Ajansın bıraktığı kodu devraldık — güvenli kod incelemesi nasıl yapılmalı ve nereden başlanmalı?

İlk acil adımınız Git geçmişini temizlemek olmalı. Kod dosyasındaki şifreyi silip yeni commit atsanız bile o şifreler Git geçmişinde sonsuza kadar açık kalır. Açık kaynaklı gizli bilgi tarayıcılarıyla tüm commit geçmişini tarayın, geçmişi baştan yazarak anahtarları temizleyin ve o şifreleri derhal sunuculardan değiştirin.

Hemen yarın geliştiriciniz paket yöneticisinin yerel güvenlik denetim komutunu çalıştırsın. İki yıllık kütüphanelerin içinde muhtemelen yayınlanmış onlarca kritik güvenlik bülteni vardır. Sadece paketleri güncel ve kararlı sürümlere yükseltmek bile riskinizin yarısını anında ortadan kaldırır.

Biz de geçen yıl devraldığımız 30 bin satırlık projede statik kod analizi çalıştırdık. Sistem 142 potansiyel uyarı verdi, geliştiricimiz bunları incelediğinde 8 tanesinin doğrudan veritabanı sızıntısına yol açabilecek gerçek açık olduğunu gördü. Bu 8 açığı kapatmak sadece üç günümüzü aldı.

Otomatik analiz araçlarına çok fazla güvenmeyin, binlerce satırlık raporda çıkan yüzlerce yanlış pozitif uyarı arasında boğulabilirsiniz. En büyük veri sızıntıları kütüphane açıklarından deil, ajans yazılımcısının 'nasılsa kimse denemez' diyerek atladığı basit oturum kontrolü hatalarından çıkar. Manuel mantık testine ağırlık verin.

sifreleri koda gomen ajans buyuk ihtimalle dosya yukleme kismina da hic bakmamistir... musteri evrak yuklerken arkaya php calistirabilir dosya atilabiliyor mu acilen onu test edin en tehlikeli kapi orasi.

Tespit edilen bulguları kurumsal bir güvenlik risk matrisinde kayıt altına alınız. Açıkları kritik, yüksek ve orta olarak derecelendirin. Veritabanı ve müşteri gizliliğini doğrudan tehdit eden kritik açıklar kapatılmadan sistemin canlı ortamda müşteri kullanımına açık kalması hukuki açıdan ciddi sorumluluklar doğurabilir.

Ajansla yapılan sözleşmeyi tekrar açıp bakın. Çoğu sözleşmede kodun sektörel standartlara ve temel güvenlik pratiklerine uygun teslim edileceğine dair gizli veya açık bi garanti maddesi bulunur. Kod içine şifre gömmek açık bi ayıplı hizmettir, düzeltmeler için ajansa resmi bi ihtarda bulunma hakkınız olabilir.

statik kod inceleme araclari kodlari calistirmadan nsl inceliyor? canli sunucuya kurmadan ve veeriitabanina baglanmadan bi fonksiyonun acik icerdigini bu araclar tam olarak nsl anlayabiliyor?

güvenli kod incelemesi konusunda hiç tecrübem yok, o yüzden soruyorum. İlk üç ay her şey iyi gider, sorun dördüncü ayda çıkar.

Küçük bir deneme ile başlayın, tmmını bir anda bağlamayın. Sorunuz olursa yazın, elimden geldiğince cevaplarım.

ben de meerak ediyorum

Bu yaklaşımın bir bedeli var o da konuşulmuyor. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Sorunuz olursa yazın, elimden geldiğince cevaplarım.

Aynı şeyi ben de düşünüyordum. Otomatik tarama raporu ile sızma testi aynı şey değil.

Ben olsam bu yoldan giderdim.

Aynısını yaşadım. Ölçmeden karar verince hep aynı yere geliyoruz.

Bu kadar, uzattıysam kusura bakmayın.

Aynı şeyi ben de düşünüyordum. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim. Not olarak bırakayım, lazım olur.

bunu yaparken bakılacak üç şey var. inasnlra süreci değil, alışkanlığı savunur. direnç oradan gelir.

aynı durumdayım, o yüzden soruyorum. neyse izin ve kapsam yazılı değilse o test başlamasın.

kayıt tutmyan hiçbi süreç düzelmiyor çünkü neyi düzelteceğinizi bilmiyorsunuz. benim görüşüm bu kesin doğru diye yazmıyorum.

Bende tam tersi oldu o yüzden yazıyorum. güvenli kod incelemesi tarafında yapılan hata genelde geri dönülebilir ama pahalı.

Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.

Kafamdaki soru işareti kalktı teşekkürler. Bir sorunu fark etme süreniz, o sorunun maliyetini doğrudan belirliyor.

Sorunuz olursa yazın elimden geldiğince cevaplarım.