Kaynak Kod Analizi ve Uygulama Güvenliği
Manuel Kaynak Kod Analizi
Uygulamanızın kritik akışlarını kaynak kodda satır satır inceliyoruz. Otomatik araçların ve dış testlerin atladığı zafiyetleri kök nedenleriyle tespit ediyoruz.
Nedir?
Manuel kaynak kod analizi, uygulamaya giren verinin kod içindeki yolunu izler. Kullanıcı girdisi, bir güven sınırını geçtiği noktadan veritabanına veya başka bir servise ulaştığı yere kadar takip edilir. İnceleme, bir kontrolün varlığına değil, doğru yerde ve tüm yollarda çalışıp çalışmadığına odaklanır. Gereksinim referansı olarak OWASP ASVS kullanılır ve bulgular CWE sınıflarıyla eşleştirilir.
Kapsam
- Kimlik doğrulama, oturum yönetimi ve yetki kontrollerinin kodda izlenmesi
- Kullanıcı girdisinin sorgulara, komutlara ve şablonlara ulaştığı noktalar
- Dosya yükleme, nesne dönüştürme (deserialization) ve dış servis çağrıları
- Hata mesajlarına ve loglara hassas veri yazılması
- Bulunan her hata kalıbının kodun geri kalanında aranması
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Ödeme veya hesap yönetimi gibi kritik bir modül yayına alınmadan önce.
- Dış kaynakla geliştirilen bir uygulamayı teslim alırken veya bir yazılım şirketini satın alırken.
- Bir PCI DSS denetimi, yayından önce kaynak kod incelemesi yapıldığının kanıtını istediğinde.
Yöntem
Nasıl çalışıyoruz?
-
Kapsam
En kritik akışları ve bunları yöneten kod bölümlerini sizinle birlikte seçeriz.
-
Mimari okuma
Giriş noktalarını, güven sınırlarını ve kullandığınız framework'lerin güvenlik mekanizmalarını çıkarırız.
-
İnceleme
Her girdiyi koda girdiği yerden veriye ulaştığı yere kadar izleriz. Bulduğumuz hata kalıplarını kodun tamamında ararız.
-
Bulgular
Her bulguyu dosya ve satır referansıyla, istismar koşuluyla ve önerilen düzeltmeyle birlikte veririz.
Sonuç
Çalışmanın sonunda elinizde olan
Kritik akışlarınızdaki zafiyetler dosya ve satır düzeyinde elinizdedir. Aynı hatanın kodun diğer yerlerindeki örnekleri de listelenir.
Sık sorulan sorular
Statik analiz aracımız var. Manuel inceleme neden gerekli?
Statik analiz bilinen kalıpları bulur ama uygulamanızın iş kurallarını bilmez. Yetki ve iş mantığı hataları, kodun ne yapması gerektiğini bilen bir uzman tarafından bulunur.
Kaynak kodumuzu kurum dışına çıkarmamız gerekir mi?
Gerekmez. İnceleme, sizin sağladığınız ve kodun dışarı çıkmadığı bir ortamda da yapılabilir. Çalışma düzeni kapsamla birlikte belirlenir.
İnceleme ne kadar sürer?
Süre, kod satırı sayısından çok incelenecek akışların sayısı ve karmaşıklığına bağlıdır. Kapsam belirlendikten sonra takvimi yazılı olarak veririz.
Kaynak Kod Analizi ve Uygulama Güvenliği
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın