Noen sårbarheter etterlater ingen spor i oppførselen til et system i drift, helt til den dagen de blir utnyttet: en manglende kontroll i en gren som sjelden brukes, en svak generator for tilfeldige tall, en hemmelighet i historikken til repositoriet. De er synlige i koden.
Vi leser koden slik en angriper ville gjort hvis den hadde lekket. Verktøy for statisk analyse markerer kandidatene, og spesialistene følger dataene fra inngangspunktet til stedet der de brukes, og avgjør hva som er reelt. Gjennomgangen dekker koden du har skrevet, avhengighetene du har importert, og pipelinen som bygger dem, også kode som er skrevet med KI-assistenter.
01Omfang
Hva vi tester
Logikk for autentisering og autorisasjon, inkludert konfigurasjonen av rammeverk
Håndtering av input: injeksjon, deserialisering, operasjoner på filer og stier
Kryptografi: algoritmer, moduser, håndtering av nøkler og tilfeldige tall
Hemmeligheter i kode, konfigurasjon, infrastrukturdefinisjoner og historikk
Avhengigheter fra tredjeparter og om de kan nås fra koden din
Bygge- og leveransepipeline: tilganger, runnere, integriteten til artefakter
Feilhåndtering, logging av sensitive data, samtidighet
Infrastruktur som kode: Terraform, Kubernetes-manifester, Helm-charts
02Fremgangsmåte
Slik utføres arbeidet
01
Trusselbasert startpunkt
Vi begynner med det som betyr noe: funksjonene som håndterer penger, identitet og hemmeligheter. Arkitekturen leses først, koden deretter.
02
Automatisert analyse
Statisk analyse, analyse av avhengigheter og skanning etter hemmeligheter gir kandidater. Egne regler skrives for mønstrene som er spesifikke for koden din.
03
Manuell sporing
Hver kandidat spores fra inngangspunktet til stedet der dataene brukes. Falske positiver forkastes, og reelle problemer bekreftes i en kjørende instans der det er mulig.
04
Variantanalyse
Når vi finner en feil, søker vi gjennom hele kodebasen etter varianter av den. Ett funn har som regel slektninger.
Poengsum og vektor for alvorlighetsgraden til hvert funn.
FIRST
06Spørsmål
Spørsmål om denne tjenesten
Hvordan beskytter dere kildekoden vår?
Tilgang gis til navngitte spesialister, og koden analyseres i et isolert miljø og kopieres ikke ut av det. Arbeidskopier destrueres 30 dager etter at oppdraget er avsluttet. Koden sendes aldri til offentlige KI-tjenester.
Vi bruker allerede et verktøy for statisk analyse. Hva tilfører en manuell gjennomgang?
Et analyseverktøy rapporterer mønstre. Det vet ikke hvilke av dem som kan nås, og det ser ikke en manglende autorisasjonskontroll, fordi en linje som mangler, ikke passer med noe mønster. Gjennomgangen svarer på begge spørsmålene.
Kan gjennomgangen avgrenses til en del av koden?
Ja. En gjennomgang av én komponent, av endringene siden en utgivelse eller av én pull request er et vanlig omfang.