C#/VB.NET対応 静的解析・動的解析ツール「dotTEST 2023.2」の販売を開始

OpenAI連携により開発者の修正作業をサポート／セキュリティ関連ルールの静的解析を強化

テクマトリックス株式会社（本社：東京都港区、代表取締役社長：矢井隆晴、以下「テクマトリックス」）は、米国Parasoft Corporation（本社：米国カリフォルニア州、最高経営責任者：Elizabeth Kolawa、以下「Parasoft社」）が開発したC#/VB.NET対応静的解析・動的解析ツール「dotTEST 2023.2」の販売を2024年4月25日より開始します。

dotTEST 2023.2リリース
dotTESTは、高品質な.NETアプリケーションの開発とテスト工数の大幅削減を強力にサポートするC#言語/VB.NET言語に対応した静的解析・動的解析ツールです。3,000個以上のコーディングルールをもとにソースコードを静的に解析し、プログラムの問題点やファイルを横断した処理フローに潜む検出困難なエラーを検出します。また、.NETアプリケーションの実行中のカバレッジ情報を収集し、テストの抜け漏れの確認を容易にします。開発工程にdotTESTによる静的解析やカバレッジ情報収集を組み込むことにより、テストの効率化とソースコードの品質向上が期待できます。

このたびのバージョンアップでは、dotTESTの静的解析にOpenAI連携機能とセキュリティ関連ルールが追加されました。OpenAI連携機能では、OpenAIおよびAzure OpenAIとの連携機能が搭載され、実コードにあわせた具体的な解説や修正方法を確認できるようになりました。セキュリティ関連ルールでは、アプリケーションの設計、開発、脆弱性診断などにおいて考慮すべきセキュリティ要件の標準であるOWASP ASVS（Application Security Verification Standard）のv 4.0.3や、ソフトウェアの脆弱性を識別するための脆弱性の種類（脆弱性タイプ）の共通脆弱性タイプ一覧であるCWE（Common Weakness Enumeration）のver.4.13や、CWE Top 25 2023（+On The Cusp）に対応した静的解析を行うことが可能になりました。また、専用のダッシュボードとウィジェットを利用して静的解析の結果をPCI DSSやOWASP、CWEなどの基準のリスクスコアリングにマッピングすることで、各基準に則った遵守サマリーレポートや逸脱のレポートをいつでも確認できます。

環境面ではC# 12、.NET 8のサポートを開始しました。そのほか、カバレッジ専用ツールのdottestcovが追加されました。アプリケーションのアセンブリファイルのカバレッジ計測によりソースコードが無い状態でもカバレッジの計測が可能になりました。

テクマトリックスは、Parasoft社製品の国内総販売代理店として、ソフトウェア開発に携わるすべてのお客様の課題を解決する最適なツールとして、dotTESTの販売、マーケティング、ユーザーサポートなどの活動を強化してまいります。
【dotTEST 2023.2の新機能・改善点】
静的解析のOpenAI連携
OpenAIおよびAzure OpenAIとの連携機能が搭載されました。以前のバージョンでは、検出された違反に対して専用ビューから違反内容を確認し、ルールドキュメントから一般的な解説や修正方法を確認していました。本バージョンで搭載されたOpenAI連携機能では、修正方法をOpenAIに問い合わせることで、実コードに合わせた具体的な解説や修正方法を確認できます。従来の静的解析ツールの課題である「違反の修正に時間がかかる」、「違反の具体的な修正方法がわからない」といった問題を解決し、違反の修正プロセスを加速することができます。
※OpenAI連携機能にはOpenAIの利用契約は含まれておりません。利用者が個別に契約する必要があります。


図1：OpenAI機能を活用した違反修正のイメージ
OWASP ASVS 4.0.3やCWE 4.13、CWE Top 25 2023といったセキュリティコンプライアンスルールが追加
アプリケーションの設計、開発、脆弱性診断などにおいて考慮すべきセキュリティ要件の標準であるOWASP ASVS（Application Security Verification Standard）のv 4.0.3や、共通脆弱性タイプ一覧CWE（Common Weakness Enumeration）のver.4.13、CWE Top 25 2023などが追加されました。dotTESTは以下の18種類のセキュリティコンプライアンスルールに対応しています。
【dotTESTのセキュリティコンプライアンスルール】
- CWE 4.13
- CWE Top 25 2022
- CWE Top 25 2023
- CWE Top 25 +On the Cusp 2022
- CWE Top 25 +On the Cusp 2023
- DISA-ASD-STIG
- HIPAA
- Microsoft Secure Coding Guidelines
- OWASP API Security Top 10-2019
- OWASP API Security Top 10-2023
- OWASP ASVS 4.0.3
- OWASP Top 10 2017
- OWASP Top 10 2021
- PCI DSS 3.2
- PCI DSS 4.0
- Security Assessment
- UL 2900
- VVSG 2.0

セキュリティコンプライアンスの遵守を促進する「セキュリティコンプライアンスパック」の静的解析ルールを用いてプログラムを解析することにより、C#やVB.NETでの開発におけるセキュアコーディングの推進を強力にサポートします。また、解析結果から生成されるコンプライアンスの遵守／逸脱レポートをリアルタイムで参照できます。
※セキュリティコンプライアンスルールによる静的解析および遵守／逸脱レポートの参照には、セキュリティコンプライアンスパックオプション（別売）が必要です。

C# 12、.NET 8のサポートを開始
C# 12で書かれたコードの解析がサポートされました。また、サポート対象のフレームワークに.NET 8が追加されました。
カバレッジ機能の強化
カバレッジ専用ツールのdottestcovが追加されました。
従来のアプリケーションカバレッジの計測に比べて手順が簡略化されるとともに、アプリケーションのアセンブリファイルのカバレッジ計測によりソースコードが無い状態でもカバレッジの計測が可能になりました。

【Parasoft DTP 2023.2（レポーティング機能）の新機能・改善点】
コンプライアンスの遵守を促進するパッケージの更新
OWASP API Security Top 10 2023やCWE 4.13がサポートされました。セキュリティコンプライアンスレポート（遵守サマリーレポートや逸脱のレポート）は、全部で8種類のレポート表示と出力ができます。
コンプライアンスパックを導入することにより、dotTESTによる静的解析の結果からOWASPや、CWEに則った遵守サマリーレポートや逸脱のレポートをいつでも確認できるようになります。ガイドラインの遵守状況の説明責任を果たすことが容易になるだけでなく、未遵守箇所を早期に特定し必要な措置を講ずることにより、欠陥のあるソフトウェアから生じるビジネスリスクを排除することが可能になります。また、チームが最大限に効率的に作業できるよう、違反をナビゲートし優先度を設定するための合理的なワークフローを提供します。
※本機能を利用するには、セキュリティコンプライアンスパックオプション（別売）が必要です。

図2：OWASP API Security Top 10用ダッシュボード
【Parasoft DTPのセキュリティコンプライアンスレポート】
- CWE4.13
- CWE Top 25 2023
- CWE Top 25 2023 + On the Cusp
- OWASP Top 10 2021
- OWASP API Top 10 2019
- OWASP API Top 10 2023
- PCI DSS4.0
- UL 2900

製品の詳細につきましてはwebページをご確認ください。
詳細を見る
テクマトリックス株式会社
テクマトリックス（東証プライム：3762）は、お客様のニーズに沿った最適なITインフラとITライフサイクルをワンストップで提供する「情報基盤事業」、蓄積された業務ノウハウを実装したアプリケーションの提供により顧客の課題解決を実現する「アプリケーション・サービス事業」、“医療情報をみんなの手に。そして、未来へ。”をテーマに健康な社会を支える医療情報インフラの構築に取り組む「医療システム事業」の3事業を展開し、顧客企業のビジネスモデル変革と競争力の強化をサポートしています。