Niektóre podatności nie zostawiają śladu w zachowaniu działającego systemu aż do dnia, w którym ktoś je wykorzysta: brakujące zabezpieczenie w rzadko używanej gałęzi kodu, słaby generator liczb losowych, sekret w historii repozytorium. Widać je w kodzie.
Czytamy kod tak, jak czytałby go atakujący, gdyby kod wyciekł. Narzędzia analizy statycznej wskazują potencjalne problemy, a specjaliści śledzą dane od punktu wejścia do miejsca użycia i rozstrzygają, co jest rzeczywistym problemem. Przegląd obejmuje Twój własny kod, zależności, które importujesz, i potok, który je buduje, w tym kod powstały z pomocą asystentów AI.
01Zakres
Co testujemy
Logika uwierzytelniania i autoryzacji, w tym konfiguracja frameworka
Obsługa danych wejściowych: wstrzykiwanie, deserializacja, operacje na plikach i ścieżkach
Kryptografia: algorytmy, tryby, obsługa kluczy i liczb losowych
Sekrety w kodzie, konfiguracji, definicjach infrastruktury i historii
Zależności zewnętrzne i ich osiągalność z Twojego kodu
Potok budowania i dostarczania: uprawnienia, runnery, integralność artefaktów
Obsługa błędów, logowanie danych wrażliwych, współbieżność
Infrastruktura jako kod: Terraform, manifesty Kubernetesa, charty Helm
02Podejście
Jak przebiega praca
01
Start od zagrożeń
Zaczynamy od tego, co ważne: funkcji, które obsługują pieniądze, tożsamość i sekrety. Najpierw czytamy architekturę, potem kod.
02
Analiza automatyczna
Analiza statyczna, analiza zależności i skanowanie sekretów wskazują potencjalne problemy. Dla wzorców specyficznych dla Twojego kodu piszemy własne reguły.
03
Ręczne śledzenie
Każdy potencjalny problem śledzimy od punktu wejścia do miejsca użycia. Fałszywe alarmy odrzucamy, a rzeczywiste problemy potwierdzamy, jeśli to możliwe, na działającej instancji.
04
Analiza wariantów
Gdy znajdziemy błąd, szukamy jego wariantów w całej bazie kodu. Jedno znalezisko zwykle ma krewnych.
Dostęp otrzymują imiennie wskazani specjaliści, kod analizujemy w odizolowanym środowisku i nie kopiujemy go poza nie. Kopie robocze niszczymy 30 dni po zamknięciu projektu. Nigdy nie przesyłamy kodu do publicznych usług AI.
Korzystamy już z analizatora statycznego. Co daje ręczny przegląd?
Analizator wskazuje wzorce. Nie wie, które z nich są osiągalne, i nie widzi brakującej kontroli autoryzacji, bo brakujący wiersz nie pasuje do żadnego wzorca. Przegląd odpowiada na oba pytania.
Czy przegląd można ograniczyć do części kodu?
Tak. Przegląd jednego komponentu, zmian od określonego wydania lub jednego pull requesta to zwykły zakres.