تدقيق الكود: الأدوات المجانية أم المدفوعة، أيهما يكتشف الثغرات؟

شركات التأمين المؤسسية لا تقبل مخرجات الأدوات التلقائية كـ 'تدقيق كود'. الماسحات التلقائية ترشد المطوّر فقط في مرحلة التطوير. الوثيقة التي ستعطيها لعميلك يجب أن تكون تقريراً يفحص فيه خبير البنية ويوقّع عليه؛ لا تصرف آلاف اليوروهات على الأدوات.

غداً فوراً أضف إلى خط التكامل المستمر لديك فاحص تبعيات مفتوح المصدر وماسح كود ساكن. أزل كل التحذيرات الحرجة والعالية المستوى التي تظهر. بعد تنظيف قاعدة كودك اطلب من خبير خارجي اختبار اختراق موجهاً لمدة يومين.

الفرق بين الأداتين يتلخص في ثلاث نقاط: 1) الإنذارات الخاطئة: الأدوات المجانية تعتبر سطوراً كثيرة غير ضارة على أنها أخطاء، بينما المدفوعة تتبع تدفق البيانات وتصفيها. 2) تقارير الامتثال: الأدوات المدفوعة تستخرج تقارير مؤسسية متوافقة مع المعايير بضغطة زر واحدة. 3) العمق: كلاهما لا يمكنه اكتشاف ثغرات المنطق البرمجي (business logic)، بل يفحصان نمط الكود فقط.

العام الماضي قمنا بفحص وحدة تخزين لدينا مكونة من 50 ألف سطر باستخدام أداة سطر أوامر مفتوحة المصدر مشهورة، وأيضاً بأداة مؤسسية جلبها العميل باشتراك سنوي قدره 12.000 يورو. الأداة مفتوحة المصدر وجدت 14 ثغرة حرجة، بينما وجدت الأداة المدفوعة 11 ثغرة (3 منها كانت إنذارات خاطئة). الفرق بصراحة لا يستحق هذه التكلفة أبداً.

تسويق "منصات الأمان المدفوعة" في السوق قائم بالكامل على تخويف الشركات. ما تفعله أغلب الأدوات في الخلفية هو مجرد تجميع لقواعد مفتوحة المصدر وعرضها في واجهة ويب جميلة. إذا لم يكن المبرمج لديك يمتلك وعياً أمنياً، فأغلى أداة لن تستطيع حماية النظام.

ثبّتوا أدوات فحص التبعيات مفتوحة المصدر في المستودع (repo) وهذا يكفي لكن طيب أصلاً أغلب الثغرات تظهر غالباً من المكتبات الخارجية التي تستوردونها وليس من الكود الذي كتبتموه بأنفسكم.

نحن أيضاً أصبنا بالذعر في أول عقد لشركة كبيرة واشتركنا في النسخة التجريبية الشهرية لأداة فحص باهظة الثمن.. والتقرير الناتج كان 200 صفحة، منها 190 صفحة تحذيرات تافهة عن المتغيرات، ولم نتمكن من شرح أي شيء للعميل. الفحص البسيط الذي يتم التحقق منه يدوياً دائماً ما يكون أكثر قيمة.

تدفع 15.000 يورو سنوياً وتشتري أداة مؤسسية، وينتهي الفحص ويخبرك أن "النظام نظيف"، وبعدها يقوم المتدرب بنسيان وضع تحقق من هوية المستخدم في بداية الدالة التي تجلب الفاتورة، فتتسرب قاعدة البيانات بالكامل. ابحثوا عن الأمان في ثقافة مراجعة الكود وليس في الأدوات.

سأجرب ذلك. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

صححوا لي إن أخطأت.

بالتأكيد. وإذا أردت إضافة شيء: الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أنا مشروع صغير، دعوني أشرح من منظوري. كل من يستعجل في أداة تحليل الكود يتعثر في نفس النقطة.

دعني أتركها كملاحظة، قد تكون مفيدة.

هناك شيء يجب الانتباه إليه. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

كل من يستعجل في أداة تحليل الكود يتعثر في نفس النقطة. لو كنت مكانك، لسلك هذا المسار.

صحيح. الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

دعني أتركها كملاحظة، قد تكون مفيدة.

ملخص سريع للجدد: لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

سأدافع عن الرأي المعاكس، لا تغضبوا. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

بالتوفيق.

شكرًا لكتابة هذا.

لم أكن أعلم بهذا.

لدي اعتراض هنا. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

مثبت بالتجربة.