(guān)注,。根據(jù)美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所（NIST）早前的統(tǒng)計(jì),，在發(fā)布后執(zhí)行代碼修復(fù),，其修復(fù)成本相當(dāng)于在設(shè)計(jì)階段執(zhí)行修復(fù)的30倍。而開發(fā)安全類產(chǎn)品則從開發(fā)過程切入,，希望通過對(duì)軟件開發(fā)流程的管控,，降低軟件本身存在的安全風(fēng)險(xiǎn)。

　　當(dāng)前為了解決這一問題,，業(yè)內(nèi)出現(xiàn)了不同類型的工具,，其中主要包括AST工具，涵蓋靜態(tài)應(yīng)用程序安全測(cè)試（SAST）,、動(dòng)態(tài)應(yīng)用程序安全測(cè)試（DAST）,、交互式應(yīng)用程序安全測(cè)試（IAST）產(chǎn)品等。公司介紹,，當(dāng)前AST工具在應(yīng)用程序上的效果顯著,，而Fuzz技術(shù)可以更好的適配到不同類型的基礎(chǔ)和系統(tǒng)軟件,，并在漏報(bào)和誤報(bào)以及自動(dòng)化支持上取得更好的平衡。

　　36氪也觀察到,，當(dāng)前一些公司以FUZZ類產(chǎn)品為主打,，希望幫助企業(yè)解決軟件安全問題。本文主角「水木羽林」,，正式成立于2021年3月,，其團(tuán)隊(duì)核心成員均畢業(yè)于清華大學(xué)，在軟件安全測(cè)試方向有超過10年積累,，在SOSP和S&P等軟件系統(tǒng)和信息安全領(lǐng)域頂會(huì)上發(fā)表30余篇學(xué)術(shù)論文,，在各類系統(tǒng)軟件上挖掘數(shù)百個(gè)高危安全漏洞收錄到國(guó)家安全漏洞庫(kù)中。公司主打產(chǎn)品為XFUZZ智能模糊測(cè)試系統(tǒng),，不僅支持應(yīng)用層軟件及類庫(kù),，也支持協(xié)議、內(nèi)核,、數(shù)據(jù)庫(kù)等大規(guī)?；A(chǔ)軟件的自動(dòng)化安全測(cè)評(píng)。

　　公司COO李遠(yuǎn)翼介紹,，XFUZZ智能模糊測(cè)試系統(tǒng)是新一代軟件質(zhì)量與安全檢測(cè)平臺(tái),，可以對(duì)各種層次與類型的軟件進(jìn)行自動(dòng)化漏洞挖掘，有效檢測(cè)各類高危漏洞,，提升軟件健壯性和安全性,，為軟件供應(yīng)鏈安全提供基礎(chǔ)支撐。

　　其還介紹,，智能模糊測(cè)試會(huì)在測(cè)試過程中動(dòng)態(tài)觀察程序的反饋,，利用污點(diǎn)分析和硬件指令追蹤等技術(shù)引導(dǎo)測(cè)試輸入的生成，更快更多的觸發(fā)程序分支,，分支覆蓋的越深,，最終找到的漏洞越多。不過在李遠(yuǎn)翼看來,，由于程序不同,，如今具體的覆蓋度指標(biāo)不能一概而論，但這種自動(dòng)化的測(cè)試輸入生成手段,，可以顯著降低當(dāng)前軟件測(cè)試和安全分析的難度和人力成本,。

　　當(dāng)前，「水木羽林」主要依靠智能模糊測(cè)試等前沿技術(shù),，瞄準(zhǔn)開發(fā)安全,、代碼安全等DevSecOps場(chǎng)景，希望解決各行業(yè)軟件供應(yīng)鏈安全保障難題。

　　具體展開,，公司介紹其XFUZZ智能模糊測(cè)試系統(tǒng)具有如下亮點(diǎn)：

　　?智能深度挖掘能力：在權(quán)威第三方及客戶測(cè)試數(shù)據(jù)集的對(duì)比中,，相較于AFL，Peach,Syzkaller等標(biāo)桿工具,，核心指標(biāo)如測(cè)試覆蓋率,，發(fā)現(xiàn)缺陷數(shù)，測(cè)試速度等均大幅領(lǐng)先,。

　　跨層全棧支持能力：全面支持應(yīng)用,、類庫(kù)、數(shù)據(jù)庫(kù),、操作系統(tǒng),、通信協(xié)議等檢測(cè)對(duì)象，完整覆蓋軟件供應(yīng)鏈,，在Linux,，MySql，IEC104等基礎(chǔ)軟件及協(xié)議上累計(jì)發(fā)現(xiàn)百余個(gè)漏洞被中美國(guó)家信息安全漏洞庫(kù)作為CVE官方收錄,。

　　 DevSecOps支持能力：通過全量API,、CLI工具等特性，可實(shí)現(xiàn)自動(dòng)化,、集成化與持續(xù)化的軟件開發(fā)安全左移,，支持測(cè)試驅(qū)動(dòng)自動(dòng)生成，覆蓋信息實(shí)時(shí)顯示,，缺陷報(bào)告自動(dòng)生成,，缺陷輸入自動(dòng)復(fù)現(xiàn)等功能。

　　另外,，當(dāng)前行業(yè)內(nèi)也正出現(xiàn)各類技術(shù)路線不同的工具,，不同工具往往具備不同功能特點(diǎn)，在一些場(chǎng)景下可以整合滿足客戶需求,，之后「水木羽林」也會(huì)進(jìn)行相關(guān)拓展,，完善自身產(chǎn)品覆蓋面。

　　在具體的商業(yè)化落地上,，「水木羽林」在成立半年來已獲統(tǒng)信軟件,、南大通用等客戶數(shù)百萬元訂單,。本輪融資之后,，公司也將持續(xù)投入產(chǎn)品研發(fā)，同時(shí)不斷拓展市場(chǎng),。