Kaynak Kod Analizi ve Uygulama Güvenliği
Tehdit Modellemesi
Yeni bir ürün veya özellik için kötüye kullanım senaryolarını kod yazılmadan önce, tasarım aşamasında belirliyoruz. Güvenlik gereksinimleri geliştirme başlamadan netleşir.
Nedir?
Tehdit modellemesi, bir sistemin nasıl kötüye kullanılabileceğini tasarıma bakarak sistematik olarak sorgular. Önce veri akış diyagramı çizilir ve güven sınırları belirlenir. Her akış, STRIDE gibi bir yöntemle kimlik sahteciliği, veri değiştirme veya yetki yükseltme açısından incelenir. Sonuç, geliştiricilerin uygulayabileceği ve test edilebilen güvenlik gereksinimleridir.
Kapsam
- Veri akış diyagramı ve güven sınırlarının belirlenmesi
- Ürün, geliştirme ve operasyon ekipleriyle ortak oturumlar
- Kötüye kullanım senaryolarının olasılık ve etkiye göre sıralanması
- Her önemli senaryo için tasarım kararı ve güvenlik gereksinimi
- Gereksinimlerin iş takip sisteminize kayıt ve test senaryosu olarak aktarılması
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- İş ortaklarına açılacak yeni bir API tasarlanırken.
- Mevcut bir ürüne ödeme veya yapay zekâ özelliği eklenirken.
- Bir ihale şartnamesi, yazılımın güvenlik gereksinimlerinin tasarım aşamasında tanımlanmasını istediğinde.
Yöntem
Nasıl çalışıyoruz?
-
Hazırlık
Mimari belgeleri ve kullanıcı senaryolarını inceler, oturumlara katılacak kişileri belirleriz.
-
Model
Veri akış diyagramını ekiplerinizle birlikte çizer, güven sınırlarını belirleriz.
-
Tehditler
Her akışı yapılandırılmış bir yöntemle sorgular, kötüye kullanım senaryolarını önem sırasına koyarız.
-
Gereksinimler
Her önemli senaryo için tasarım kararını ve test edilebilir güvenlik gereksinimini yazarız.
Sonuç
Çalışmanın sonunda elinizde olan
Ürününüzün tehdit modeli ve ondan çıkan güvenlik gereksinimleri elinizdedir. Model, ürün değiştikçe ekiplerinizin güncelleyebileceği biçimde teslim edilir.
Sık sorulan sorular
Tehdit modellemesi ne kadar sürer?
Tek bir özellik için genellikle birkaç oturum yeterlidir. Ürünün tamamı için süre, bileşen ve entegrasyon sayısına göre belirlenir.
Ekiplerimiz bunu kendileri yapabilir mi?
Evet, hedeflerden biri de budur. İlk modelleri birlikte çıkarır, ekiplerinizin sonraki özellikler için kullanacağı şablonu ve yöntemi bırakırız.
Kod yazıldıktan sonra da yapılabilir mi?
Yapılabilir ve mevcut sistemlerdeki riskli tasarım kararlarını görünür kılar. En büyük fayda ise tasarım henüz değişebilirken elde edilir.
Kaynak Kod Analizi ve Uygulama Güvenliği
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın