Jotkin haavoittuvuudet eivät näy käynnissä olevan järjestelmän toiminnassa ennen päivää, jona niitä hyödynnetään: puuttuva tarkistus harvoin käytetyssä haarassa, heikko satunnaislukugeneraattori, salaisuus koodivaraston historiassa. Ne näkyvät koodissa.
Luemme koodia niin kuin hyökkääjä lukisi sitä, jos se vuotaisi. Staattisen analyysin työkalut merkitsevät ehdokkaat, ja asiantuntijat seuraavat dataa syötekohdasta käyttökohtaan ja ratkaisevat, mikä on todellista. Katselmointi kattaa kirjoittamasi koodin, käyttämäsi riippuvuudet ja putken, joka ne kokoaa, myös tekoälyavustajilla tuotetun koodin.
01Laajuus
Mitä testaamme
Tunnistautumisen ja käyttöoikeuksien logiikka, myös sovelluskehyksen konfiguraatio
Syötteiden käsittely: injektiot, deserialisointi, tiedosto- ja polkuoperaatiot
Kryptografia: algoritmit, toimintatilat, avainten ja satunnaislukujen käsittely
Salaisuudet koodissa, konfiguraatiossa, infrastruktuurimäärityksissä ja historiassa
Kolmansien osapuolten riippuvuudet ja niiden tavoitettavuus koodistasi
Koonti- ja toimitusputki: käyttöoikeudet, ajoympäristöt (runner), artefaktien eheys
Virheiden käsittely, arkaluonteisten tietojen kirjautuminen lokeihin, rinnakkaisuus
Aloitamme siitä, millä on merkitystä: toiminnoista, jotka käsittelevät rahaa, identiteettejä ja salaisuuksia. Ensin luetaan arkkitehtuuri, sitten koodi.
02
Automaattinen analyysi
Staattinen analyysi, riippuvuusanalyysi ja salaisuuksien haku tuottavat ehdokkaita. Koodillesi ominaisia kaavoja varten kirjoitetaan omia sääntöjä.
03
Seuranta käsin
Jokainen ehdokas seurataan syötekohdasta käyttökohtaan. Väärät positiiviset hylätään, ja todelliset ongelmat vahvistetaan käynnissä olevassa instanssissa, kun se on mahdollista.
04
Varianttianalyysi
Kun puute löytyy, koko koodikannasta etsitään sen muunnelmia. Yhdellä havainnolla on yleensä sukulaisia.
Pääsy annetaan nimetyille asiantuntijoille, koodia analysoidaan eristetyssä ympäristössä, eikä sitä kopioida sen ulkopuolelle. Työkopiot hävitetään 30 päivän kuluttua toimeksiannon päättymisestä. Koodia ei koskaan syötetä julkisiin tekoälypalveluihin.
Käytämme jo staattista analysaattoria. Mitä katselmointi käsin tuo lisää?
Analysaattori raportoi kaavoja. Se ei tiedä, mitkä niistä ovat tavoitettavissa, eikä se näe puuttuvaa käyttöoikeustarkistusta, koska puuttuva rivi ei vastaa mitään kaavaa. Katselmointi vastaa kumpaankin kysymykseen.
Voiko katselmoinnin rajata osaan koodista?
Voi. Yksittäisen komponentin, edellisen julkaisun jälkeisten muutosten tai yhden pull requestin katselmointi on tavallinen laajuus.