Quels outils d'analyse de code source utilisez-vous pour découvrir les problèmes de sécurité ?

Topic très très très intéressant , et pour ma part je n'utilise aucun plugin et sa m'intéresserais de profiter de l'expérience des autres sur ce sujet .

hello,

amha, l'analyse dynamique à plus de popularité. Cela me semble plus simple et plus concret. C'est d'ailleurs ma méthode de prédilection.

Je n'ai jamais pratiqué l'analyse statique d'un source code pour en découvrir ces failles, mais j'ai si je devais le faire, ma crainte serait que les messages renvoyés par l'analyseur soient complètement cryptique, et ou peu probant.

Cependant je reste curieux des retours d'expérience dans ce domaine.

a plus

Hello!
Quand à moi, j'utilise Polyspace . Ex frenchie appartenant maintenant à
The mathworks.

Est-ce que ça existe au moins ?

Je pense que ça dépend beaucoup de la plateforme. On ne devrait pas du tout trouver les mêmes outils pour analyser un site web et ses failles css, que pour une appli lourde avec ses flux réseaux (Tiens ça me fait penser à l'ex Ethereal, SiW je crois, pour commencer à citer un outil), ses accès mémoire (heuu, de tête valgrind pour les applis en C ?), les fuites (jprobe, et l'équivalent gratuit fourni avec la JDK pour Java), ses accès aux ressources et périphériques systèmes (et là encore, on divise entre W$, Nux et la pomme)... Et encore j'oublie sûrement d'autres sujets.
Je pense que je sujet "sécurité" est bien trop large pour que les gens y répondent exhaustivement, et surtout, pour qu'on y trouve un logiciel capable de tout faire.

En tout cas je suis comme les personnes précédentes : les retours m'intéressent beaucoup.

Les dave de mon appli sont en java et j'ai par curiosité lancé findbugs... Et bien ce fut très intéressant ! Ce qu'il dit est vrai (en tout cas pour les points que j'ai regardé) je le recommande donc.

Maintenant la philosophie de ma boite est plutôt basée sur des revues de pairs qui ont une plus value car effectuée par des developeurs confirmés. Mais cette pratique est bonne lorsqu'elle est régulière ET fréquente.

Une combinaison des 2 est, a mon avis, une bonne approche.

@Pignoufy : Intéressant pour findbugs. J'ai également entendu parler de Metrics et de PMD pour les programmes Java (mais j'ai peur qu'on s'éloigne du sujet de la sécurité là).

Les revues de pairs est-elle une pratique plutôt répandue dans l'entreprise ? Chez nous on n'a pas encore franchi le pas, mais on pourrait y songer.

Effectivement on s'éloigne un peu du sujet mais cela t'interesse on peut en discuter par MP ou ouvrir une nouvelle discussion sur le sujet ?...

Je viens de relire le sujet initial du post (que j'avais lu un peu trop vite ) : la question porte surtout sur les applications web, ce qui n'est pas le style d'appli que j'ai pu développé durant ces dernières années.

Dans tous les cas, l'utilisation d'outils d'analyse de code, de déverminage est un réflexe à avoir surtout qu'ils peuvent être dans le vrai ! Dans un environnement d'intégration continu, ces rapports peuvent générés toutes les nuits (et oui, les machines n'ont pas de syndic ) et envoyés à qui de droit pour gérer au mieux les développements et surtout éviter les dérives qui peuvent coûtées chères si elles sont découvertes tardivement...

Perso FindBugs
Et il marche bien