华克斯信息-sonarqube安全审计

sonarsource

使用 sonarqube 的更广泛的影响和机会

除了扫描之外， 一些组织看到的一个有趣的结果是， 个人

开始对 sonarqube 提供的信息采取行动， 以改变和---其

关于代码创建的行为。一些团队已经开始参与--

甚至兴奋-关于去和检查的因素， 如测试代码覆盖率， 并已能够

---提高。董事们使用了 sonarqube 的有关规则---的信息

教育团队如何改变---习惯以改进代码的创建。所以一个关键的结果

sonarqube 在这些组织使用的机会， 鼓励，sonarqube安全审计， 甚至推动

正确的行为。

一些组织通过强制将度量与构建集成在一起来帮助实现

和释放过程。这意味着必须满足某些标准， 以允许生成和

发布过程向前迈进。虽然你不能---人们普遍看待---的结果，

当项目截止时间和软件发布日期出现下滑时， 有机会使用

具有特定数据点和基准的工程经理了解

以前的工作。(组织这样做是明智的， 他们在制定的标准

停止生成和发布过程。

总的来说， 一个实实在在的好处是测试覆盖率翻了一番， 一些测试

使用 sonarqube 的组件团队。一些组织已经观察到测试团队的覆盖率

单元测试的4-5 时间的增加， 以及那些的和严谨的改进

使用 sonarqube 完成单元测试。这反过来又有助于驱动精que的基准

团队的进步伴随着更高的代码的交付。

简而言之， sonarqube 可以为基本代码分析提供一个单一的点， 其中用户来自

开发人员可以去看看他们需要知道什么来帮助提高代码，

可能与代码评审工具集成， 以便在仪表板中包含代码评审指标。

sonarqube 的挑战

sonarsource 的关键挑战之一是让企业相信---率的好处

实现和使用代码分析解决方案。在这方面的问题的一部分是， 它的

在许多公司的时候， 组织要理解长期利益是有挑战性的

正在寻求快速的、迭代的部署。因此， 重要的是要了解长期利益

在代码的有效期内， 而不仅仅是短期的优势 (这是

在他们自己的方式显着， 但不是战略)。产品的演变， 以解决功能

诸如影响分析和跨平台分析等功能也是

sonarsource 需要集中， 根据客户。与代码---工具的集成也

被提及作为未来焦点的区域。

sonarsource 的小规模可能是企业部署决策采用的一个障碍。但是，

事实上， 基本产品是开源的， 通常跳转开始采用的初始使用， 并

也为企业使用商业产品提供了一些---。企业

在的部署中显示采用 sonarqube 的客户也有助于

让那些---产品组合的能力被广泛采用的人打消疑虑。

sonarsource关键挑战代码管理

按设计， 按规定的时间间隔， 不间断地进行准时审核。这种代码的方法管理有四主要类型的缺点， 这将在本节详述。

太少， 太迟准时审计确定了两种改进: 化妆品和结构变化。而外观更改需要稍加修改， 结构更改可能包括主要软件设计.虽然可能需要进行此类更改， 但由准时审核产生的行动计划在过程中定义得太晚， 无法做任何事情， 但会打乱开发周期;无论是软件发布日期需要扩展， 以包括软件重新设计， 或更糟糕的软件将被推送到不达标的生产， 因此降低了可维护性和适应性， 当新的业务需求出现。

来自开发团队的推回组织内部的过程显然缺乏所有权。审计员不能自己的过程， 因为他们既不拥有代码也不控制问题解决。同样，模型的命令和控制特性阻止开发团队拥有过程，sonarqube安全审计， 因为它没有参与---。因此，sonarqube安全审计， 您有两个断开的组这些都是的责任， 而不是他们的责任。开发人员倾向于从准时审核中产生的行动计划， 因为他们:√是在团队之外生成的， 在日常工作中被视为一种新的约束√是主观的;调查结果依赖于---的判断， 而非客观措施√小的背景和历史信息， 因此被视为无关√因正在进行的更改而失效， 并很快变得过时√不要让和其他利益相关者参与审核和审核过程√介入的过程太晚;在审核功能时， 开发人员需要 重新学习用于解决查找的代码

缺少过程所有权

组织内部的过程显然缺乏所有权。审计员不能自己的过程， 因为他们既不拥有代码也不控制问题解决。同样，模型的命令和控制特性阻止开发团队拥有过程， 因为它没有参与---。因此， 您有两个断开的组这些都是的责任， 而不是他们的责任。

异构需求衡量软件绝dui价值的传统方法， 如问题总数在门中发现，西南sonarqube安全审计， 强制评估人员对不同的应用程序进行测量要求取决于其来源。例如， ---项目可能不会保持在相同的高度一个绿地项目的标准， 和 in-house 的发展可能被判断不同于外包代码。这是由于您仍然需要允许软件运送到生产， 并要求每个项目达到相同的绝dui价值的阈值之前释放通常是不切实际的。使用这些绝dui值， 几乎不可能解决共同的对所有应用程序的要求， 因此很难在整个委yuan会中采用---的做法。