Kaynak Kod Analizi ve Uygulama Güvenliği
Parola ve Anahtar (Secret) Sızıntısı Taraması
Kodunuzda ve depo geçmişinizde açıkta kalan parola, API anahtarı ve erişim belirteçlerini buluyoruz. Her birinin neye eriştiğini gösterip değiştirilmesini planlıyoruz.
Nedir?
Koda yazılan bir parola veya bulut erişim anahtarı, satır silinse bile depo geçmişinde kalır. Deponun kopyasına sahip herkes ve her makine bu değeri görebilir. Bu nedenle tarama yalnızca güncel kodu değil, tüm geçmişi ve derleme çıktılarını kapsar. Geçerli bir anahtarı koddan silmek yeterli değildir, anahtarın değiştirilmesi gerekir.
Kapsam
- Tüm branch'ler ve commit geçmişinde tarama
- Konteyner imajları, yapılandırma dosyaları ve CI/CD tanımları
- Bulunan her değerin hangi sisteme, hangi yetkiyle eriştiğinin belirlenmesi
- Geçerli değerlerin değiştirilmesi için sıra ve sorumluların belirlenmesi
- Yeni sızıntıları commit öncesi ve CI/CD aşamasında yakalayan kontroller
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Bir deponuz yanlışlıkla herkese açık olduğunda veya bir geliştiricinin dizüstü bilgisayarı kaybolduğunda.
- Bulut hesabınızda veya loglarınızda tanımadığınız bir erişim gördüğünüzde.
- Bir denetimde, kaynak kodunuzda parola bulunmadığını göstermeniz gerektiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Tarama
Tüm depoları ve commit geçmişini otomatik araçlarla tarar, sonuçları tek tek inceleriz.
-
Etki
Her değerin hangi sisteme eriştiğini ve geçerli olup olmadığını sistem sahipleriyle belirleriz.
-
Değiştirme
Geçerli değerlerin hizmeti kesmeden değiştirilmesi için sıra ve sorumlu belirleriz.
-
Önleme
Yeni sızıntıları commit öncesi ve CI/CD hattında yakalayan kontroller kurarız.
Sonuç
Çalışmanın sonunda elinizde olan
Açıkta kalan her parola ve anahtarın neye eriştiği ve değiştirilip değiştirilmediği elinizde olur. Koda yeni bir parola yazıldığında commit veya CI/CD aşamasında uyarı üretilir.
Sık sorulan sorular
Depo geçmişini temizlemek yeterli mi?
Yeterli değildir. Değer, deponun daha önce alınmış kopyalarında ve derleme çıktılarında kalabilir. Geçerli her anahtarın değiştirilmesi gerekir.
Bulduğunuz anahtarlarla sistemlerimize erişir misiniz?
Hayır. Bir anahtarın geçerliliği ve yetkisi, sistem sahibinin panelinden veya onun onayıyla yapılan, veri okumayan bir kimlik sorgusuyla belirlenir.
Bulunan değerler raporda yer alır mı?
Değerler raporda maskelenmiş olarak yer alır. Tarama sizin ortamınızda çalıştırılabilir, böylece kodunuz ve değerler kurum dışına çıkmaz.
Kaynak Kod Analizi ve Uygulama Güvenliği
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın