بازبینی کد منبع (White-Box)

یک ارزیابی امنیتی است که کد منبع اپلیکیشن را مستقیم می‌خواند تا آسیب‌پذیری‌ها، الگوهای ناامن و نقص‌های منطقی را در سطح کد بیابد؛ با ترکیب تحلیل استاتیک خودکار (SAST) و تحلیل ترکیب نرم‌افزار (SCA) و بازبینی دستی متخصص، و با سنجش در برابر راهنمای بازبینی کد OWASP، استاندارد OWASP ASVS و فهرست CWE Top 25.

SAST از ابزارهای خودکار برای اسکن سریع و گسترده‌ی الگوهای شناخته‌شده استفاده می‌کند، اما مثبت کاذب تولید می‌کند و نمی‌تواند درباره‌ی منطق کسب‌وکار یا قابل‌دسترس‌بودن قضاوت کند. در بازبینی دستی، یک مهندس کد را در بستر می‌خواند و داده را دنبال می‌کند و نقص‌های مجوزدهی، خطاهای منطقی و مسیرهای تزریقی را که یک ابزار از دست می‌دهد می‌گیرد. ما هر دو را به کار می‌گیریم و خروجی ابزار را به‌جای گزارش خام، غربال می‌کنیم.

تست جعبه‌سیاه فقط آنچه را که اپلیکیشن در حال اجرا نشان می‌دهد می‌بیند؛ بازبینی کد منبع همه‌ی مسیرها را می‌بیند، از جمله مسیرهایی که هیچ درخواستی در طول تست به آن‌ها نمی‌رسد: یک قابلیت غیرفعال، یک شاخه‌ی فقط‌مدیر، یک شرایط رقابتی، یک secret در مخزن. این دو مکمل یکدیگرند، اما دسترسی به کد منبع دسته‌هایی از نقص را می‌یابد که تست جعبه‌سیاه نمی‌تواند مشاهده کند.

دسترسی فقط‌خواندنی به مخزن، از راه کانالی که شما انتخاب می‌کنید، به‌علاوه‌ی بستر کافی برای ساخت و فهم کد (یک مرور کوتاه، فریم‌ورک، و بخش‌های حساس امنیتی). با زبان‌ها و فریم‌ورک‌های رایج وب و بک‌اند کار می‌کنیم و پشته‌ی دقیق در دامنه را هنگام دامنه‌گذاری توافق می‌کنیم.

بله؛ تحلیل ترکیب نرم‌افزار وابستگی‌های آسیب‌پذیر و قدیمی را شناسایی می‌کند، از جمله وابستگی‌های انتقالی که کد شما به‌طور غیرمستقیم می‌آورد، و نسخه‌های رفع‌شده را گزارش می‌کند. سهم بزرگی از رخنه‌های واقعی از یک وابستگی آغاز می‌شود، پس این بخشی از هر بازبینی است، نه یک افزودنی.

نقص‌های منطق کسب‌وکار، کنترل دسترسی شکسته و IDOR، شکاف‌های مجوزدهی که به بستر وابسته‌اند، و مسیرهای تزریق یا deserialization که فقط با ردیابی جریان داده آشکار می‌شوند. یک اسکنر الگو تطبیق می‌دهد؛ نمی‌تواند بداند که این کاربر نباید به آن رکورد برسد یا این جریان کاری قابل‌تکرار است.

هر یافته یک امتیاز CVSS برای یک مبنای مشترک می‌گیرد که با اثر واقعی در اپلیکیشن شما تعدیل می‌شود: چه چیزی را افشا می‌کند، چقدر قابل‌دسترس است و مهاجم چه به دست می‌آورد. یافته‌ها را به دسته‌ی ضعف CWE و الزام مرتبط OWASP ASVS نیز نگاشت می‌کنیم تا گزارش به یک استاندارد شناخته‌شده گره بخورد.

بازبینی فقط‌خواندنی و استاتیک است: کد منبع را می‌خوانیم، آن را روی سامانه‌های تولید شما اجرا نمی‌کنیم، و کد شما را تحت محرمانگی و با دسترسی محدود به مهندسان همان پروژه نگه می‌داریم. هیچ بخشی از آن محیط در حال اجرای شما را تغییر نمی‌دهد یا به آن نمی‌رسد.

بله؛ پس از رفع، یافته‌های گزارش‌شده را دوباره بازبینی می‌کنیم تا مطمئن شویم هر رفع پابرجاست و شکاف تازه‌ای باز نکرده است. مدت زمان به اندازه و پیچیدگی کدبیس بستگی دارد؛ بازبینی جامع یک اپلیکیشن متوسط معمولاً حدود دو تا چهار هفته طول می‌کشد و پس از دامنه‌گذاری برآورد دقیق می‌دهیم.