静的解析ツール Coverity

Coverity とは

Coverity（読み方：コベリティ）とは、ソースコードに潜む重大な不具合やセキュリティ脆弱性をコーディング中に高精度で検出する、正確で包括的な静的解析およびSAST（静的アプリケーション・セキュリティ・テスト）のプラットフォームです。
洗練された高度な解析技術によって、多くの欠陥を低い誤検知率で摘出できます。

• Quality

  品質向上

  発見が困難なソフトウェアの欠陥を自動的に検出することで社外事故などのリスクを未然に防ぎます。

• Security

  セキュリティ対策

  開発者のセキュアコーディングを助けることで製品やサービスへの脆弱性の作り込みを防ぎます。

• Compliance

  規約対応

  ルールチェッカーによって問題になりそうな実装を検出し業界標準のコーディング規約に対応します。

Coverityは、製造、金融、サービス、ゲーム、組み込み機器、その他数多くの業界・業種で利用されており、各業界から極めて高い評価を得ています。

• *1…2021 Magic Quadrant for Application Security Testing
• *2…The Forrester Wave(TM): Static Application Security Testing, Q1 2021

Coverityにできることや、製品としての強み、導入のメリットについて説明します。

Coverityには数々の特許技術、10年間にわたる研究開発成果、そして100億行以上のコード解析で得たノウハウが組み込まれています。より深く、より正確な解析を実現し、多くの複雑な問題を誤検出率15％以下（ユーザーによっては5％という報告もあります）で検出できるため、開発スピードを落とさずソフトウェアの信頼性向上を実現できます。

またコード修正に伴い再解析を実施する場合は、コードベース全体ではなくコードのうち変更の影響を受ける部分のみを解析（差分解析）するため、ツールの処理時間や指摘確認の時間を大幅に短縮できます。

コーディング上のセキュリティ脆弱性や、関数間をまたがるようなランタイムエラー、マルチスレッドに関わる不具合まで、幅広く検出することが可能です。

バッファオーバーフロー（バッファオーバーラン、範囲外のアクセス） / リソースリーク（メモリリーク） / データ競合状態 / 初期化漏れ / ビルドシステムの問題 / クラス階層の不一致 / コードのメンテナンス性の問題 / メモリー破損 / メモリー不正アクセス / 制御フローの問題 / クロスサイトリクエストフォージェリ（CSRF） / クロスサイトスクリプティング（XSS） / SQLインジェクション / デッドロック / エラー処理の問題 / 不正な式 / セキュアでないデータ処理 / 整数オーバーフロー / NULLポインタの参照先取得エラー / パス操作 / 非効率なパフォーマンス / プログラムのハング / 同時データアクセス違反 / コーディングルール違反 / セキュリティベストプラクティスの違反 / セキュリティ設定ミス / 互換性のないキャスト / 汚染されたスカラー / スタックを過度に使用 / デッドコード / Null戻り値の間接参照 / 無限ループ / 未使用関数 / 戻り値が未確認 / 脆弱なガード / アトミックでない値の更新 / 脆弱な暗号 / 安全でないデシリアライゼーション / ハードコードされた認証情報 / 二重開放 / コピー＆ペーストのミス / API使用エラー / 他

Coverityはグローバルの標準規格・ガイドラインに基づくコーディングルールを広範にカバーしており、機能安全やセキュリティに関するコンプライアンス遵守に活用することができます。また独自ルールを定義してユーザー独自のスタイルチェックを行うことも可能です。ISO 26262、ISO/SAE 21434、IEC 62443などへの対応を行う組織を支援します。

AI/IoT時代にはさまざまなプログラミング言語を用いてソフトウェア開発を行う必要があります。Coverityの対応言語は広範囲に渡っているため、さまざまな製品・サービスのソースコード解析に用いることが可能です。

• ※JavaはSpotBugs（旧FindBugs）のチェッカーを含みます。
• ※JavaScriptはJSHintのチェッカーを含みます。

またこれら言語による開発で標準的に使用される70種類以上のフレームワーク（例：JSP, Spring, Struts, ASP.NET, Ajax, jQuery, Angular, Node.js/Tedious.js, Symphony, Ruby on Rails, Flask, Django など）に対応しています。

Coverityの基本的な環境構成について説明します。

Coverityはサーバー・クライアント型のアプリケーションです。

拡大する

• クライアント側はCoverity Analysis、サーバー側はCoverity Connectと呼ばれます。
• 対象ソースコードをCoverity Analysisで解析し、結果はCoverity Connectで確認します。検出された不具合はメール通知などが可能です。
• インストーラーを用いて容易に環境を構築できます。
• サーバー・クライアントともにおおむねね3カ月ごとにアップデートされ、機能拡充が行われています。
• サーバーとクライアントを同じマシンに構築しても問題ありません。

Coverityの典型的な使い方を説明します。

• 解析（スキャン）

  Coverity Analysisで対象のソースコードをスキャンします。

• 結果の確認と修正

  Coverity Connectで解析結果と修正ガイダンスを確認します。IDE環境上で確認できます。

• 継続的な解析と管理

  ソフトウェアをアップデートする度に、解析と修正を繰り返します。

以下の手順で解析の操作を行います。このプロセスはBACサイクルと呼ばれ、Coverity Analysisにて容易に実行できます。

• Build（ビルドキャプチャ―）

  通常のコンパイルで使用されるmsbuildやmakeなどのビルドコマンドをCoverity経由で実行して中間データをキャプチャーします。
  Coverityはコンパイラの呼び出しを監視して解析前データである中間ファイルを作業ディレクトリ（中間ディレクトリ）に出力します。

• Analyze（解析）

  中間ディレクトリを指定して、スキャンを実行します。これにより不具合データと解析サマリが生成されます。
  オプションを指定することで細かい解析の設定を行うことが可能です。

• Commit（コミット）

  解析結果を格納するプロジェクトとストリームを指定して、解析データをCoverity Connectに送信します。

解析と結果の送信が完了したら、ブラウザーでCoverity Connectにアクセスして、バグの内容と修正方法を確認します。

拡大する

• 指摘内容の詳細情報（不具合の位置、CWEデータ、データフローのトレースなど）を確認できます。
• 修正に専門知識が必要となるセキュリティリスクについては、どのように修正すべきかの具体的な修正ガイダンスを確認できます。経験の浅い開発者でも、問題に対する深い理解に基づいてコードの修正を行うことができます。
• IDEと連携して利用する場合には、コーディング時にリアルタイムに指摘やガイダンスを確認できます。
• 各指摘は影響度などさまざまな要素に応じてフィルターができるため、指摘一覧を効率的に確認して問題をトリアージできます。
• 解析結果レポートのエクスポート（CSVなどの形式でファイル出力）が可能です。またダッシュボードを用いた全体状況のチャート確認など管理機能も豊富です。

このようなCoverityの仕様により、不具合や脆弱性を早期に修正することはもちろん、開発者の品質・セキュリティに対する理解を深めることもできます。エンジニアのコーディングスキルを向上させることにより、間接的に有識者やレビューアの負担軽減も期待できます。

静的解析は一度実施したら終わりではなく、プロダクトの更新にともなって継続的に実行する場合がほとんどです。Coverityの以下のような特徴によって、開発者およびマネージャーは継続的な解析とその管理を容易に行うことができます。

各種IDE（Visual Studio、Eclipse、IntelliJなど）、ソフトウェア構成管理ツール（git、svnなど）、継続的インテグレーション（Jenkins、Azure DevOpsなど）、バグ・トラッキングツール（Jira/Bugzillaなど）、アプリケーション・ライフサイクル・マネジメント（ALM）ソリューションなど、さまざまな開発ツールと短時間で統合できます。これによって既存の開発プロセスやDevOps基盤に容易にCoverityを統合でき、CI/CD連携による自動化やDevSecOpsの推進が可能になります。

上記にくわえ、CoverityはAPIを用いることでさまざまなインテグレーションが可能です。現状の開発環境や開発プロセスを大きく変更することなく、スムーズにソースコード静的解析の仕組みを導入し、レビュー・受入れ検査・QA検査など、開発のさまざまな局面で活用いただくことができます。

このような一連のCoverity利用によって、継続的に欠陥の作り込みを予防できます。不良や脆弱性の発見をテスト工程以降の後半フェーズに持ちこすことを防ぎ、手戻りにともなう作業コストを低減します。

日立ソリュ―ションズは、豊富な導入実績をもつCoverityの国内販売代理店です。当社の特色について説明します。

1. solution 01

   豊富な実績とノウハウを生かし、お客さまの課題を解決

   長年にわたって蓄積してきたシステム開発・構築の経験より、お客さまの課題に合わせた柔軟な提案が可能です。

2. solution 02

   関連製品との組み合わせで、
   柔軟かつスピーディーに対応

   さまざまな関連製品と連携させることで、要件にフィットしたシステムが速やかに実現できます。

3. solution 03

   日立グループの力を結集した
   “One Hitachi”のSI力

   プロジェクト推進をワンストップで支援。日立グループ各社の知見を生かした”One Hitachi”体制で幅広く対応します。

日立ソリューションズはDefensicsのメーカーであるSynopsys社より、最も営業成績に貢献したパートナーとしてアワードを受賞しています。

Coverityのライセンス販売に関連して、以下のような支援メニューも提供しております。その他、お客さまのご要望に合わせて対応しますので、ご希望があればお気軽にご相談ください。※いずれも個別見積となります。