<div dir="ltr">So one thing I often find weird about our industry is how it gets taken over by marketing language and the utility of entire classes of products gets clouded over. For example, part of any SDLC is going to be static and dynamic analysis. However, if you ask a normal security manager what kinds of bugs these sorts of products find or don't find, and what the false positive levels are, they find it hard to answer, even assuming they use them.<div><br></div><div>What I'm trying to do with <a href="http://infiltratecon.com/training/">INFILTRATE's Java Hacking</a> class is get access to a modern static analysis tool and be able to plug the class exercises into it. This way, not only do you have a corpus of "Correct" vulnerabilities, but you get to see what it looks like through the "Source-to-sink" algorithms, and how to tell true positives from false positives, and also examine false negatives. </div><div><br></div><div>Likewise, judging a static analysis tool is often about figuring out where they set their dial. When you talk to the Chris's they will say they have VERY LOW false positives, which is never my experience with any tool in this area. But you can dial UP the false negatives to get lower false positives for any tool like this. BUT DO YOU WANT TO? These are important trade off questions that need to be examined in the wild as opposed to through marketing.</div><div><br></div><div>Anyways, sign up for the class, because it is a great class, and this may be the first time anyone has done a corpus test on a static analysis tool during class. :)</div><div><br></div><div>-dave</div><div><br></div></div>