Secure Programming with Static Analysis

а вот например дочитал давеча subj
Весьма попсовая книжка, посвященная скрытой рекламе совершенно определенного продукта (которому посвящена целиком четвертая часть книги например). Ничего особо нового я лично из нее не узнал (кроме пожалуй XPath injections). Лучше бы про coverity кто-нть книжку сочинил
Зато дико угарно было посмотреть сайты рекламируемого продукта и coverity

• оба старательно перечисляют поддерживаемые языки, операционные системы и версии компиляторов, но обходят глухим молчанием стоимость продуктов
• оба клянутся здоровьем матери что поддерживают создание пользовательских правил, но не менее старательно не упоминают про поддержку драйверов

Последнему обстоятельству впрочем есть весьма простое объяснение - дело в том что никакими custom rules невозможно описать, что некая функция (или даже ее часть) работают на повышенном уровне IRQL и потому должны избегать например обращений к paged memory (и еще много чего они должны избегать). Кажется из инструментов static code analysis об этом простом факте не задумывается ни один