GitHub เปิดให้ใช้ CodeQL ได้ฟรี รองรับการวิเคราะห์และหาช่องโหว่บน Source Code

หลังจากที่ GitHub ประกาศเข้าซื้อกิจการของ Semmle ไปเมื่อเดือนกันยายน 2019 ที่ผ่านมา ตอนนี้ทาง GitHub ก็ได้ประกาศนำ CodeQL ซึ่งเป็นเทคโนโลยีของ Semmle ออกมาให้บริการฟรีสำหรับทำการวิเคราะห์ Open Source Code ได้แล้ว

Credit: LGTM.com

CodeQL นี้จะทำการเข้าถึงข้อมูล Source Code โดยมอง Source Code เป็นข้อมูล ทำให้นักพัฒนาสามารถเขียน CodeQL Query เพื่อค้นหาช่องโหว่บน Source Code และทำการแบ่งปัน Query นั้นๆ กับนักพัฒนารายอื่นๆ ได้ ทำให้การค้นหาช่องโหว่รูปแบบที่คล้ายคลึงกันบน Source Code เป็นไปได้ง่ายยิ่งขึ้น โดยปัจจุบัน CodeQL มีความสามารถดังนี้

  • มี Library สำหรับการทำ Control & Data Flow Analysis, Taint Tracking, Threat Model Exploration
  • รองรับภาษา C/C++, C#, Java, JavaScript, Python และอื่นๆ แต่ยังไม่รองรับภาษา Rust
  • มี Plug-ins สำหรับ IDE
  • มีหน้า LGTM Query Console สำหรับใช้เขียน CodeQL ใน Browser และทำการ Query ค้นหาช่องโหว่ได้ทันที

ผู้ที่สนใจสามารถลองใช้งาน LGTM Query Console ได้ที่ https://lgtm.com/query?__hstc=70225743.32aac869b3fceb0209c67d81500b2cbc.1573843371765.1573843371765.1573843371765.1&__hssc=70225743.1.1573843371765&__hsfp=3016969766 และศึกษาข้อมูลเพิ่มเติมได้ที่ https://lgtm.com/

ที่มา: https://www.infoworld.com/article/3453742/github-makes-codeql-free-for-research-and-open-source.html



About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

เผยกลเม็ด Phishing ใหม่ของคนร้ายกับบริการ Citibank

MalwareHunter ได้เปิดเผยมุขใหม่ของคนร้ายที่ทำ Phishing หวังเล่นงานเหยื่อที่ใช้บริการของ Citibank ดังนั้นเป็นหน้าที่ของเราที่ต้องติดตามพฤติกรรมเช่นนี้ให้ไม่ตกเป็นเหยื่อครับ

นักวิจัยตั้ง Honeypot จำลองระบบในอุตสาหกรรมเพื่อศึกษาการโจมตีจริง

ทีมนักวิจัยด้านความมั่นคงปลอดภัยจาก Trend Micro ได้ตั้ง Honeypot ปลอมเป็นองค์กรภาคอุตสาหกรรมที่ใช้ระบบ เช่น ICS, PLC และอื่นๆ โดยผลลัพธ์ชี้ว่าผู้ดูแลระบบมีความเสี่ยงจากคนร้ายทั่วไปที่หวังผลทางการเงินมากกว่ากลุ่มแฮ็กเกอร์ระดับชาติ