VE VÝVOJI · SOUKROMÉ PILOTY SE PŘIPRAVUJÍ
Bezpečnostní kontroly zdrojového kódu
Začněte konkrétním repozitářem a revizí. První postup Bracemontu pro zdrojový kód má odhalovat přístupové údaje a známé zranitelné závislosti a poskytnout člověku podklady pro rozhodnutí o nápravě.
Probrat rozsah pilotu →Co mají první kontroly pokrýt
První rozsah se zaměřuje na vzory přístupových údajů a porovnání verzí závislostí s bezpečnostními upozorněními. U každého nálezu má být uvedena revize, použitá kontrola a podklad pro dané pozorování.
Shoda závislosti s upozorněním sama o sobě nedokazuje zneužitelnost aplikace. Také řetězec odpovídající vzoru přístupového údaje vyžaduje kontrolu; nemusí jít o aktivní údaj.
Od repozitáře ke kontrole
Člověk před spuštěním schválí repozitář, revizi a povolené kontroly. Snímek zdrojového kódu se zpracovává jako nedůvěryhodná data pomocí pevně daných offline skenerů, bez spouštění samotné aplikace.
Navržený postup odděluje nepotvrzená pozorování od potvrzených nálezů. Citlivé hodnoty jsou redigovány a kontrolující má před rozhodnutím o nápravě vidět omezení provedeného testu.
Co připravit pro pilot
Určete repozitář, který smíte testovat, konkrétní revizi, soubory závislostí a člověka odpovědného za kontrolu výsledků. Před testem se dohodne nakládání s daty, výjimky, časové okno a postup zastavení.
Dalším krokem je rozhovor o rozsahu. Registrace zájmu neposkytuje přístup k repozitáři ani neopravňuje ke spuštění kontroly.
Dostupnost a omezení
Tento postup je ve vývoji. Termíny ani pokrytí soukromých pilotů nejsou potvrzené; úspěšný lokální test na syntetických datech nedokládá připravenost pro klientské posouzení.
Nejde o úplný audit zdrojového kódu, důkaz zneužitelnosti ani záruku, že repozitář neobsahuje zranitelnosti. Širší testování aplikační logiky není součástí tohoto počátečního rozsahu.