Zafiyet Araştırması
Kök Neden ve Yama Analizi
Bir zafiyetin koddaki gerçek kaynağını tespit ediyoruz. Yamanın bu kaynağı kapatıp kapatmadığını ve aynı hatanın başka yollarla tetiklenip tetiklenemeyeceğini inceliyoruz.
Nedir?
Zafiyet duyuruları genellikle sadece belirtiden bahseder, nedeni açıklamaz. Kök neden analizi, eksik kontrolün veya hatalı varsayımın kodda tam olarak nerede olduğunu gösterir. Yama analizi ise yamalı ve yamasız sürümleri karşılaştırarak yamanın neyi değiştirdiğini ortaya koyar. Böylece eksik yamalar ve aynı hatanın varyantları tespit edilir.
Kapsam
- Ürününüzde bildirilen veya tespit edilen bir zafiyetin kök neden analizi
- Kullandığınız bir ürünün güvenlik yamasının önceki sürümle karşılaştırılması
- Aynı kod kalıbının ürünün diğer bölümlerinde aranması (varyant analizi)
- Düzeltmenin desteklenen tüm sürümlere uygulanıp uygulanmadığının kontrolü
- Yama hemen uygulanamıyorsa geçici önlem ve tespit önerileri
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- İnternete açık bir VPN veya güvenlik duvarı cihazınızda kritik bir zafiyet duyurulduğunda ve yamanın yeterliliğinden emin olmadığınızda.
- Ürününüzde düzeltilmiş bir zafiyet farklı bir girdiyle yeniden ortaya çıktığında.
- Yamayı hemen uygulayamadığınızda ve kalan riskin gerçek boyutunu bilmeniz gerektiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Karşılaştırma
Yamalı ve yamasız sürümleri karşılaştırır, değişen kod bölümlerini belirleriz.
-
Kök neden
Hatanın hangi varsayımdan kaynaklandığını ve hangi koşullarda tetiklendiğini belirleriz.
-
Varyant arama
Aynı kalıbı kodun diğer bölümlerinde ve farklı sürümlerde ararız.
-
Değerlendirme
Yamanın yeterliliğini, kalan riski ve geçici önlemleri sizinle paylaşırız.
Sonuç
Çalışmanın sonunda elinizde olan
Yamanın zafiyeti kökten kapatıp kapatmadığını bilirsiniz. Kalan varyantlar ve yama uygulanana kadar alınacak önlemler öncelik sırasıyla elinizdedir.
Sık sorulan sorular
Kaynak kod olmadan da yapılabilir mi?
Evet. Analiz derlenmiş sürümler karşılaştırılarak yapılabilir. Kaynak kod varsa daha hızlı ilerler.
Yamada eksiklik bulunursa ne olur?
Bulgu üreticiye koordineli zafiyet bildirimiyle iletilir. Düzeltme yayımlanana kadar ayrıntılar yalnızca sizinle ve üreticiyle paylaşılır.
Başka bir üreticinin yamasını incelemek lisans açısından sorun olur mu?
Bazı lisans sözleşmeleri tersine mühendisliği kısıtlayabilir. Çalışmaya başlamadan önce kapsamı lisans koşullarına göre sizinle birlikte değerlendiririz.
Zafiyet Araştırması
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın