测评背景

随着数字技术的进步，网络安全行业日益发展，企业对于DevSecOps的应用和落地的需求日益增加，静态源代码安全扫描工具已成为其中的关键产品或工具。同时，在代码安全审计或检测过程中，也需要选择一款合适的、好用的代码安全扫描工具作为人工辅助。

2023年5月30日，OWASP中国基于目前行业内的相关调研报告以及行业共识，发布了《静态源代码安全扫描工具测评基准》v2.0版本，对于静态源代码安全扫描工具的测评基准进行了升级，基准涵盖部署环境、安全扫描、漏洞检测、源码支持、扩展集成、产品交互以及报告输出七个维度。

在基准发布的基础上，【网安基地供应链安全检测中心】联合【武汉金银湖实验室】邀请国内各静态源代码安全扫描产品或工具的厂商开展了“静态源代码安全扫描工具测评活动”。

本次测评经过前期准备、宣传、厂商征集、产品沟通、产品测评、报告编写等环节，历时四个多月，共有六款产品参与测评，其中国内厂商的测评结果和报告已单独和厂商沟通，测评详情不对外发布。

经过严格的测评程序，现公布测评对比结果如下（其中一款产品的测评结果按照厂商要求不参与对比结果发布）。

参与厂商

（按拼音首字母排序，排名不分先后）

测评详情

基准测评项：

部署环境、安全扫描、漏洞检测、源码支持、扩展集成、产品交互、报告输出

部署环境：

处理器：Inter(R) Core(TM) i5-7200U

内存：16 GB

硬盘：500 GB

测评结果

本次测评从七个维度对产品进行测评，根据测评详情描述，测评结果分为：满足、部分满足和不满足。

- Checkmarx -

从七个维度进行测评，结论为：

部署环境：共2个分项，全部满足

安全扫描：共14个分项，其中9个满足，5个不满足

漏洞检测：共3个分项，全部满足

源码支持：共2个分项，其中1个满足，1个部分满足

扩展集成：共3个分项，全部满足

产品交互：共3个分项，全部满足

报告输出：共1个分项，全部满足

总计：满足22个，部分满足1个；不满足5个

- Fortify -

从七个维度进行测评，结论为：

部署环境：共2个分项，全部满足

安全扫描：共14个分项，其中8个满足，6个不满足

漏洞检测：共3个分项，全部满足

源码支持：共2个分项，其中1个满足，1个部分满足

扩展集成：共3个分项，全部满足

产品交互：共3个分项，全部满足

报告输出：共1个分项，全部满足

总计：满足21个，部分满足1个；不满足6个

- SonarQube -

从七个维度进行测评，结论为：

部署环境：共2个分项，全部满足

安全扫描：共14个分项，其中7个满足，1个部分满足，6个不满足

漏洞检测：共3个分项，其中2个满足，1个不满足

源码支持：共2个分项，其中1个满足，1个部分满足

扩展集成：共3个分项，其中2个满足，1个不满足

产品交互：共3个分项，全部满足

报告输出：共1个分项，1个不满足

总计：满足17个，部分满足2个；不满足9个

- CodeSec -

从七个维度进行测评，结论为：

部署环境：共2个分项，全部满足

安全扫描：共14个分项，其中9个满足，5个不满足

漏洞检测：共3个分项，全部满足

源码支持：共2个分项，全部满足

扩展集成：共3个分项，全部满足

产品交互：共3个分项，全部满足

报告输出：共1个分项，全部满足

总计：满足23个，部分满足0个；不满足5个

- Xcheck -

从七个维度进行测评，结论为：

部署环境：共2个分项，全部满足

安全扫描：共14个分项，其中9个满足，5个不满足

漏洞检测：共3个分项，全部满足

源码支持：共2个分项，其中1个满足，1个部分满足

扩展集成：共3个分项，全部满足

产品交互：共3个分项，全部满足

报告输出：共1个分项，其中1个部分满足

总计：满足21个，部分满足2个；不满足5个

总结

在部署环境方面，所有5个产品均满足了全部要求。

在安全扫描方面，CheckMarx、CodeSec和Xcheck表现最佳，满足了14个分项中的9个；Fortify满足了8个；SonarQube满足了7个，部分满足1个。

在漏洞检测方面，CheckMarx、Fortify、CodeSec和Xcheck均满足了全部3个分项的要求，而SonarQube只满足了2个。

在源码支持方面，CheckMarx部分满足，Fortify和SonarQube各满足1个和部分满足1个，而CodeSec完全满足，Xcheck满足1个，部分满足1个。

在扩展集成方面，CheckMarx、Fortify、CodeSec和Xcheck均完全满足了全部3个分项的要求，但SonarQube只满足了2个。

在产品交互方面，所有5个产品均满足了全部3个分项的要求。

在报告输出方面，CheckMarx、Fortify和CodeSec均满足了唯一的1个分项，SonarQube没有满足，而Xcheck部分满足。

综上可见，国内外产品在部署环境和产品交互等基础方面无明显差距，但在关键的安全扫描、漏洞检测、源码支持、扩展集成和报告输出等核心功能上，国内产品CodeSec和Xcheck有领先优势。其中，CodeSec产品在源码支持和报告输出两个维度上表现最为突出，Xcheck产品的整体功能和表现也较为均衡。相比之下，国外产品SonarQube在多个维度上有所欠缺，与其他产品存在一定差距。

总的来说，国内代码安全审计产品与国外同类产品平分秋色，在部分领域甚至略有领先。

作者：INSBUG

2024年3月11日 

洞源实验室