一、业务介绍
源代码安全审计是依据CVE(Common Vulnerabilities & Exposures)公共漏洞字典表、OWASP十大Web漏洞（Open Web Application Security Project），以及设备、软件厂商公布的漏洞库，结合专业源代码扫描工具对各种程序语言编写的源代码进行安全审计。能够为客户提供包括安全编码规范咨询、源代码安全现状测评、定位源代码中存在的安全漏洞、分析漏洞风险、给出修改建议等一系列服务。
二、服务背景
网络安全问题时刻都有新的变化，新的攻击方法层出不穷，黑客攻击的方向越来越侧重于利用软件本身的安全漏洞，例如SQL注入漏洞、跨站脚本漏洞、CSRF漏洞等，这些漏洞主要由不良的软件架构和不安全的编码产生。
开展源代码安全审计能够降低源代码出现的安全漏洞，构建安全的代码，提高源代码的可靠性，提高应用系统自身安全防护能力。源代码安全审计能够帮助开发人员提高源代码的质量，从底层保障应用系统本身的安全，从早期降低应用系统的开发成本。
三、服务内容
1.安全编码规范及规则咨询
在软件编码之前，利用测评中心丰富的安全测试经验，为系统开发人员提供安全编码规范、规则的咨询和建议，提前避免不安全的编码方式，提高源代码自身的安全性。
2.源代码安全现状测评
针对系统开发过程中的编码阶段、测试阶段、交付验收阶段、对各阶段系统源代码进行安全审计检测，利用数据流分析引擎、语义分析引擎、控制流分析引擎等技术，采用专业的源代码安全审计工具对源代码安全问题进行分析和检测并验证，从而对源代码安全漏洞进行定级，给出安全漏洞分析报告等，帮助软件开发的管理人员统计和分析当前阶段软件安全的风险、趋势，跟踪和定位软件安全漏洞，提供软件安全质量方面的真实状态信息。
3.源代码整改咨询
依据源代码安全测评结果，对源代码安全漏洞进行人工审计，并依据安全漏洞问题给出相应修改建议，协助系统开发人员对源代码进行修改。
源代码安全审计服务流程
四、典型案例
中国储备粮管理总公司业务管理系统
人民网Twitter系统
中国烟草机械集团常德烟机ERP系统
中国烟草机械集团上海烟机供方信息管理平台
中国烟草机械集团许昌烟机ERP系统
北京市财政局金财工程应用支撑平台
北京市财政局企业财务会计信息网络管理系统
华侨银行企业网上银行系统
华侨银行ATM系统
四川日报招标比选网络平台
海淀志愿者管理信息系统
新疆喀什市土地交易信息化平台