微软发布大规模模糊测试框架OneFuzz

微软于GitHub上开源自家内部Edge、Windows 以及各团队使用的模糊测试框架OneFuzz，让开发者可以在持续开发工作管线中嵌入模糊测试，以主动发现软件的臭虫与漏洞。微软提到，开发者只要透过单一指令，就能够启动各种规模的模糊测试工作，从数台虚拟机器到数千颗核心的规模都可以。

模糊测试是一种提高程式码安全性和可靠性的方法，让开发人员在开发生命周期早期，就能够主动发现臭虫以及安全性漏洞，但微软提到，模糊测试是一把双刃剑，虽然能够有效率地发现漏洞，但在实际使用上却非常复杂，甚至需要仰赖专门的安全工程团队，建构和执行模糊测试功能，因此导入模糊测试的成本也就非常高昂，而为了使自家开发人员能够轻松且持续地进行模糊测试，微软开发了模糊测试框架OneFuzz。

编译器近期的发展，使得模糊测试的方式产生变化，微软提到，由Google带领开发的开源LLVM相关技术，改变模糊测试原生程式码的安全工程任务，现在模糊测试系统可以嵌入到持续建置系统中，更容易进行崩溃侦测和覆盖追踪等工作。

现在开发人员可以将模糊测试元件编译进单元测试二进制档中，执行呼叫测试、生成输入和对单个可执行档进行错误侦测等工作，微软表示，目前在Visual Studio中，这些实验性功能支援逐渐增加，测试二进制档已经可以方便地从编译器建置，因此开发人员开始面临另外的挑战，解决在CI/CD工作管线中建置，并且在云中扩展模糊测试工作负载的问题。

已经被微软大量用来测试Windows操作系统开发的OneFuzz，可让开发人员灵活组合模糊测试工作流程，开放源代码的OneFuzz，允许开发者使用自己的模糊测试器（Fuzzer）、变更调度，以及管理种子（Seed）输入，创建符合需求的模糊测试流程，而且OneFuzz的透明设计，让开发者可以监控与观察模糊测试的各个阶段状态。

OneFuzz也支援按需崩溃测试，开发者可以按需或是从建构系统中，呼叫即时除错对话（Session）。由于OneFuzz的多平台设计，开发者可以选择在Windows和Linux平台上进行模糊测试，使用自己的OS建置、核心和巢状管理程式（Hypervisor）执行测试。

目前OneFuzz已经在GitHub上以MIT授权开源，微软研究和安全团队会继续贡献和维护OneFuzz专案，而微软也会扩大内部采用OneFuzz的范围，以提高平台和产品的安全性。