代码安全审计是一项关键的网络安全活动，旨在通过系统的检查和评估软件代码，发现并修正其中的安全漏洞和缺陷。代码审计不仅能够提升软件产品的安全性，还能减少因安全漏洞引起的数据泄露和系统攻击事件。讲座《代码安全审计》由徐瑞祝讲师主讲，详细介绍了代码审计的多个方面。
代码审计的介绍部分指出，审计的目标是通过分析源代码发现潜在的安全漏洞和实现上的缺陷。常见的安全漏洞包括内存泄露、注入型漏洞（如SQL注入）、错误的字符串比较等。代码审计是一个既需要耐心又需要对开发语言有深入理解的工作，同时还需要对开发业务有一定了解。
接下来，代码审计标准部分提到，审计工作的标准通常会参考信息安全等级保护基本要求、萨班斯法案、信息安全管理体系要求（例如IDTISO/IEC27001：2005）、支付卡行业数据安全标准（PCIDSS）以及电子银行业务管理办法及电子银行安全评估等。
代码审计方法则涉及了具体的操作步骤，包括了解应用程序、选择检查点以及阅读代码。了解应用程序阶段，需要查看开发设计相关文档，检查攻击面并定义目标组件。选择检查点时，应关注用户输入数据相关的代码路径、安全机制、复杂处理等。而在阅读代码的过程中，需要理解设计复杂的代码结构，关注数据拷贝或移动、输入/输出验证、SQL语句拼接等关键点。
在代码审计工具方面，主要分为三大类：编辑查看代码的工具、模式匹配工具、静态源代码扫描工具和渗透测试工具。这些工具能够帮助审计人员跟踪变量定义、方法实现及调用点，进行搜索、源代码分析和安全问题定位。
Checkmarx CxSuite静态源代码扫描工具是此次讲座的重点介绍对象。Checkmarx CxEnterprise是Checkmarx公司推出的一款源代码安全漏洞扫描和管理工具，它融合了全球安全组织和安全专家的多年经验。该工具的创新之处在于利用查询技术定位代码安全问题，显著降低了传统静态分析工具高误报率和漏报的问题。
Checkmarx CxSuite的主要功能包括源代码安全漏洞扫描、结果分析和管理，源代码技术和逻辑缺陷的调查分析及规则自定义，扫描团队和用户权限管理，扫描自动化及任务调度管理，以及私有/公有虚拟云服务。其客户包括信息安全认证中心、知名高校、研究院和企业等，表明其产品的权威性和实用性。
Checkmarx CxEnterprise产品的基本组件包括CxScanEngine和CxManager。CxScanEngine是安装在服务器上的扫描引擎，负责执行扫描和查询任务；CxManager则负责管理扫描过程、分析结果和管理用户权限等。
代码安全审计不仅仅是一项技术活动，它也是确保软件产品安全性的关键环节。通过审计，开发团队能够及时发现并修复安全漏洞，从而提升软件的整体安全水平，降低潜在风险。而Checkmarx CxSuite作为一种高效的代码审计工具，为企业提供了强大的技术支持，帮助企业构建更为安全的软件产品。
