代碼審計就是通過閱讀源代碼，從中找出程序源代碼中存在的缺陷或安全隱患，提前發現并解決風險，這在甲方的SDL建設中是很重要的一環。而在滲透測試中，可以通過代碼審計挖掘程序漏洞，快速利用漏洞進行攻擊達成目標。常用的審計工具Snyk、SeayPHP、CodeXploiter、Code-audit、FortifySCA、SonarQube等。哨兵科技可以為電力、金融、通信、醫療、汽車等關鍵行業，無論是政fu部門或企業，提供定制化的代碼審計服務以及其他各類軟件測試服務。代碼審計服務內容還包含了回歸測試，在初次審計結束后我們需要配合承建方整改，將高中危代碼重新規范編寫。成都靜態代碼分析

測試報告:1)總結(如測試了什么、結論如何等等)2)測試計劃、測試用例的變化;3)評估版本信息;4)結果總結(度量、計數);5)測試項通過/未通過準則的評估;6)活動的總結(資源的使用、效率等);7)審批那么測試總結中很關鍵的是什么呢?主要的就是測試結果及缺陷分析。這部分主要是用圖表來展現，比如所有bug的狀態圖、bug的嚴重程度狀態。1)測試項目名稱2)實測結果與預期結果的比較3)發現的問題4)缺陷發現率=缺陷總數/執行測試用例數5)用例密度=缺陷總數/測試用例總數x100%6)缺陷密度=缺陷總數/功能點總數7)測試達到的效果成都代碼安全檢測程序的安全性是否有保障很大程度上取決于程序代碼的質量，而保證代碼質量快捷有效的手段就是源代碼審計。

單次代碼審計是指一次性為客戶的被審計系統開展代碼審計服務，服務完成后提交源代碼審計報告并指導客戶針對安全漏進行修復。單次服務只能夠發現目前源代碼中可能存在的各種安全問題，對于系統后續開發產生的安全問題無能為力。進行單次代碼審計的客戶有以下幾種情況：1)信息系統上線前進行代碼審計，確保系統安全后，后續不再進行代碼審計工作；2)客戶為甲方開發系統，為證明系統安全無問題交付，而進行的單次代碼審計，后續甲方不再進行代碼審計工作；3)為應付安全檢查而進行的單次代碼審計工作，后續不再進行安全檢測工作；4)等保測評要求項中要求開展代碼審計工作，通過等保后，后續不再進行代碼審計工作。

哨兵科技典型案例：代碼審計服務對象：某油氣田公司服務內容：針對油氣田公司將上線的數套系統進行代碼審計測試工作，主要目的是在源代碼層級，審計系統程序的安全性，降低攻擊者入侵的風險，找出目標系統是否存在可以被攻擊者真實利用的漏洞以及由此引起的風險大小，從而為制定相應的應對措施與解決方案提供實際的依據。通過分析存在的弱點和風險，為安全整改提出建議以及提供依據完成情況：挖掘數十個高中危漏洞，并出具代碼審計測試報告，協助整改。對于較大的代碼庫或包含多種編程語言和框架的項目，審計費用可能會更高。

代碼作為軟件的實現形式，其質量與安全關系到業務系統的穩定性、數據資產的機密性與完整性。其中第三方代碼審計是檢測代碼質量與安全的主要手段。代碼審計服務的目的在于充分挖掘當前代碼中存在的安全缺陷以及規范性缺陷，從而讓開發方、運營方或是甲方了解應用系統可能會面臨的威脅，并正確修復程序缺陷。 靜態代碼分析，又可以稱作整體源代碼審計，是代碼審計的方式之一，是指源代碼審計服務方技術人員（如哨兵信息科技），對被檢測系統的所有源代碼進行整體的安全審計，代碼覆蓋率為100%。它是在不運行軟件源代碼的情況下，采用源代碼掃描和人工分析確認相結合的方式，從數據流、語義、結構、控制流、配置流等方面對源代碼進行的分析，發現源代碼存在的安全漏洞。代碼審計有助于保護企業的資產和用戶的隱私數據不被泄露或濫用。成都動態代碼分析

代碼審計可以幫助開發團隊遵循編碼規范和最佳實踐，從而提高代碼的可讀性和可維護性。成都靜態代碼分析

人工審查是代碼審計的重要環節，由專業的安全審計人員對代碼進行逐行檢查。富有經驗的軟測人員會先從宏觀著眼，剖析程序架構，梳理業務流程，找出關鍵代碼路徑。逐行研讀代碼時，憑借敏銳技術嗅覺，挖掘潛在風險。看到數據輸入口，思考有無嚴格驗證，防止惡意輸入；涉及權限校驗處，檢查是否存在越權漏洞；碰到加密函數，核實加密算法強度是否達標。遇到復雜邏輯，繪制流程圖輔助理解，像多層嵌套的權限管理模塊，用流程圖厘清不同角色權限分配與校驗流程，確保無漏洞死角。成都靜態代碼分析

哨兵信息科技集團有限公司（簡稱“哨兵科技”）成立于 2019 年 1 月，注冊資本 6500 萬元。2019年6月，國家工業信息安全發展研究中心聯合地方政府、哨兵信息科技集團有限公司（簡稱“哨兵科技”）建設了國家工業控制系統與產品安全質量檢驗檢測中心西南實驗室（簡稱“西南實驗室”），哨兵科技作為西南實驗室運營主體，在全國開展國家工業控制系統與產品安全質量檢驗檢測中心西南實驗室相關業務，為全國各地各級政府，及科研院所、各類工業控制、工業自動化、工業互聯網和工控安全等相關企事業單位提供軟件測評、信息安全等級保護測評、密碼應用安全性評估、工控安全防護能力評估、信息安全風險評估，以及安全服務等相關服務。
西南實驗室（哨兵科技）堅持以“提升防護能力、捍衛工信安全”為己任，獲批為國家高新技術企業，分別于21年、22年入選國家工業信息安全測試評估機構、國家CICSVD技術支持組成員單位、國家工業信息安全應急服務支撐單位，連續兩屆被評為成都市工業信息安全應急服務支撐單位。西南實驗室（哨兵科技）擁有CNAS、CMA、風險評估等多項資質，各類知識產權20余項，已服務企業500余家。