Анализ безопасности кода
Обнаружьте уязвимости в вашем исходном коде до их выхода в продакшен.
Обзор
Анализ безопасности кода — это углублённое изучение исходного кода приложения с целью обнаружения уязвимостей безопасности до их выхода в продакшен. Он сочетает автоматический статический анализ для широкого охвата и экспертный ручной анализ аутентификации, авторизации, бизнес-логики и криптографии — то есть зависящих от контекста недостатков, которые упускают инструменты, — с готовыми для разработчиков исправлениями. Непосредственное изучение кода помогает обнаружить небезопасные практики кодирования до развёртывания, когда проблемы наименее затратны для исправления. Распространённые результаты включают недостатки инъекций, слабую криптографию, слабые места аутентификации и небезопасные схемы кодирования.
Методология и стандарты
OWASP Code Review Guide 2.0, OWASP ASVS, OWASP Top 10 и стандарты безопасного кодирования, специфичные для языка. Инструменты SAST, дополненные ручным анализом критичных для безопасности путей кода. Каждый анализ сочетает автоматический анализ, ручной анализ кода, проверку уязвимостей и отчётность с рекомендациями по устранению.
Что входит
Что вы получаете
Часто задаваемые вопросы
SAST — это первый автоматический проход. Ручной анализ добавляет то, о чём инструменты не могут рассуждать: обход контроля доступа, неисправную бизнес-логику и небезопасное использование криптографии в контексте, с устранением ложных срабатываний.
Нам нужен доступ на чтение к соответствующим репозиториям. Для больших кодовых баз мы концентрируем ручные усилия на наиболее рискованных компонентах, тогда как SAST обеспечивает широкий охват.
Анализ безопасности кода помогает выявить слабые места безопасности на ранних этапах цикла разработки, снижая риск того, что уязвимости достигнут рабочих систем.