セキュアコードレビュー
概要
セキュアコードレビューは、デプロイ前にアプリケーションコードの脆弱性を精査する、ソースコードのセキュリティ評価です。IntelligenceXは、自動化されたSASTと専門家による手動コードレビューを組み合わせ、認証・認可の欠陥、安全でないビジネスロジック、インジェクションの脆弱性、暗号の弱点、そして自動化ツールでは見逃されがちな安全でないコーディング慣行を特定します。
方法論＆標準
当社のセキュアコードレビューの方法論は、OWASP Code Review Guide 2.0、OWASP ASVS、OWASP Top 10に準拠し、言語固有のセキュアコーディング標準に支えられています。SASTスキャンと、ソースコードの手動レビュー、脆弱性の検証、修正ガイダンスを組み合わせ、重要なコード経路全体にわたるセキュリティ上の弱点を特定します。
含まれる内容
自動SASTコード解析
手動ソースコードセキュリティレビュー
認証・認可テスト
ビジネスロジックと暗号のレビュー
OWASP準拠のセキュアコーディング評価
誤検知の検証
優先順位付けされた修正ガイダンス
提供される成果物
ファイル・行・深刻度の参照を伴う詳細なソースコードセキュリティの検出結果
セキュアコードの修正推奨とコードスニペット
OWASP ASVSのカバレッジとセキュリティ評価レポート
脆弱性の根本原因と修正についての開発者向けウォークスルー
再テストによる検証と修正確認の支援
OWASP準拠経営層向けレポート修正ガイダンス再テストを含む証明書スキャナーのダンプなし
よくある質問
SASTは自動化された最初のパスです。手動レビューは、ツールが推論できないもの--アクセス制御の不備、欠陥のあるビジネスロジック、文脈における安全でない暗号の使用--を、誤検知を除外したうえで補います。
関連するリポジトリへの読み取りアクセスが必要です。大規模なコードベースでは、SASTが幅広く網羅する一方で、手動の労力を最もリスクの高いコンポーネントに集中させます。
セキュアコードレビューは、開発ライフサイクルの早期にセキュリティ上の弱点を特定するのに役立ち、脆弱性が本番システムに到達するリスクを低減します。