Egy elavult könyvtár is elég lehet
Az alkalmazások jelentős része külső könyvtárakra épül, amelyekben rendszeresen fedeznek fel ismert sérülékenységeket.
Egy elavult függőség akkor is kockázatot jelent, ha a saját kód hibátlan.
Forráskód-vizsgálat
Mennyire biztonságos a kód, amelyre a működés épül?
Átnézzük a forráskódot, és megmutatjuk, mely hibák válnának élesben kihasználható sérülékenységgé, amíg a javításuk még gyors és olcsó.
Üzleti kockázat
A biztonsági hibák gyakran már a fejlesztés során keletkeznek.
A forráskód hibái sokáig észrevétlenek maradhatnak, majd az éles rendszerben sérülékenységként jelentkezhetnek. A hitelesítés, a jogosultságkezelés, az adatkezelés és a függőségek korai vizsgálatával mérsékelhetők a későbbi kockázatok.
Az automatizált elemzés önmagában kevés
A statikus kódelemzés gyorsan jelzi a gyakori hibákat, de nem helyettesíti a manuális vizsgálatot.
A jogosultságkezelés, a hitelesítés és az üzleti logika összetett hibáinak feltárásához szakértői elemzés szükséges.
A későn feltárt hibák többe kerülnek
Minél később derül ki egy kódszintű hiba, annál több munkát és költséget jelenthet a javítása.
A korai vizsgálat mérsékli a javítás és az áttervezés ráfordításait, valamint a későbbi üzleti kockázatokat.
Minden megállapításhoz megadjuk a pontos kódhelyet, a kockázat súlyosságát (CVSS) és a javítás módját, így a fejlesztők azonnal nekiláthatnak. Az eredmények a Whiteshield online felületén is áttekinthetők.
Konzultáció kéréseMódszertan
Így vizsgáljuk a forráskódot valós körülmények között.
A statikus elemzést manuális kódvizsgálattal, futásidejű megfigyeléssel és célzott hibakereséssel egészítjük ki. Így nemcsak az ismert sérülékenységeket tárjuk fel, hanem azt is megvizsgáljuk, hogyan lehet visszaélni az alkalmazás működésével.
- Ismert, nem biztonságos kódminták automatizált felismerése
- Hitelesítési és jogosultságkezelési logika
- Jelszókezelés és jogosultságok érvényesítése
- Adatbázis-hozzáférések és bizalmas adatok védelme
- Hibás fejlesztési gyakorlatok, nem használt vagy elavult kód
- SQL injection: kockázatok és paraméterezett lekérdezések
- Cross-site scripting (XSS): bemenetellenőrzés és kimenetkezelés
- Nem biztonságos deszerializáció
- Kódbefecskendezést lehetővé tevő veszélyes függvények
- Véletlenszerű bemeneti adatok
- A hibatűrés értékelése
- Váratlan hibák és instabil működés
- A futtatási környezet elemzése
- Memóriahasználat és futó folyamatok
- Az alkalmazás viselkedése működés közben
- A függőségek verziói
- A felhasznált könyvtárak nyilvánosan ismert sérülékenységei
- A sérülékeny összetevők hatása az alkalmazásra
- Súlyossági besorolás CVSS v3.1 és v4.0 szerint
- Kapcsolódás az OWASP Top 10-hez, ahol releváns
- A megállapítások elérhetők a Whiteshield platformján
- A hibák, bizonyítékok és leírások online áttekinthetők
Cikkek
Forráskód-biztonság a gyakorlatban.
Szakmai írások arról, hogyan vezethetnek valós alkalmazáskockázatokhoz a nem biztonságos kódolási megoldások, a sérülékeny függőségek és a logikai hibák.
Kódelemzés
Kódelemzés: miért és mikor? Tényleg fontos?
Mikor és miért van szükség a biztonsági szempontú kódelemzés igénybevételére? Tényleg ennyire fontos? Megválaszoljuk a kérdéseket!…
Tovább olvasom
Biztonságos fejlesztés
Minden alkalmazásunk biztonságos és védett!
Mi történik, ha holnap itt az átadás határideje, de kiderül, hogy az alapvető biztonsági szabályokat sem tartották be a fejlesztők? Ráadásul a hardver eszközök könnyen kihasználható, jól dokumentált biztonsági réseket …
Tovább olvasom
Konzultáció
A biztonság egy beszélgetéssel kezdődik.
Sablonos értékesítési bemutató helyett beszéljünk arról, hogyan érintik vállalatát az üzletmenet-folytonossági és működési kockázatok.