Mõned turvanõrkused ei jäta töötava süsteemi käitumisse jälge kuni päevani, mil neid ära kasutatakse: puuduv kontroll harva kasutatavas harus, nõrk juhuarvude generaator, saladus hoidla ajaloos. Koodis on need nähtavad.
Loeme koodi nii, nagu loeks seda ründaja, kui kood lekiks. Staatilise analüüsi tööriistad märgivad kandidaadid, spetsialistid jälgivad andmeid sisendpunktist sihtkohani ja otsustavad, mis on päris. Ülevaatus hõlmab teie kirjutatud koodi, teie imporditud sõltuvusi ja konveierit, mis neid koostab, sealhulgas AI-assistentidega loodud koodi.
01Ulatus
Mida me testime
Autentimise ja autoriseerimise loogika, sealhulgas raamistiku seadistus
Sisendi käsitlemine: süstimine, deserialiseerimine, faili- ja failiteede toimingud
Krüptograafia: algoritmid, režiimid, võtmete ja juhuarvude käsitlemine
Saladused koodis, seadistuses, taristu definitsioonides ja ajaloos
Kolmandate osapoolte sõltuvused ja nende kättesaadavus teie koodist
Tarkvara koostamise ja tarnimise konveier: õigused, runnerid, artefaktide terviklus
Vigade käsitlemine, tundlike andmete logimine, samaaegsus
Alustame sellest, mis on oluline: funktsioonidest, mis käsitlevad raha, identiteeti ja saladusi. Kõigepealt loeme arhitektuuri, seejärel koodi.
02
Automaatne analüüs
Staatiline analüüs, sõltuvuste analüüs ja saladuste otsing annavad kandidaadid. Teie koodile omaste mustrite jaoks kirjutame eraldi reeglid.
03
Käsitsi jälitamine
Iga kandidaati jälgitakse sisendpunktist sihtkohani. Valepositiivsed jäetakse kõrvale, tõelised probleemid kinnitatakse võimaluse korral töötavas instantsis.
04
Variantide analüüs
Kui leitakse viga, otsitakse kogu koodibaasist selle variante. Ühel leiul on tavaliselt sugulasi.
Juurdepääs antakse nimeliselt määratud spetsialistidele, koodi analüüsitakse isoleeritud keskkonnas ja sealt välja seda ei kopeerita. Töökoopiad hävitatakse 30 päeva pärast projekti lõpetamist. Koodi ei saadeta kunagi avalikele AI-teenustele.
Meil juba töötab staatiline analüsaator. Mida lisab käsitsi ülevaatus?
Analüsaator teatab mustritest. See ei tea, milline neist on kättesaadav, ega näe puuduvat autoriseerimiskontrolli, sest puuduv rida ei vasta ühelegi mustrile. Ülevaatus vastab mõlemale küsimusele.
Kas ülevaatust saab piirata osaga koodist?
Jah. Ühe komponendi, mingist väljalaskest alates tehtud muudatuste või ühe pull requesti ülevaatus on tavaline ulatus.