Checkmarx

Checkmarx One是Checkmarx公司推出的一站式应用安全测试（AST）平台，旨在为企业提供覆盖软件开发生命周期（SDLC）全流程的自动化安全测试能力，帮助团队在开发早期识别并修复安全漏洞，实现DevSecOps落地，保障应用从代码到生产环境的全链路安全。该平台并非单一工具的堆砌，而是通过统一架构整合静态、动态、交互式、成分分析等多种安全测试技术，消除工具孤岛，简化安全测试流程，降低团队协作成本。

一、核心定位与整体架构

Checkmarx One的核心理念是“统一、集成、自动化”，其核心定位可概括为三点：

• 全流程覆盖：从代码编写（IDE插件）、构建（CI/CD集成）、测试（IAST/DAST）到生产（容器/云安全），覆盖SDLC每个阶段，实现“左移安全”与“右移防护”的结合。
• 多引擎协同：通过SAST、SCA、IAST、DAST等引擎的协同工作，降低误报率，提升漏洞检测的准确性和全面性。
• DevSecOps友好：设计理念贴合DevOps流程，支持自动化扫描、增量扫描，不影响开发效率，帮助企业无缝融入安全实践。

平台的逻辑架构分为以下五层：

1. 统一平台层：提供统一的控制台、仪表盘、策略管理、漏洞管理和报告系统，用户可在单一界面完成所有安全测试操作。
2. 多引擎层：包含SAST（静态应用安全测试）、SCA（软件成分分析）、IAST（交互式应用安全测试）、DAST（动态应用安全测试）、API安全、容器安全等核心引擎，负责具体的漏洞检测任务。
3. 集成层：对接主流开发工具（IDE、代码仓库）、CI/CD工具、项目管理工具和安全工具，实现安全流程与开发流程的无缝融合。
4. 数据层：存储漏洞数据、扫描结果、组件信息、合规报告等，支持多维度分析和可视化展示。
5. 扩展层：提供开放API、自定义规则引擎和插件体系，允许用户根据业务需求扩展平台功能。

二、核心功能模块详解

1. 静态应用安全测试（SAST）模块

SAST模块通过分析源代码、字节码或二进制文件，在编译前识别潜在的安全漏洞，是“左移安全”的核心工具。

• 语言与框架支持：覆盖Java、Python、JavaScript、C#、Go、PHP、Ruby、Swift、Kotlin等30+主流编程语言，以及Spring Boot、React、Angular、Node.js、Django、Flask等200+框架，适应多样化的技术栈。
• 深度代码分析：基于抽象语法树（AST）、数据流分析、控制流分析和污点分析，识别复杂的逻辑漏洞，如SQL注入、XSS（跨站脚本）、路径遍历、命令注入、认证绕过、权限提升、敏感数据泄露等。
• 误报率优化：通过机器学习算法（如监督学习、无监督学习）和自定义规则引擎，对扫描结果进行过滤和优先级排序，误报率可降低至5%以下。
• 增量扫描：基于Git commit hash或分支差异，仅扫描变更代码，缩短扫描时间（相比全量扫描提升80%效率），适配CI/CD快速迭代流程。
• 合规支持：内置OWASP Top 10、CWE（常见弱点枚举）、PCI DSS、GDPR、HIPAA、ISO 27001等合规标准的检测规则，自动生成合规报告，简化审计流程。
• IDE插件集成：提供VS Code、IntelliJ IDEA、Eclipse等主流IDE的插件，开发人员在编写代码时可实时发现漏洞，并获得修复建议（如代码片段、最佳实践），提升开发效率。

2. 软件成分分析（SCA）模块

SCA模块自动识别应用中的开源组件（直接/间接依赖），检测漏洞、许可证合规风险，是开源风险管理的核心工具。

• 组件识别能力：支持Maven、npm、NuGet、PyPI、Gradle、Composer等20+包管理工具，识别超过200万种开源组件，包括直接依赖和间接依赖（递归分析依赖树）。
• 漏洞库实时更新：整合NVD、CVE Details、GitHub Advisory、OSS Index、Checkmarx Threat Intelligence等全球漏洞数据库，每天更新1000+新漏洞，及时检测新型威胁（如Log4j、Spring4Shell）。
• 许可证合规管理：识别开源组件的许可证类型（如MIT、GPL、Apache、BSD、LGPL），检测许可证冲突（如GPL组件与商业软件的混合使用），提供合规建议（如替换组件、获取授权）。
• SBOM生成与管理：支持生成CycloneDX 1.4、SPDX 2.3等标准的软件物料清单（SBOM），跟踪组件版本变更，满足供应链安全合规要求（如US Executive Order 14028）。
• 依赖链可视化：通过图形化界面展示组件依赖关系，帮助快速定位漏洞根源组件（如A→B→C中的C组件存在漏洞，可直接查看A和B的依赖路径）。
• 修复建议：针对发现的漏洞，提供版本升级建议（如从v1.2.3升级到v1.4.5）、补丁链接或替代组件推荐，简化修复流程。

3. 交互式应用安全测试（IAST）模块

IAST模块在应用运行时（测试/预生产环境）监控代码执行路径，结合静态分析和动态数据，识别动态漏洞，是“左移安全”与“右移防护”的桥梁。

• 实时检测能力：监控应用运行时的请求/响应、数据库操作、文件系统访问等行为，识别SQL注入、XSS、命令注入、路径遍历、认证绕过等动态漏洞。
• 低误报率：通过静态分析（代码结构）和动态数据（执行路径）的结合，误报率可降低至3%以下，提升结果可信度。
• 无侵入式部署：支持三种部署方式：①代理模式（HTTP/HTTPS代理，无需修改应用）；②字节码注入（JVM/.NET CLR，自动注入监控代码）；③容器侧载（K8s环境中，通过Sidecar容器部署），适应不同环境需求。
• 功能测试联动：与Selenium、JUnit、TestNG、Cypress等功能测试工具集成，在功能测试过程中自动进行安全测试，无需额外编写安全测试用例。
• 漏洞上下文信息：提供漏洞发生的具体请求参数（如SQL注入的恶意payload）、代码行号、堆栈跟踪、影响范围（如敏感数据泄露的字段）等详细信息，帮助开发人员快速定位并修复漏洞。
• 性能影响小：监控 overhead 低于5%，不影响应用的正常运行（如响应时间、吞吐量）。

4. 动态应用安全测试（DAST）模块

DAST模块模拟攻击者行为，对运行中的应用进行黑盒测试，识别生产环境中的漏洞，是“右移防护”的核心工具。

• 黑盒扫描能力：无需访问源代码，通过发送HTTP/HTTPS请求模拟攻击者行为，识别未授权访问、敏感信息泄露、跨站请求伪造（CSRF）、会话固定等漏洞。
• 自动化扫描：支持定时扫描（如每天凌晨扫描预生产环境）、触发式扫描（如CI/CD pipeline触发、代码提交触发），适配DevOps流程。
• 多协议支持：覆盖HTTP/HTTPS、WebSocket、REST API、SOAP API等协议，适应多样化的应用类型。
• 智能爬虫：采用基于机器学习的智能爬虫，自动发现应用页面、功能点和隐藏路径（如AJAX加载的内容、动态生成的URL），扫描覆盖率可达90%以上，支持单页应用（SPA）如React、Vue.js。
• 漏洞验证：自动验证发现的漏洞是否可被利用（如发送恶意payload并检查响应），减少假阳性结果，提升修复优先级。
• 自定义测试用例：允许用户上传自定义测试用例（如特定的API请求、表单数据），提升扫描的针对性。

5. API安全测试模块

API安全模块专注于检测API层的漏洞，是现代应用（如微服务、移动应用）安全防护的核心工具。

• 多类型API支持：覆盖REST API、GraphQL API、SOAP API、gRPC API、WebSocket API等主流API类型，适应微服务架构的需求。
• 契约驱动测试：基于OpenAPI 3.0/2.0（Swagger）、GraphQL Schema、WSDL等契约文件，自动生成测试用例，减少手动编写成本。
• 注入攻击检测：识别SQL注入、NoSQL注入、命令注入、XML外部实体（XXE）注入等API层漏洞。
• 认证与授权测试：检测API的认证机制缺陷（如弱口令、令牌泄露、JWT签名绕过）和授权绕过问题（如普通用户访问管理员API）。
• 数据泄露检测：识别API响应中的敏感信息泄露（如身份证号、银行卡号、手机号），符合GDPR、HIPAA等合规要求。
• 性能与安全结合：在测试API性能（如响应时间、吞吐量）的同时，检测安全漏洞，提升测试效率。

6. 容器与云原生安全模块

容器与云原生安全模块专注于检测容器、Kubernetes集群和云服务的安全风险，是云原生应用安全防护的核心工具。

• 容器镜像扫描：检测Docker镜像中的漏洞（操作系统层如Ubuntu/CentOS漏洞、应用层如Java/Python组件漏洞）、恶意软件（如木马、病毒）、配置错误（如root用户运行容器、敏感文件暴露）。
• Kubernetes安全：扫描K8s集群的配置漏洞（如Pod安全策略缺失、RBAC权限过大、Secret未加密）、Pod漏洞（如容器镜像漏洞）、服务暴露风险（如NodePort暴露敏感服务）。
• 云服务配置检查：支持AWS、Azure、GCP等主流云平台，检测云服务的配置合规性（如S3桶公开访问、IAM策略过宽、RDS未加密），符合CIS Benchmarks、PCI DSS等标准。
• 镜像签名验证：支持Docker Content Trust（DCT）、Sigstore等镜像签名机制，确保镜像来源可信，防止供应链攻击（如恶意镜像注入）。
• 云原生CI/CD集成：与Kubernetes、Docker Compose、Helm等云原生工具集成，在镜像构建、部署阶段自动扫描漏洞，阻止不安全的镜像进入生产环境。

7. 软件供应链安全模块

软件供应链安全模块专注于检测供应链中的恶意组件、配置漏洞，是应对供应链攻击（如SolarWinds、Log4j）的核心工具。

• SBOM全生命周期管理：生成、存储、分析SBOM，跟踪组件版本变更，识别供应链中的新增漏洞（如组件升级后引入的新漏洞）。
• 供应链漏洞追踪：实时监控全球供应链威胁（如Checkmarx Threat Intelligence），快速响应新型供应链攻击（如恶意开源组件、构建环境污染）。
• 构建环境安全：扫描CI/CD pipeline中的配置漏洞（如未加密的密钥、令牌泄露）、敏感信息泄露（如代码中的API密钥）、恶意构建脚本（如注入恶意代码）。
• 第三方组件风险评估：对第三方供应商提供的软件进行安全评估，生成风险报告（如漏洞数量、许可证合规情况），帮助企业选择可信的供应商。
• 供应链合规支持：满足US Executive Order 14028、EU Cyber Resilience Act等供应链安全合规要求，自动生成供应链安全报告。

8. 安全编排与自动化响应（SOAR）模块

SOAR模块自动化漏洞修复流程，是DevSecOps落地的核心工具。

• 自动化工作流：基于预定义规则，自动触发漏洞修复流程（如当SAST扫描发现高危漏洞时，自动阻止CI/CD pipeline，并创建Jira工单给对应的开发人员）。
• 工具集成：对接Jenkins、GitLab CI、GitHub Actions、Azure DevOps等CI/CD工具，实现安全测试与开发流程的无缝融合；对接Jira、Confluence等项目管理工具，实现漏洞跟踪与协作。
• 漏洞优先级排序：基于CVSS评分、业务影响（如是否影响核心功能）、漏洞可利用性（如是否有公开的Exploit），自动排序漏洞修复优先级，帮助团队聚焦高风险漏洞。
• 合规报告生成：自动生成符合PCI DSS、GDPR、HIPAA、ISO 27001等合规要求的报告，包括漏洞数量、修复率、合规状态等指标，简化审计流程。
• 自定义规则引擎：允许用户根据业务需求自定义工作流规则（如“高危漏洞必须在24小时内修复”），提升流程的灵活性。

三、技术特点与优势

• 全流程覆盖：从代码编写到生产环境，覆盖SDLC每个阶段，实现“左移安全”与“右移防护”的结合，降低漏洞修复成本（早期修复成本仅为生产阶段的1/10）。
• 低误报率：通过多引擎协同（SAST+IAST+SCA）和机器学习算法，误报率可降低至3%以下，提升漏洞检测的准确性。
• 高度集成：支持与500+主流开发工具、CI/CD工具、项目管理工具和安全工具集成，实现安全流程与开发流程的无缝融合。
• 企业级可扩展性：支持多租户架构，可部署在本地、云端（AWS/Azure/GCP）或混合环境，满足大型企业的规模化需求（如同时扫描1000+项目）。
• 多语言多框架支持：覆盖30+编程语言和200+框架，适应多样化的技术栈，无需更换工具。
• 实时威胁情报：整合全球最新的漏洞情报，及时检测新型漏洞（如零日漏洞），帮助企业快速响应威胁。
• 自定义规则引擎：允许用户根据业务需求自定义扫描规则、工作流规则，提升测试针对性和流程灵活性。
• 用户友好的界面：提供直观的仪表盘、图形化报告、漏洞详情页面，降低用户学习成本，提升工作效率。

四、典型应用场景

• 金融行业应用安全合规：金融机构需要符合PCI DSS、GDPR等严格合规要求。Checkmarx One通过SAST扫描代码中的敏感数据泄露风险，SCA确保开源组件合规，IAST/DAST检测生产环境漏洞，生成合规报告，帮助金融机构通过审计。例如，某银行使用Checkmarx One扫描核心业务系统，发现并修复了100+高危漏洞，顺利通过PCI DSS审计。
• 电商平台API安全防护：电商平台依赖大量API对外提供服务，容易遭受注入攻击、授权绕过等威胁。Checkmarx的API安全模块自动扫描API漏洞，结合IAST实时监控API调用，快速识别并修复安全问题，保障用户数据安全和交易稳定。例如，某电商平台使用Checkmarx API安全模块，发现并修复了50+API漏洞，减少了用户数据泄露风险。
• 医疗行业隐私数据保护：医疗应用需要保护患者隐私数据（如HIPAA合规）。Checkmarx One通过SAST检测代码中的隐私数据处理漏洞，SCA确保开源组件不泄露敏感信息，IAST监控应用运行时的数据流向，防止数据泄露。例如，某医院使用Checkmarx One扫描电子病历系统，发现并修复了30+隐私数据泄露漏洞，符合HIPAA合规要求。
• 企业DevSecOps转型：企业希望将安全融入DevOps流程，Checkmarx One提供IDE插件让开发人员在编写代码时实时发现漏洞，与CI/CD集成实现自动化扫描，安全编排模块自动触发修复流程，帮助企业实现DevSecOps落地。例如，某科技公司使用Checkmarx One，将安全扫描融入CI/CD pipeline，漏洞修复率提升了60%，修复时间缩短了50%。
• 开源组件风险管理：企业大量使用开源组件，面临漏洞和许可证合规风险。Checkmarx SCA模块自动识别开源组件，检测漏洞并提供修复建议，管理许可证合规，生成SBOM，帮助企业有效管理开源风险。例如，某软件公司使用Checkmarx SCA模块，识别了200+开源组件，修复了50+高危漏洞，避免了许可证合规风险。
• 软件供应链安全保障：供应链攻击日益增多，Checkmarx供应链安全模块生成SBOM，跟踪组件变更，扫描第三方组件和构建环境，识别恶意组件，保障软件供应链安全。例如，某制造企业使用Checkmarx供应链安全模块，发现并替换了10+恶意开源组件，防止了供应链攻击。

总结

Checkmarx One作为一站式应用安全测试平台，通过整合多种安全测试技术，覆盖SDLC全流程，帮助企业在开发早期发现并修复漏洞，降低修复成本，提升应用安全水平，同时满足合规要求。其高度集成的特性和DevSecOps友好的设计，使得安全能够无缝融入开发流程，不影响开发效率。无论是金融、电商、医疗还是通用企业，Checkmarx One都能提供针对性的安全解决方案，助力企业构建安全可靠的应用系统。

点击链接，了解更多产品详情：

登录后查看

https://checkmarx.com/" rel="noopener noreferrer" target="_blank" style="color: rgb(230, 0, 0, null, null, null, null, null, 9, null, 0, 0, null, 0, null, 0, null, 0, 0, null, 0);">https://checkmarx.com/