Revisione del codice appena acquisito: da dove partire con la OWASP Top 10?

Per l'analisi manuale, una ricerca mirata nel testo aiuta moltissimo: 1) Query al DB con concatenazione diretta di variabili, 2) Secret o chiavi lasciati in chiaro nel codice, 3) Blocchi try/catch che restituiscono al client dettagli sensibili del sistema. Cercare questi pattern vi porterà via solo un paio d'ore.

Quando abbiamo ereditato un portale di dimensioni simili, con un controllo manuale abbiamo scovato 5 diverse falle di autorizzazione in due giorni. Gli scanner automatici non le avevano viste minimamente, perché solo una persona che legge la business logic può capire quali dati mostrare a chi.

Fate prima di tutto un audit delle dipendenze delle librerie terze usate nel progetto. Eseguite i comandi di security audit integrati nel vostro package manager e aggiornate i pacchetti con falle note. Spesso le falle più gravi lasciate dalle agenzie derivano proprio da librerie non aggiornate.

Per due developer che non hanno scritto quel codice è davvero dura mettere in sicurezza l'architettura di qualcun altro basandosi solo sulla lista OWASP. Se avete tempi stretti concentratevi solo sui permessi di accesso e sulle query al database, non perdete tempo con dettagli crittografici complessi.

controllate soprattutto se cambiando i parametri id nell'url riuscite ad accedere agli ordini di altri utenti, di solito le agenzie si dimenticano questi controlli di permessi sul backend

edit: ho corretto alcuni errori di battitura.

In fase di chiusura contrattuale con clienti enterprise del settore logistico è normale che venga richiesto un report di sicurezza indipendente. L'audit interno che state svolgendo rafforza la piattaforma, ma a livello legale o contrattuale potrebbe non sostituire una perizia esterna formale.

L'architettura è multi-tenant? Cioè tutti i clienti usano lo stesso database? In tal caso, il focus più critico dell'intera analisi deve essere il meccanismo di isolamento dei dati per evitare che un'azienda possa accedere alle tabelle di un'altra.

Anche se per team piccoli può sembrare un'impresa titanica, usare le linee guida OWASP come checklist e procedere passo dopo passo darà al vostro team una marcia in più a livello ingegneristico. Man mano che correggete i bug di business logic, tutta l'architettura diventerà molto più solida.

La strada che sembra economica di solito finisce per costare cara. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Argomento molto attuale. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

Se avete domande, scrivete, rispondo per quanto possibile.

Sono d'accordo in parte, in parte no. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Riassumo quanto detto finora. L'errore commesso da revisione del codice owasp top 10 è generalmente reversibile ma costoso.

Lascio una nota, potrebbe servire.

C'è una parte che non ho capito. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Il fatto che tutti facciano una cosa non significa che sia quella giusta. Buon lavoro.

C'è una trappola qui, non posso non segnalarla. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Confermato dall'esperienza.

Parlo dal lato opposto, io sono dalla parte dei fornitori. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Cercare di farlo da soli è la strada più costosa. Io seguirei questa strada.

salvato.

In generale è corretto ma manca un pezzo. onestamente quando prendi una decisione, guarda prima quali dati hai a disposizione.

Se scrivete qui il risultato sarà utile anche ad altri.

Esattamente così. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Cercare di farlo da soli è la strada più costosa.