Code-Audit: Kostenlose oder bezahlte Tools, welches findet die Lücken?

Gewerbliche Versicherer akzeptieren automatische Tool-Ausgaben nicht als 'Code-Audit'. Automatische Scanner dienen dem Entwickler nur als Orientierung während der Entwicklung. Das Dokument, das ihr eurem Kunden gebt, sollte ein Bericht sein, den ein Experte geprüft und unterschrieben hat; schüttet nicht tausende Euro in Tools.

Fügt morgen gleich einen Open-Source-Abhängigkeitsprüfer und einen statischen Code-Scanner in eure Continuous-Integration-Pipeline ein. Beseitigt alle kritischen und hochstufigen Warnungen, die auftauchen. Nachdem eure Codebasis bereinigt ist, fordert von einem externen Experten einen zweitägigen gezielten Penetrationstest an.

Der Unterschied zwischen beiden Tools lässt sich in drei Punkten zusammenfassen: 1) Fehlalarme: Kostenlose Tools stufen extrem viele harmlose Zeilen als Fehler ein, kostenpflichtige verfolgen den Datenfluss und filtern das raus. 2) Compliance-Berichte: Kostenpflichtige spucken mit einem Klick standardkonforme Enterprise-Reports aus. 3) Tiefe: Keines von beiden erkennt Logikfehler in den Geschäftsprozessen, sie schauen sich nur Code-Muster an.

Letztes Jahr haben wir unser 50.000 Zeilen langes Storage-Modul sowohl mit einem gängigen Open-Source-CLI-Tool als auch mit dem vom Kunden mitgebrachten Enterprise-Tool für 12.000 Euro im Jahr gescannt. Das Open-Source-Tool hat 14 kritische Lücken gefunden, das kostenpflichtige 11 (wovon 3 Fehlalarme waren). Der Unterschied rechtfertigt die Kosten definitiv nicht.

Das Marketing rund um „kostenpflichtige Sicherheitsplattformen“ basiert auf dem Markt komplett auf Unternehmensangst. Unter der Haube machen die meisten Tools nichts anderes, als Open-Source-Regelsätze zusammenzuschustern und in einer schicken Web-Oberfläche zu präsentieren. Wenn den Entwicklern das Sicherheitsbewusstsein fehlt, kann selbst das teuerste Tool das System nicht schützen.

haut euch einfach open-source-dependency-scanner ins repo, reicht völlig. übrigens die meisten sicherheitslücken knallen doch eh nicht im eigenen code durch, sondern über die libraries die man von extren reinzieht.

wir hatten bei unserem ersten Großkundenvertrag auch Panik und uns eine monatliche Testversion von so einem teuren Scan-Tool geholt dann von den 200 Seiten Bericht waren 190 Seiten völlig irrelevante Variablen-Warnungen – dem Kunden konnten wir damit rein gar nichts vermitteln. ein schlanker, manuell verifizierter Audit ist immer mehr wert.

Man zahlt 15.000 Euro im Jahr für ein Enterprise-Tool, der Scan läuft durch und sagt „alles sauber“ – und am Ende leakt die komplette Datenbank, weil der Praktikant vor der Rechnungsabruf-Funktion den Auth-Check vergessen hat. Sucht Sicherheit nicht in Tools, sondern in eurer Code-Review-Kultur.

Ich probiere es aus. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Korrigiert mich, falls ich falsch liege.

Absolut. Wenn ich noch etwas hinzufügen darf: Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Ich bin ein kleines Unternehmen, ich erzähle es aus meiner Sicht. Wer bei code-analyse-tool hetzt, stolpert alle an derselben Stelle.

Nur als Notiz, könnte nützlich sein.

Hier ist etwas zu beachten. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Wer bei code-analyse-tool hetzt, stolpert alle an derselben Stelle. An deiner Stelle würde ich so vorgehen.

richtig dann die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

nur als Notiz könnte nützlich sein.

kurzfassung für Neueinsteiger: Scheut euch ncht zu fragen wer nicht fragt, zahlt am Ende mehr.

das ist meine Meinung ich behapute nicht, dass es absolut richtig ist.

Ich werde das Gegenteil vertreten, bitte nicht böse sein. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Viel Erfolg.

Danke fürs Schreiben.

Das wusste ich nicht.

Hier habe ich einen Einwand. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Aus Erfahrung weiß ich das.