企威冷库软件,冷库专用软件,冷库管理系统,冷库设计软件,冷库仓储管理系统,冷库租凭管理系统

汽车电子

一款综合解决方案，用于管理因在应用程序和容器中使用开源代码而带来的安全性、许可合规性及代码质量风险。
被Forrester评为软件成分分析（SCA）领域的领导者。

提供开发应用所需的速度、易用性、准确性、行业标准合规性及可扩展性。
能随代码的编写及时识别出代码中严重的软件质量缺陷和安全漏洞。精确且可操作的补救建议和特定于上下文的eLearning 在线学习指导。
可将自动安全测试无缝集成到CI/CD Pipeline 中，并支持现有开发工具和工作流。
可自由选择开发位置和方法：内部部署或使用基于云的高可扩展应用安全平台“Polaris Software Integrity Platform ™ (SaaS)”在云端部署。
支持20 种语言以及70 多个框架和模板。

一款全面的、功能强大的自动化黑盒解决方案，能够帮助企业有效且高效地发现并修复软件中的安全脆弱点。
通过采取系统化、智能化的负面测试（negative testing）方法，可以帮助企业确保软件安全性，而不会影响产品创新、延误产品上市时间或增加运营成本。

为客户提供ECU软硬件开发一体化解决方案：

基于用户自定义规范的AUTOSAR基础软件平台的开发和集成服务
ECU产品硬件定制设计与开发
通用ECU硬件平台产品
基于AUTOSAR基础软件的ECU软件与硬件的一体化设计与开发
具备AUTOSAR基础软件的控制算法开发验证快速原型产品
ECU应用软件开发

Solid Sands产品开发工具一站式C/C++编译、库测试、验证以及安全服务。
支持C90，C99，C11，C18，C++03，C++11，C++14，C++17MISRA C以及其他；
符合IEC61508（工业）、ISO26262（汽车）、EN50128（铁路）各行业功能安全标准；

Black Duck 黑鸭

概述

Black Duck(黑鸭）是一款综合解决方案，用于管理因在应用程序和容器中使用开源代码而带来的安全性、许可合规性及代码质量风险。Black Duck被Forrester评为软件成分分析(SCA）领域的领导者，可为您提供无与伦比的第三方代码可视性，使您能够在整个软件供应链和应用程序生命周期中对其进行控制。

发现

在代码、二进制文件和容器中标识开源代码。
检测部分和修改后的组件。
通过DevOps集成进行自动扫描。

保护

将组件映射到已知漏洞。
识别出许可和组件质量风险。
监控开发和生产中的新漏洞。

管理

设置并执行开源代码的使用和安全策略。
通过 DevOps集成来自动执行策略。
对修复活动进行优先级排序与跟踪。

面向源代码和二进制

文件的集成解决方案

只有Black Duck(黑鸭）能将多种多样的开源风险管理与深度二进制检查功能相结合来提供一流的SCA解决方案，最大程度地减少与开源和其它第三方软件相关的风险。在开源代码比例平均占到代码库60%的时代，Black Duck能够帮助开发、运营、采购和安全团队:

在SDLC的每个阶段找到并修复安全漏洞，并提供详细的、特定于漏洞的修复指导和技术观点。
通过使用业界最大的开源知识库，从2600多个许可证中找出与用户应用程序中开源代码相关的许可证〈包括来自较大组件的代码片段)，从而消除开源许可证不合规的风险并保护用户的知识产权。
借助与开源代码质量相关的运营风险指标来避免开发成本超支和代码质量衰变。
几乎扫描所有的软件、固件和源代码，对其内部组件生成全面的物料清单(BOM)。
自动监控影响BOM的新漏洞，使用自定义策略和工作流触发器来加速修复漏洞并减少风险外泄。

01

更深入、更简单的分析
02

快速找到并修复漏洞
03

自动执行安全和使用策略
04

识别开源风险
05

灵活的扩展模糊测试

开展更深入、更简单的分析

Black Duck 使用独特的多因素检测技术来生成完整的 BOM，并加以验证，以跟踪声明的组件、独特的文件哈希签名、构建过程中解析的依赖关系和开源代码片段，从而更加精准地识别出更多的开源代码。Black Duck 的智能扫描客户端与整个SDLC中使用的开发工具相集成，能够自动检测资源以优化其扫描方法。

快速找到并修复漏洞

Black Duck 的开源安全风险理念源自从公开渠道（如美国国家通用漏洞数据库，NVD）精心挑选的数据以及 Synopsys 网络安全研究中心（CyRC）开展的详细的专有分析。用户可在新漏洞发布到 NVD 之前的 30 天内得到通知（以缩短漏洞泄露时间窗口）并受益于我们专有的增强型漏洞数据和 Black Duck 安全建议（BDSA），其中包括：

严重风险指标，特定于漏洞的技术理念，漏洞利用细节和影响分析
CVSS 2 和 CVSS 3 评分以及 CWE 分类数据
常见攻击模式枚举和分类（CAPEC）
非 NVD 提供的临时评分
组件级升级和修复指导，缓解因素和补偿性控制
根据用户整体风险状况自定义漏洞风险评分

自动执行安全和使用策略

用户可基于全面的标准来配置开源安全和使用策略，包括许可证类型、漏洞严重程度及开源组件版本等。也可通过自动工作流触发器、通知以及与Jira双向集成来执行策略，以加速启动修复措施和报告流程。

识别开源风险，即使没有源代码亦可

将 Black Duck 置于用户工具包中，就可以快速轻松地分析供应商提供的二进制文件，识别出软件供应链中的薄弱环节，无需访问源代码。也可借助深入可行的风险指标做出明智的技术使用和采购决策，以免因决策不当而遭遇风险。Black Duck 的智能扫描客户端能够自动确定目标软件是源代码软件还是编译好的二进制文件，最后识别出所有的第三方软件组件、相关许可、以及影响应用程序的已知漏洞，并加以分类。

通过自动化灵活地扩展模糊测试

无论是扫描测试目标，还是确定待连接的层数，Defensics 都提供了丰富的 API，可以实现灵活、可扩展的自动化功能，以满足用户的所有需求：

测试单一设备
设置可重复的自动化过程，以确保每次都遵循测试计划
利用最新的可扩展虚拟化功能缩短测试时间

Static analysis solution 静态分析解决方案

概述

Coverity® 为您提供开发高质量安全应用所需的速度、易用性、准确性、行业标准合规性及可扩展性。在早期开发阶段，即修复成本最低、修复难度最小的阶段， Coverity 便能随代码的编写及时识别出代码中严重的软件质量缺陷和安全漏洞。精确且可操作的补救建议和特定于上下文的 eLearning 在线学习指导，能够帮助贵公司的开发人员快速了解如何解决严重问题，而无需成为安全专家。Coverity 可将自动安全测试无缝集成到您的 CI/CD Pipeline 中，并支持您的现有开发工具和工作流。您可自由选择开发位置和方法：内部部署或使用基于云的高可扩展应用安全平台 “Polaris Software Integrity Platform ™ (SaaS)”在云端部署。Coverity 支持 20 种语言以及 70 多个框架和模板。

提高对安全风险的可视性。跨产品报告使用流的SAST和SCA工具以及Synopsys托管服务来提供有关项目风险的更完整的整体视图。

部署灵活性。您可决定对哪些项目开展 AppSec测试:内部项目还是云端项目。

及早开展安全测试。编码期间,开发人员只需几秒钟便可获得高保真增量分析结果,从而能在集中编译测试阶段开始之前修复任何问题。

开发人员支持。您可为开发团队提供他们所需的全部上下文、详细信息和建议,以帮他们了解如何解决问题,从而快速、轻松、合理地修复软件缺陷。

特定于上下文的在线学习(供eLearning在线学习用户使用)。可针对开发者自有代码中发现的缺陷制作特定的通用缺陷列表(CWE),从而根据需要随时提供安全培训,无需开发人员成为安全专家。

01

快速准确的分析
02

全面的报告及合规可视性
03

企业级可扩展性和敏捷性
04

软件开发生命周期集成
05

全面的问题管理仪表板
06

标准合规与漏洞检测范围

快速准确的分析

借助Code Sight™ integrated development environment (IDE)插件，开发人员在编写代码时只需花费几秒钟时间便可在 IDE 上获取准确的分析结果。高保真增量分析在后台自动运行，且与完整中央分析使用相同的 Coverity 分析引擎，从而确保结果的一致性和准确性。
Coverity 可通过 IDE 为开发人员提供所需的全部信息，帮助他们了解如何修复已确定的问题 — 详细说明、类别、严重性、CWE 信息、缺陷位置、具体的补救指导和数据流跟踪等 — 同时提供问题分类和管理功能。
Coverity 的“无构建分析”允许安全团队独立评估软件中的安全问题，无需构建软件。安全人员只需指定项目位置，Coverity 便可自动识别、下载并分析所有必需的依赖。

全面的报告及合规可视性

Polaris 集成了 Synopsys 分析引擎，包括 Coverity 静态分析和 Black Duck® 软件成分分析工具以及 Synopsys 托管服务，从而可在软件开发生命周期（SDLC）的不同阶段就软件风险状况为企业提供整体视图。

安全团队可就整个应用组合获得有关风险状况的汇总信息。API 允许他们将结果导入至其他的风险报告工具。
您可逐类筛选已确定的漏洞、查看趋势报告、根据严重程度为漏洞修复分配优先级、同时跨越多个团队和项目来管理安全政策合规性（如 OWASP Top 10、CWE/SANS Top 25 和 PCI DSS）。
“问题变化”报告可显示不同时段的问题严重程度，并且即时为您提供项目安全状况信息。PDF 报告下载功能允许审计人员维护具体的合规记录。

企业级可扩展性和敏捷性

通过 Coverity on Polaris，企业无需安装并维护昂贵的本地设备，而是可以通过弹性地扩展软件应用安全测试来满足不断增长的业务需求。
如想安装 Polaris，您只需登录 URL、然后下载并安装命令行界面 (CLI) 即可。或者，您也可以通过 CI 工作流来运行 Polaris，以开始分析源代码。
由于 Coverity 分析引擎运行在高可用的云平台上，因此，Coverity on Polaris 可通过轻松扩展来容纳数以千计的开发者和项目，并可在不影响高性能和可用性的情况下处理数百万个问题。
Code Sight 插件无需配置，可从 Visual Studio、Eclipse、IntelliJ、WebStorm、 PyCharm 和 RubyMine 网站直接下载。

软件开发生命周期（SDLC）集成

Coverity 可与 IDE（如 Visual Studio、Eclipse、IntelliJ、RubyMine、Team Foundation Server 和 Android Studio）、源代码管理 (SCM) 解决方案、问题跟踪工具（如 Jira 和 Bugzilla）、CI 构建工具 (Jenkins) 以及应用生命周期管理解决方案 (ALM) 集成。
内置的 REST API 可用于支持其他的构建自动化解决方案，并将分析结果导入至其他的企业或自定义工具。
Coverity on Polaris 可以提供额外的插件与集成，允许您在开发和预部署阶段开展基于云的自动安全测试。
内置的 REST API 可用于将分析结果导入至安全和风险报告工具。如想了解更多信息，请参阅 Polaris 产品简介。

全面的问题管理仪表板

除了为基于 IDE 的本地开发提供 Code Sight 外，Coverity on Polaris 基于 Web 的统一平台界面还能针对已确定的问题提供详细说明、类别、严重性、CWE 信息、缺陷位置、具体的补救指导、数据流跟踪、以及集中式问题分类和详细历史记录等支持，从而帮助开发人员修复该等问题。
开发经理可通过创建“问题变化”趋势图来显示整体安全风险及行业标准合规情况（如 OWASP Top 10 和 CWE/SANS Top 25），同时指导每名开发人员或整个项目团队合理修复高优先级问题。
您可轻松查看描述“业界认可优先级列表”、“5 类最关键问题”和“技术风险指标”的报告仪表板，从而集中精力去解决对贵公司而言最为重要的问题并为其分配优先级。
预定义的过滤器允许您根据 CWE、标准分类法、优先级列表、风险指标、路径以及相关产品的开发负责人等参数对问题进行过滤和分组。

扩展了标准合规与漏洞检测范围

Coverity Extend 是一种易用的软件开发包 (SDK)，允许开发人员检测独有的缺陷类型。这个 SDK 是为编写程序分析器或检查器提供的一个框架，帮助他们识别自定义或特定领域的缺陷。Coverity CodeXM 是一种面向特定领域的函数式编程语言，使开发人员可以轻松地开发他们自己的自定义检查器。这些定制化检查器还有助于满足企业安全要求和行业标准或指导方针的合规要求。

Fuzz testing 模糊测试

概述

Defensics® 模糊测试产品是一款全面的、功能强大的自动化黑盒解决方案，能够帮助企业有效且高效地发现并修复软件中的安全脆弱点。通过采取系统化、智能化的负面测试（negative testing）方法，Defensics 可以帮助企业确保软件安全性，而不会影响产品创新、延误产品上市时间或增加运营成本。Defensics 的逻辑用户界面能够引导用户完成其流程中的每个步骤，使得先进的模糊测试变得易如反掌。

01

智能化模糊测试引擎
02

综合性的模糊测试解决方案
03

适合大多数开发生命周期
04

详细的、数据丰富的报告
05

灵活地扩展模糊测试

智能化模糊测试引擎

Defensics 引擎利用对输入类型的深入理解进行编程实现，无论这些输入类型是接口、协议还是文件格式。由于该引擎对输入类型中管理通信的规则有深入的理解，因此它可以生成有针对性的测试用例，充分利用相关输入类型固有的安全弱点。这种智能化、系统化的模糊测试方法允许您既能够缩短测试时间，又能够降低成本、保证安全性。

综合性的模糊测试解决方案

Defensics 提供 250 多种的基于规范生成的测试套件，可确保快速完成模糊测试，并减轻用户进行手动测试的负担。Defensics 不断针对新的输入类型、规范和 RFC 来更新测试套件。

通过微调消息序列用户可以自定义 Defensics 提供的任何测试套件。数据序列编辑器能够帮助用户覆盖 Defensics 预定义范围之外的非常规极端用例（corner case）。
需要更大的可扩展性？可以使用 Defensics 提供的各种模板模糊测试套件（fuzzer）。 Universal Data Fuzzer（通用数据模糊测试套件，一种文件格式模板模糊测试套件）和 Traffic Capture Fuzzer（流量采集模糊测试套件，一种针对协议的模板模糊测试套件）能够通过对用户提供的示例文件进行逆向工程来生成测试用例。
如何应对私有的或自定义的输入类型？用户可以利用 Defensics SDK 来编写自己的测试套件，该 SDK 支持 Java 和若干可选的传输层，并附带有连接检测功能。

适合大多数开发生命周期

Defensics 包含多种工作流程，这使得无论从技术角度，还是从流程角度都能够适应几乎任何环境。无论用户采用传统的 SDL 或是 CI 开发生命周期，Defensics 都可以帮助把模糊测试尽早集成到开发过程中，使用户能够更经济高效地捕获和修复漏洞。已经拥有一套非常规的开发生命周期？Synopsys 经验丰富的专业服务团队可以帮助用户确定模糊测试检查点、定义模糊测试指标并建立模糊测试成熟度计划。

这不仅仅涉及到适应开发流程；这也涉及到与外围技术相配合。API 和数据导出功能使得 Defensics 可以共享数据，以进行额外的报告和分析，从而让 Defensics 成为真正的即插即用模糊测试工具。

详细的、数据丰富的报告有助于进行有效的修复

上下文相关的日志。修复日志能够详细描述 Defensics 与被测系统（SUT）之间的协议路径和消息序列，以帮助用户发现每个漏洞的触发点和技术影响。
漏洞映射。Defensics 能够将每个漏洞映射为诸如 CWE 和注入类型等行业标准，以加强信息发现并加速修复工作。
问题重现。Defensics 能够将漏洞触发点的范围缩小至单一测试用例，用户可以重现相关问题并对修复进行验证。
修复包。为用户的软件供应商生成加密修复包，以便在供应链中开展安全、协作性的修复工作。

通过自动化灵活地扩展模糊测试

无论是扫描测试目标，还是确定待连接的层数，Defensics 都提供了丰富的 API，可以实现灵活、可扩展的自动化功能，以满足用户的所有需求：

测试单一设备
设置可重复的自动化过程，以确保每次都遵循测试计划
利用最新的可扩展虚拟化功能缩短测试时间