微软收购Semmle GitHub成CVE编号授权机构

阅读量    84033 |   稿费 40

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

微软子公司18日宣布完成代码分析平台Semmle的收购工作,正式成为CVE编号授权机构。

Semmle是牛津大学分离出的一家子公司,2018年8月获得2100万美元B轮融资,融资后,Semmle的融资总额将达到3100万美元。

Semmle的分析引擎QL可以在大量的代码库中找出相同编码错误的变种,即可以更快地发现安全漏洞。

 

GitHub改善漏洞扫描进程

GitHub计划将Semmle技术添加到现有服务中,并改善代码开发和漏洞公布过程。Semmle以源码为数据,可以比原有代码分析方法更快的识别完整的漏洞类。目前谷歌、Uber、微软、NASA等大型公司和机构都在使用该产品。

GitHub产品SVP称,安全研究人员可以用QL查询来找出漏洞和其变种。查询还可以在多个代码库之间运行和共享,可以让安全研究人员找出更多的漏洞和一些新的漏洞。

GitHub计划将Semmle融入到现有服务中,并向平台的3600万开发者提供在产品发布前检查代码安全漏洞的能力。但该计划仍然处于早期。

 

漏洞提交、追踪和修复更容易

从即日起, GitHub将正式成为CVE编号授权机构(CNA),也就是说GitHub可以为漏洞分配CVE编号了。

平台的安全公告追踪起来更容易,安全研究人员、开发人员和维护人员也可以更好地协作来修复安全漏洞。

GitHub已经对提交的漏洞在发布安全告警前进行分类,确认影响和受影响的用户。
对开发者来说,有了自动依赖更新的Dependabot服务(自动安全修复特征)后,依赖库(Ruby, Python, JavaScript, PHP, .NET, Go, Elixir, Rust, Java, Elm) 的漏洞修复将自动完成,无需手动修复。

GitHub称通过这些变化将为平台的开发者提供发现漏洞的基础服务,使漏洞追踪、自动化依赖库漏洞修复更加快速。

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多