Beschreibung

Der Prozess besteht im Wesentlichen aus zwei Phasen: In der ersten wird die gesamte Anwendung wird durch eine oder mehrere statische Analysetools untersucht. Diese Werkzeuge haben den Zweck, die Ausführung des Codes zu simulieren und möglichen Schwachstellen desselbigen zu identifizieren. Dieser Ansatz hat große Vorteile im Vergleich zur alleinigen Testung der Anwendung, denn man hat hier die volle Kenntnis über die Verhaltensweise der Applikation.

In der nächsten Phase wird der Code manuell analysiert, mit Fokussierung auf die heikelsten Teile der Anwendung. Diese Analyse wird von einem heterogenen Team von hochspezialisierten Personen durchgeführt, mit dem Ziel, alle verschiedenen Schwachstellen, die nicht sofort identifizierbar sind zu bestimmen.

Diese zweite Phase ist notwendig, da die automatisierten Tools aufgrund der intrinsischen Komplexität der Aufgabe nicht in der Lage sind alle Schwachstellen korrekt zu identifizieren.

Output

Am Ende wird dem Kunden ein Bericht vorgelegt, welcher aus zwei Abschnitten besteht:

Executive Summary
Gibt eine Zusammenfassung über die im Quellcode der Applikation bemerkten Probleme und eventuelle Implementierungsfehler. Außerdem liefert er eine Bewertung des generellen Sicheheitsniveaus.

Vulnerability Details
Gibt für jede entdeckte Problematik den Abschnitt des entsprechenden Quellcodes an, eine detaillierte Erklärung des ausgemachten Problems und eine Lösung desselbigen (Remediation).

Video CR - Code Review