Audyt kodu źródłowego

Bezpieczeństwo zaczyna się od kodu!

Dowiedz się więcej Pobierz przewodnik OWASP Code Review Guide

Audyt kodu źródłowego to usługa analizy kodu aplikacji, której celem jest wykrycie nieprawidłowej architektury, niebezpiecznych i niewspieranych bibliotek, umyślnych furtek (backdoor), naruszeń prawnych i licencyjnych oraz błędów bezpieczeństwa powstałych w trakcie wytwarzania oprogramowania przez zespół developerów. Usługa jest specjalistycznym testem bezpieczeństwa prowadzonym przez zespół inżynierów wspierany programistami oraz architektami oprogramowania. Badanie realizowane jest w labolatorium BLUEsec przy zapewnieniu najwyższych standardów bezpieczeństwa kodu dostarczonego przez Klienta.

Audyt kodu źródłowego jest obecnie uważany za jeden z najbardziej krytycznych etapów cyklu rozwoju systemów. Badanie powinno być zrealizowane przed produkcyjnym uruchomieniem wytwarzanej aplikacji. Zrealizowanie testu bezpieczeństwa pozwala zabezpieczyć aplikacje przed ujawnieniem danych produkcyjnych (np. danych osobowych lub innych informacji chronionych), nieautoryzowanym dostępem .

Wyceń usługę >>Testy penetracyjne >>OWASP Poland Day >>

Dowiedz się więcej o usłudze audytu kodu źródłowego

Wykorzystywane techniki przeglądu kodu źródłowego

Metoda badania
Analiza statyczna
Analiza dynamiczna
Przegląd kodu aplikacji

Badanie realizowane jest poprzez analizę statystyczną i dynamiczną kodu aplikacji oraz przegląd kodu (code review). Audyt poprzedzony jest przeglądem dokumentacji rozwiązania. Analiza umożliwia weryfikację zarówno najczęściej spotykanych zagrożeń jak i zaawansowanych błędów bezpieczeństwa. W trakcie badania aplikacja zostanie zweryfikowana pod kątem:

walidacji danych wejściowych / wyjściowych,
komponentów uwierzytelnienia oraz autoryzacji,
mechanizmów zarządzania sesją,
mechanizmów zarządzania pamięcią (cookies, local storage, temp files),
środków kryptografii,
przechwytywania oraz obsługi błędów,
logowania zdarzeń oraz rozliczalności,
biznesowej logiki bezpieczeństwa,
komunikacji z zewnętrznymi procesami,
egzystencji plików płaskich,
parametrów zewnętrznych wywołań,
zmiennych środowiskowych.

Analiza statystyczna kodu aplikacji pozwala na identyfikację błędów programistycznych oraz podatności bibliotek stron trzecich. Analiza realizowana jest poprzez wykorzystanie dedykowanych skanerów kodów oraz weryfikację wyników przez doświadczonego inżyniera bezpieczeństwa teleinformatycznego. Wynikiem analizy jest zestawienie zidentyfikowanych nieprawidłowości, które zawiera miejsce wystąpienia błędu, opis oraz powagę błędu a także szczegółowa rekomendacja pozwalająca na usunięcie luki bezpieczeństwa.

Analiza dynamiczna kodu źródłowego polega na wykonywaniu testów na uruchomionej aplikacji. Aby audyt kodu źródłowego był skuteczny, weryfikowana aplikacja poddawana jest praktycznemu testowi polegającemu na zasilenie go danymi wejściowymi. Zastosowanie środków testowania oprogramowania, takich jak pokrycie kodu, pomaga zapewnić, że zaobserwowano odpowiedni fragment zestawu możliwych zachowań programu. Badanie pozwala monitorować zachowanie aplikacji z zaistnieniem specyficznych warunków wejściowych. Analiza wykonywana jest przez zespół składający się z inżyniera bezpieczeństwa oraz programisty.

Przegląd kodu aplikacji umożliwia ocenę architektury rozwiązania, w tym w szczególności zastosowanie podstawowych i zaawansowanych zabezpieczeń, standardów oraz dobrych praktyk w zakresie wytwarzania oprogramowania, tj. walidacja danych wejściowych i wyjściowych, bezpieczne przechowywanie informacji uwierzytelniającej czy egzystencja tylnych furtek (backdoor). Przegląd prowadzony jest przez programistę przy wsparciu doświadczonego inżyniera bezpieczeństwa teleinformatycznego. Wynikiem przeglądu jest ogólna ocena architektury rozwiązania, lista błędów bezpieczeństwa wraz z sposobem ich remediacji. Wnioski z analizy mogą posłużyć zespołowi developerów w przyszłości, przy pracach nad nowymi projektami.