Vissa sårbarheter lämnar inga spår i beteendet hos ett system i drift fram till den dag de utnyttjas: en kontroll som saknas i en sällan använd gren, en svag slumptalsgenerator, en hemlighet i kodförrådets historik. De syns i koden.
Vi läser koden så som en angripare skulle läsa den om den läckte. Verktyg för statisk analys markerar kandidaterna, specialister följer data från ingångspunkten till den punkt där de används och avgör vad som är verkligt. Granskningen omfattar koden du har skrivit, de beroenden du har importerat och den pipeline som bygger dem, även kod som har tagits fram med AI-assistenter.
01Omfattning
Vad vi testar
Logik för autentisering och auktorisering, inklusive ramverkens konfiguration
Hantering av indata: injektion, deserialisering, operationer på filer och sökvägar
Kryptografi: algoritmer, lägen, hantering av nycklar och slumptal
Hemligheter i kod, konfiguration, infrastrukturdefinitioner och historik
Beroenden från tredje part och om de kan nås från din kod
Bygg- och leveranspipeline: behörigheter, runners, artefakters integritet
Felhantering, loggning av känsliga data, samtidighet
Infrastruktur som kod: Terraform, Kubernetes-manifest, Helm-charts
02Arbetssätt
Så utförs arbetet
01
Hotdriven start
Vi börjar med det som betyder något: de funktioner som hanterar pengar, identitet och hemligheter. Först läses arkitekturen, sedan koden.
02
Automatiserad analys
Statisk analys, beroendeanalys och sökning efter hemligheter ger kandidater. Egna regler skrivs för de mönster som är specifika för din kod.
03
Manuell spårning
Varje kandidat spåras från ingångspunkten till den punkt där data används. Falska positiva sorteras bort, verkliga problem bekräftas i en körande instans där det är möjligt.
04
Variantanalys
När en brist hittas genomsöks hela kodbasen efter varianter av den. Ett fynd har oftast släktingar.
Poäng och vektor för allvarlighetsgraden hos varje fynd.
FIRST
06Frågor
Frågor om den här tjänsten
Hur skyddar ni vår källkod?
Åtkomst ges till namngivna specialister, och koden analyseras i en isolerad miljö och kopieras inte utanför den. Arbetskopior förstörs 30 dagar efter att uppdraget har avslutats. Koden skickas aldrig till offentliga AI-tjänster.
Vi kör redan ett verktyg för statisk analys. Vad tillför en manuell granskning?
Ett analysverktyg rapporterar mönster. Det vet inte vilka av dem som går att nå, och det ser inte en behörighetskontroll som saknas, eftersom en rad som saknas inte matchar något mönster. Granskningen besvarar båda frågorna.
Kan granskningen begränsas till en del av koden?
Ja. En granskning av en enskild komponent, av ändringarna sedan en release eller av en enda pull request är en normal omfattning.