Alcune vulnerabilità non lasciano traccia nel comportamento di un sistema in esecuzione fino al giorno in cui vengono sfruttate: un controllo mancante in un ramo usato di rado, un generatore casuale debole, un segreto nella cronologia del repository. Nel codice sono visibili.
Leggiamo il codice come lo leggerebbe un attaccante se il codice trapelasse. Gli strumenti di analisi statica evidenziano i candidati, gli specialisti seguono i dati dal punto di ingresso al sink e decidono che cosa è reale. La revisione copre il codice che hai scritto, le dipendenze che hai importato e la pipeline che ne esegue la build, compreso il codice prodotto con assistenti AI.
01Perimetro
Che cosa testiamo
Logica di autenticazione e autorizzazione, compresa la configurazione del framework
Gestione dell’input: injection, deserializzazione, operazioni su file e percorsi
Crittografia: algoritmi, modalità, gestione delle chiavi e dei numeri casuali
Segreti nel codice, nella configurazione, nelle definizioni dell’infrastruttura e nella cronologia
Dipendenze di terzi e loro raggiungibilità dal tuo codice
Pipeline di build e distribuzione: permessi, runner, integrità degli artefatti
Gestione degli errori, scrittura di dati sensibili nei log, concorrenza
Infrastructure as code: Terraform, manifest Kubernetes, chart Helm
02Approccio
Come si svolge il lavoro
01
Avvio guidato dalle minacce
Partiamo da ciò che conta: le funzioni che gestiscono denaro, identità e segreti. Prima si legge l’architettura, poi il codice.
02
Analisi automatizzata
Analisi statica, analisi delle dipendenze e ricerca di segreti producono i candidati. Per i pattern specifici del tuo codice vengono scritte regole su misura.
03
Tracciamento manuale
Ogni candidato viene seguito dal punto di ingresso al sink. I falsi positivi vengono scartati, i problemi reali vengono confermati, dove possibile, su un’istanza in esecuzione.
04
Analisi delle varianti
Quando si trova un difetto, se ne cercano le varianti in tutta la base di codice. Di solito un rilievo ha dei parenti.
L’accesso è concesso a specialisti indicati per nome, il codice viene analizzato in un ambiente isolato e non viene copiato all’esterno. Le copie di lavoro vengono distrutte 30 giorni dopo la chiusura dell’incarico. Il codice non viene mai inviato a servizi di AI pubblici.
Usiamo già un analizzatore statico. Che cosa aggiunge una revisione manuale?
Un analizzatore riporta pattern. Non sa quale di essi è raggiungibile e non vede un controllo di autorizzazione mancante, perché una riga mancante non corrisponde a nessun pattern. La revisione risponde a entrambe le domande.
La revisione può essere limitata a una parte del codice?
Sì. La revisione di un singolo componente, delle modifiche successive a una release o di una sola pull request è un perimetro normale.