Microsoft покупает разработчика ПО для поиска уязвимостей

Корпорация Microsoft объявила о приобретении стартапа Semmle, который специализируется на создании инструментов, помогающих разработчикам анализировать код на наличие уязвимостей в программном обеспечении.

Microsoft совершила эту сделку (ее стоимость не названа), чтобы улучшить свой сервис для совместной разработки ИТ-проектов GitHub. Руководитель этого сервиса Нет Фридмен (Nat Friedman) назвал покупку Semmle "большим шагом в усилении цепочки поставок программного обеспечения с открытым исходным кодом".

По словам Фридмена, "революционный" механизм семантического анализа кода Semmle помог выявить тысячи уязвимостей "в некоторых из крупнейших кодовых баз в мире" и используется группами безопасности в Uber, NASA, Microsoft и Google.

"Исследователи безопасности используют Semmle для быстрого поиска уязвимостей в коде с помощью простых описательных запросов. Эти команды затем делятся своими запросами с сообществом Semmle, чтобы повысить безопасность кода в других кодовых базах", - отметил глава GitHub.

Стартап Semmle основан в 2006 году и с того момента привлек в общей сложности 31 млн долларов инвестиций. В 2018 году состоялся раунд финансирования, по итогам которого компания получила от инвесторов около 21 млн долларов.

В Semmle сравнивают свой инструмент с СУБД - у него даже есть свой язык запросов. В СУБД запросы помогают найти среди огромного количества данных нужный кусочек информации. В платформе Semmle они помогают найти в огромной кодовой базе типичные ошибки, которые в будущем могли бы перерасти в уязвимости.

Инструмент опознает различные вариации одной и той же ошибки и ликвидирует целый класс, то есть он гораздо более эффективен, находит больше проблем и выдает меньше ложных срабатываний, утверждают в Semmle.

В некоторых софтверных компаниях нет исследователей кибербезопасности, а у самих разработчиков, как правило, нет должных навыков для выявления уязвимостей. Semmle является платформой, которая позволяет автоматизировать большую часть таких процессов и упростить поиск ошибок.

Фридмен написал в блоге о том, что команда Semmle, в которую входят инженеры и исследователи безопасности, присоединяется к GitHub в рамках сделки. Платформа Semmle будет доступна для всех сообществ Open Source и всех клиентов GitHub.

Между тем, сервис GitHub завершил сертификацию в качестве CVE Numbering Authority, то есть теперь компания сможет самостоятельно присваивать уязвимостям идентификаторы CVE. Полномочия GitHub будут распространяться только на проекты с открытым исходным кодом, размещенные на платформе.



Источник: DailyComm