Dažas ievainojamības neatstāj nekādas pēdas darbojošās sistēmas uzvedībā līdz dienai, kad tās izmanto uzbrukumā: trūkstoša pārbaude reti izmantotā koda zarā, vājš gadījumskaitļu ģenerators, noslēpums repozitorija vēsturē. Tās ir redzamas kodā.
Kodu lasām tā, kā to lasītu uzbrucējs, ja kods būtu nopludināts. Statiskās analīzes rīki atzīmē iespējamās problēmas, speciālisti izseko datiem no ieejas punkta līdz bīstamajai operācijai un izlemj, kas ir reāls. Pārbaude aptver jūsu rakstīto kodu, importētās atkarības un plūsmu, kas tās būvē, tostarp kodu, kas radīts ar MI asistentu palīdzību.
01Tvērums
Ko mēs testējam
Autentifikācijas un autorizācijas loģika, tostarp ietvaru konfigurācija
Ievades apstrāde: injekcijas, deserializācija, darbības ar failiem un ceļiem
Kriptogrāfija: algoritmi, režīmi, atslēgu un gadījumskaitļu apstrāde
Noslēpumi kodā, konfigurācijā, infrastruktūras definīcijās un vēsturē
Trešo pušu atkarības un to sasniedzamība no jūsu koda
Būvēšanas un piegādes plūsma: piekļuves tiesības, izpildītāji, artefaktu integritāte
Kļūdu apstrāde, sensitīvu datu žurnalēšana, vienlaicīgums
Infrastruktūra kā kods: Terraform, Kubernetes manifesti, Helm charts
02Pieeja
Kā notiek darbs
01
Draudu vadīts sākums
Sākam ar to, kas ir svarīgs: ar funkcijām, kas apstrādā naudu, identitāti un noslēpumus. Vispirms lasām arhitektūru, pēc tam kodu.
02
Automātiskā analīze
Statiskā analīze, atkarību analīze un noslēpumu meklēšana atrod iespējamās problēmas. Jūsu kodam raksturīgajiem modeļiem rakstām pielāgotus noteikumus.
03
Manuāla izsekošana
Katru iespējamo problēmu izsekojam no ieejas punkta līdz bīstamajai operācijai. Viltus trauksmes atmetam, reālās problēmas, ja iespējams, apstiprinām darbojošā instancē.
04
Variantu analīze
Kad ir atrasta nepilnība, visā koda bāzē meklējam tās variantus. Vienam konstatējumam parasti ir radinieki.
Katra konstatējuma bīstamības vērtējums un vektors.
FIRST
06Jautājumi
Jautājumi par šo pakalpojumu
Kā jūs aizsargājat mūsu pirmkodu?
Piekļuvi piešķir konkrētiem, vārdā nosauktiem speciālistiem, kodu analizējam izolētā vidē un ārpus tās nekopējam. Darba kopijas iznīcinām 30 dienas pēc projekta slēgšanas. Kodu nekad neiesniedzam publiskos MI pakalpojumos.
Mēs jau izmantojam statisko analizatoru. Ko dod manuāla pārbaude?
Analizators ziņo par modeļiem. Tas nezina, kuri no tiem ir sasniedzami, un neredz trūkstošu autorizācijas pārbaudi, jo trūkstoša rinda neatbilst nevienam modelim. Pārbaude atbild uz abiem jautājumiem.
Vai pārbaudi var ierobežot ar daļu koda?
Jā. Viena komponenta, izmaiņu kopš laidiena vai viena pull request pārbaude ir parasts tvērums.