Kai kurie pažeidžiamumai veikiančios sistemos elgsenoje nepalieka pėdsakų iki tos dienos, kai jais pasinaudojama: trūkstamas tikrinimas retai naudojamoje šakoje, silpnas atsitiktinių skaičių generatorius, paslaptis repozitorijos istorijoje. Jie matomi kode.
Kodą skaitome taip, kaip jį skaitytų užpuolikas, jei kodas nutekėtų. Statinės analizės įrankiai pažymi kandidatus, o specialistai seka duomenis nuo įėjimo taško iki vietos, kur jie panaudojami (angl. sink), ir nusprendžia, kas yra tikra. Peržiūra apima jūsų parašytą kodą, jūsų importuotas priklausomybes ir jas kompiliuojantį konvejerį, įskaitant kodą, sukurtą su DI asistentais.
01Apimtis
Ką testuojame
Autentifikavimo ir autorizacijos logika, įskaitant karkaso konfigūraciją
Įvesties apdorojimas: įterpimas, deserializacija, operacijos su failais ir keliais
Kriptografija: algoritmai, režimai, raktų ir atsitiktinių skaičių tvarkymas
Paslaptys kode, konfigūracijoje, infrastruktūros apibrėžtyse ir istorijoje
Trečiųjų šalių priklausomybės ir jų pasiekiamumas iš jūsų kodo
Kompiliavimo ir pristatymo konvejeris: teisės, vykdyklės (angl. runners), artefaktų vientisumas
Klaidų apdorojimas, jautrių duomenų įrašymas į žurnalus, lygiagretumas
Infrastruktūra kaip kodas: „Terraform“, „Kubernetes“ manifestai, „Helm“ diagramos
02Darbo eiga
Kaip atliekamas darbas
01
Pradžia nuo grėsmių
Pradedame nuo to, kas svarbu: funkcijų, kurios tvarko pinigus, tapatybę ir paslaptis. Pirmiausia skaitome architektūrą, tik tada kodą.
02
Automatinė analizė
Statinė analizė, priklausomybių analizė ir paslapčių paieška pateikia kandidatus. Jūsų kodui būdingiems šablonams rašome atskiras taisykles.
03
Rankinis sekimas
Kiekvieną kandidatą sekame nuo įėjimo taško iki panaudojimo vietos. Klaidingus aliarmus atmetame, o tikras problemas, kai įmanoma, patvirtiname veikiančioje sistemoje.
04
Variantų analizė
Radę trūkumą, visame kode ieškome jo variantų. Vienas radinys paprastai turi giminaičių.
Prieiga suteikiama tik įvardytiems specialistams, kodas analizuojamas izoliuotoje aplinkoje ir už jos ribų nekopijuojamas. Darbines kopijas sunaikiname praėjus 30 dienų nuo projekto užbaigimo. Kodo niekada neteikiame viešosioms DI paslaugoms.
Jau naudojame statinį analizatorių. Ką papildomai duoda rankinė peržiūra?
Analizatorius praneša apie šablonus. Jis nežino, kuris iš jų pasiekiamas, ir nemato trūkstamo autorizacijos tikrinimo, nes trūkstama eilutė neatitinka jokio šablono. Peržiūra atsako į abu klausimus.
Ar peržiūrą galima apriboti kodo dalimi?
Taip. Vieno komponento, pakeitimų nuo tam tikros versijos arba vienos sujungimo užklausos (angl. pull request) peržiūra yra įprasta apimtis.