Kaynak Kod Analizi ve Uygulama Güvenliği
Yazılım Bileşen Analizi (SCA)
Uygulamanızda kullanılan açık kaynak bileşenleri ve bağımlılıklarını çıkarıyoruz. Bilinen bir zafiyetin uygulamanızda erişilebilir olup olmadığını gösteriyoruz.
Nedir?
Bir uygulama, doğrudan eklediğiniz paketlerle birlikte onların getirdiği dolaylı bağımlılıkları da çalıştırır. SCA bu bileşenleri listeler ve bilinen zafiyet kayıtlarıyla eşleştirir. Ham sonuçtaki birçok uyarı, uygulamanızın hiç çağırmadığı fonksiyonlara aittir. Erişilebilirlik analizi, zafiyetli kodun uygulamanızdan çağrılıp çağrılmadığını gösterir ve gerçek riski ayırır.
Kapsam
- Doğrudan ve dolaylı bağımlılıkların sürümleriyle listelenmesi
- Zafiyetli fonksiyonun uygulamanızdan çağrılıp çağrılmadığının tespiti
- CISA KEV kataloğu ve EPSS ile istismar olasılığına göre önceliklendirme
- Güncelleme yolunun ve uyumu bozan değişikliklerin (breaking change) değerlendirilmesi
- Bakımı bırakılmış paketlerin ve lisans risklerinin belirlenmesi
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Bileşen tarayıcınız yüzlerce uyarı ürettiğinde ve hangisinin önce kapatılacağına karar veremediğinizde.
- Bir müşteri veya denetçi, bilinen zafiyetli bir bileşenin neden hâlâ kullanıldığını sorduğunda.
- PCI DSS'in özel yazılımınızdaki üçüncü taraf bileşenler için istediği envanteri oluşturmanız gerektiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Envanter
Paket yöneticisi ve kilit dosyalarından tüm bağımlılıkları sürümleriyle çıkarırız.
-
Eşleştirme
Bileşenleri bilinen zafiyet kayıtlarıyla eşleştirir, sonucu tekrarlardan arındırırız.
-
Erişilebilirlik
Her kritik bulgu için zafiyetli kodun uygulamanızdan çağrılıp çağrılmadığını inceleriz.
-
Önceliklendirme
Erişilebilir ve istismar edildiği bilinen zafiyetleri öne alır, güncelleme yolunu gösteririz.
Sonuç
Çalışmanın sonunda elinizde olan
Hangi bileşen zafiyetinin uygulamanızda gerçekten risk oluşturduğunu bilirsiniz. Güncellemeler gerçek etkiye göre sıralanarak planlanabilir.
Sık sorulan sorular
Zafiyetli bileşen erişilebilir değilse güncellemeyi erteleyebilir miyiz?
Önceliği düşürmek için geçerli bir gerekçedir. Ancak kodunuz değiştikçe zafiyetli fonksiyon ileride çağrılabilir. Bu nedenle bileşenin bir sonraki planlı güncellemede yükseltilmesini öneririz.
SCA ile SBOM arasındaki fark nedir?
SBOM, bir sürümdeki bileşenlerin kaydıdır. SCA ise bu bileşenlerdeki zafiyetleri bulur ve uygulamanız için gerçek riski değerlendirir.
Lisans uyumu da kapsama giriyor mu?
Bileşenlerin lisansları listelenir ve kurum politikanızla çelişenler işaretlenir. Hukuki değerlendirme hukuk biriminize kalır.
Kaynak Kod Analizi ve Uygulama Güvenliği
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın