Некоторые уязвимости никак не проявляются в поведении работающей системы до дня, когда ими воспользуются: пропущенная проверка в редко используемой ветке, слабый генератор случайных чисел, секрет в истории репозитория. Они видны в коде.
Мы читаем код так, как его читал бы злоумышленник после утечки. Инструменты статического анализа отмечают кандидатов, специалисты прослеживают данные от точки входа до места использования и решают, что из этого реально. Аудит охватывает ваш код, импортированные зависимости и конвейер, который их собирает, — в том числе код, написанный с помощью AI-ассистентов.
01Объём
Что мы проверяем
Логика аутентификации и авторизации, включая конфигурацию фреймворков
Обработка ввода: инъекции, десериализация, операции с файлами и путями
Криптография: алгоритмы, режимы, работа с ключами и случайными числами
Секреты в коде, конфигурации, описаниях инфраструктуры и истории
Сторонние зависимости и их достижимость из вашего кода
Конвейер сборки и доставки: права, раннеры, целостность артефактов
Обработка ошибок, запись чувствительных данных в журналы, конкурентность
Инфраструктура как код: Terraform, манифесты Kubernetes, чарты Helm
02Подход
Как выполняется работа
01
Вход от угроз
Начинаем с главного: с функций, которые работают с деньгами, идентификацией и секретами. Сначала читается архитектура, затем код.
02
Автоматизированный анализ
Статический анализ, анализ зависимостей и поиск секретов дают кандидатов. Под характерные для вашего кода шаблоны пишутся собственные правила.
03
Ручная трассировка
Каждый кандидат прослеживается от точки входа до места использования. Ложные срабатывания отбрасываются, реальные проблемы по возможности подтверждаются на работающем экземпляре.
04
Поиск вариантов
Когда ошибка найдена, вся кодовая база проверяется на её варианты. У одной находки обычно есть родственники.
Доступ получают поимённо названные специалисты, код анализируется в изолированной среде и не копируется за её пределы. Рабочие копии уничтожаются через 30 дней после закрытия проекта. Код никогда не передаётся в публичные AI-сервисы.
У нас уже работает статический анализатор. Что добавит ручной аудит?
Анализатор сообщает о шаблонах. Он не знает, какие из них достижимы, и не видит пропущенной проверки авторизации: отсутствующая строка не совпадает ни с одним шаблоном. Аудит отвечает на оба вопроса.
Можно ли ограничить аудит частью кода?
Да. Аудит одного компонента, изменений с момента релиза или одного pull request — обычный объём работ.