Manche Schwachstellen hinterlassen im Verhalten eines laufenden Systems keine Spur, bis zu dem Tag, an dem sie ausgenutzt werden: eine fehlende Prüfung in einem selten genutzten Zweig, ein schwacher Zufallsgenerator, ein Geheimnis in der Historie des Repositorys. Im Code sind sie sichtbar.
Wir lesen den Code so, wie es ein Angreifer täte, wenn der Code nach außen gelangte. Werkzeuge für statische Analyse markieren die Kandidaten, Spezialisten verfolgen die Daten vom Eintrittspunkt bis zur Senke und entscheiden, was echt ist. Das Review umfasst den Code, den Sie geschrieben haben, die Abhängigkeiten, die Sie eingebunden haben, und die Pipeline, die beides baut, einschließlich Code, der mit KI-Assistenten entstanden ist.
01Umfang
Was wir testen
Logik der Authentifizierung und Autorisierung, einschließlich der Konfiguration des Frameworks
Verarbeitung von Eingaben: Injection, Deserialisierung, Datei- und Pfadoperationen
Kryptografie: Algorithmen, Betriebsarten, Umgang mit Schlüsseln und Zufallszahlen
Geheimnisse in Code, Konfiguration, Infrastrukturdefinitionen und Historie
Abhängigkeiten von Dritten und ihre Erreichbarkeit aus Ihrem Code
Build- und Delivery-Pipeline: Berechtigungen, Runner, Integrität der Artefakte
Infrastructure as Code: Terraform, Kubernetes-Manifeste, Helm-Charts
02Vorgehen
Wie die Arbeit abläuft
01
Einstieg über die Bedrohungen
Wir beginnen bei dem, worauf es ankommt: bei den Funktionen, die mit Geld, Identität und Geheimnissen umgehen. Zuerst lesen wir die Architektur, dann den Code.
02
Automatisierte Analyse
Statische Analyse, Analyse der Abhängigkeiten und die Suche nach Geheimnissen liefern Kandidaten. Für die Muster, die Ihrem Code eigen sind, schreiben wir eigene Regeln.
03
Manuelle Verfolgung
Jeder Kandidat wird vom Eintrittspunkt bis zur Senke verfolgt. Fehlalarme werden verworfen, echte Probleme nach Möglichkeit in einer laufenden Instanz bestätigt.
04
Variantenanalyse
Wird ein Fehler gefunden, durchsuchen wir die gesamte Codebasis nach seinen Varianten. Ein Befund hat meist Verwandte.
Schweregrad jedes Befunds als Punktwert und Vektor.
FIRST
06Fragen
Fragen zu dieser Leistung
Wie schützen Sie unseren Quellcode?
Zugriff erhalten namentlich benannte Spezialisten, der Code wird in einer isolierten Umgebung analysiert und nicht aus ihr herauskopiert. Arbeitskopien werden 30 Tage nach Abschluss des Projekts vernichtet. Der Code wird nie an öffentliche KI-Dienste übermittelt.
Wir setzen bereits ein Werkzeug für statische Analyse ein. Was bringt ein manuelles Review zusätzlich?
Ein Analysewerkzeug meldet Muster. Es weiß nicht, welche davon erreichbar sind, und es sieht keine fehlende Autorisierungsprüfung, denn eine fehlende Zeile passt auf kein Muster. Das Review beantwortet beide Fragen.
Lässt sich das Review auf einen Teil des Codes beschränken?
Ja. Ein Review einer einzelnen Komponente, der Änderungen seit einem Release oder eines einzelnen Pull Requests ist ein üblicher Prüfumfang.