Uygulama ve Yazılım Güvenliği
Kaynak Kod Güvenlik Analizi
Ödeme veya kredi başvurusu gibi akışları yöneten kod, uygulamanızın en değerli ve en sık değişen bölümüdür. Bu akışları satır satır inceliyoruz. Otomatik analiz ve dış testlerin tespit edemediği yetki ve iş mantığı hatalarını kaynağında buluyoruz.
Kaynak Kod Analizi ve Uygulama Güvenliği
Bazı zafiyetler yalnızca kodda ortaya çıkar. Sadece belirli bir rolde ve işlem sırasıyla tetiklenen bir yetki hatası, dış testte kolayca gözden kaçabilir. PCI DSS, özel yazılımların yayına alınmadan önce kod incelemesinden geçirilmesini ister.
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Ödeme gibi kritik bir modül yeniden yazıldığında veya yayına alınmadan önce.
- Bir yazılım şirketi satın alırken veya dış kaynakla geliştirilen bir uygulamayı devralırken.
- Sızma testleri her yıl aynı tür yetki hatasını tekrar bulduğunda.
- Bir denetçi veya PCI DSS değerlendirmesi, yayın öncesi kod incelemesinin kanıtını istediğinde.
Sorular
Bu çalışma neyi yanıtlar?
- Yetki kontrolünü aşan bir iş mantığı hatası var mı?
- Her müşterinin verisi kodda diğerlerinden doğru şekilde ayrılmış mı?
- Kodda veya depo geçmişinde açıkta kalan anahtar ya da parola var mı?
- Otomatik analiz sonuçlarından hangileri gerçek risk, hangileri gürültü?
Kaynak Kod Analizi ve Uygulama Güvenliği
Neler yapıyoruz
-
Manuel Kaynak Kod Analizi
Güven sınırını aşan her çağrıyı, kullanıcı girdisinden veritabanına kadar kodda izleriz.
-
İş Mantığı ve Yetkilendirme Analizi
Bir kullanıcının onay adımını atlayıp atlayamadığını veya limitini aşıp aşamadığını kodda araştırırız.
-
Statik Kod Analizi (SAST)
Statik kod taramasını geliştirme sürecinize entegre ederiz. Kuralları, gerçek bulguların gürültüden ayrılacağı şekilde ayarlarız.
-
Dinamik Uygulama Güvenlik Testi (DAST)
Çalışan uygulama için otomatik testler tasarlarız. Testler, giriş gerektiren akışları da kapsar.
-
Yazılım Bileşen Analizi (SCA)
Kullandığınız açık kaynak bir bileşendeki bilinen zafiyetin uygulamanızda gerçekten erişilebilir olup olmadığını belirleriz.
-
Parola ve Anahtar (Secret) Sızıntısı Taraması
Kodda ve depo geçmişinde açıkta kalan anahtar ve parolaları tespit ederiz.
-
Tehdit Modellemesi
Yeni bir özelliğin nasıl kötüye kullanılabileceğini, kod yazılmadan önce tasarım aşamasında belirleriz.
-
Güvenlik Mimarisi İncelemesi
Servisler arası güveni ve müşteri verisinin ayrımını mimari düzeyde değerlendiririz.
-
Düzeltme Desteği ve Kod Doğrulama
Düzeltmeyi geliştiricilerinizle birlikte tasarlarız. Değişikliği tekrar inceleyip bulguyu kapatırız.
-
Kriptografi Kullanım İncelemesi
Şifreleme ve imzalama kodundaki uygulama hatalarını buluruz. Anahtarların nasıl saklandığını da inceleriz.
İncelediğimiz alanlar
Kimlik doğrulama, yetki ve oturum kontrollerini inceleriz. Girdi, dosya ve dış servis çağrılarının nasıl işlendiğine bakarız. Şifreleme, müşteri ayrımı ve limit hesapları da kapsamdadır.
Çalışma yöntemi
Önce uygulamanın en kritik akışlarını sizinle birlikte seçeriz. Bulduğumuz her hata kalıbını kodun geri kalanında da ararız. Böylece aynı hatanın diğer örnekleri de kapatılır.
Sizden beklediklerimiz
İncelenecek depo ve sürüm, kısa bir mimari özet ve kritik akışların listesi gereklidir.
Çıktılar
Teslim edilenler
Her bulgu için dosya ve satır referansı. Hatanın hangi koşullarda istismar edilebileceğinin açıklaması. Aynı hata kalıbının kodda başka nerelerde geçtiği. Otomatik taramaya eklenebilecek kural önerileri.
NotKod incelemesi sızma testinin yerini tutmaz. Birlikte yapıldığında, dışarıdan tespit edilen bir bulgunun koddaki kök nedeni de ortaya çıkar.
İlgili hizmetler
Kapsamı Görüşün
Hedefinizi ve kritik sistemlerinizi paylaşın. Doğru kapsamı ilk görüşmede netleştirelim.
Görüşme Planlayın