Code Review (CR)
Quellcodeanalyse zur Erkennung von Sicherheitslücken vor der Produktion
Der Code Review Prozess zielt darauf ab, Sicherheitslücken im Quellcode zu ermitteln. Er repräsentiert eine der wichtigsten Etappen bei der Entwicklung sicherer Anwendungen, indem er erlaubt, Sicherheitsprobleme zu identifizieren, bevor die Software in die Produktion geht, um so deutlich die Kosten zu senken.
Das Code Review hat einen hohen Grad an Komplexität, weshalb es wichtig ist, dass der Auditor eine solide Grundlage der Konzepte sicherer Programmierung und der wichtigsten Arten von Angriffen hat und dass er zudem gut vertraut mit dem Lesen und der Analyse von Codes ist.
Der von ISGroup angebotene Code Review Service wird von einem Team von Personen mit langjähriger Erfahrung - sowohl in der Programmierung als auch in der Analyse von Quellcodes großer Applikationen - durchgeführt.
ISGroup ist der ideale Anbieter für Ihren Bedarf an Network Penetration Tests und operiert ersthaft und anerkannten internationalen Standards entsprechend auf höchstem Qualitätsniveau - dank des konstanten Engagements in der Forschung. Kontaktieren Sie uns für nähere Informationen und erfragen Sie ein individuelles Angebot.
Der Prozess besteht im Wesentlichen aus zwei Phasen: In der ersten wird die gesamte Anwendung wird durch eine oder mehrere statische Analysetools untersucht. Diese Werkzeuge haben den Zweck, die Ausführung des Codes zu simulieren und möglichen Schwachstellen desselbigen zu identifizieren. Dieser Ansatz hat große Vorteile im Vergleich zur alleinigen Testung der Anwendung, denn man hat hier die volle Kenntnis über die Verhaltensweise der Applikation.
In der nächsten Phase wird der Code manuell analysiert, mit Fokussierung auf die heikelsten Teile der Anwendung. Diese Analyse wird von einem heterogenen Team von hochspezialisierten Personen durchgeführt, mit dem Ziel, alle verschiedenen Schwachstellen, die nicht sofort identifizierbar sind zu bestimmen.
Diese zweite Phase ist notwendig, da die automatisierten Tools aufgrund der intrinsischen Komplexität der Aufgabe nicht in der Lage sind alle Schwachstellen korrekt zu identifizieren.
Du erhältst ein klares und detailliertes Dokument, gegliedert in drei Bereiche.
Fasst die im Quellcode der Anwendung gefundenen Probleme und eventuelle Implementierungsfehler zusammen und bewertet das allgemeine Sicherheitsniveau.
Gibt für jedes gefundene Problem den betroffenen Abschnitt des Quellcodes, eine detaillierte Erklärung des Problems und seine Lösung (Remediation) an.
Ordnet die empfohlenen Maßnahmen nach Risiko (kritisch, hoch, mittel, niedrig) und nach Behebungsaufwand (hoch, mittel, niedrig).
Spezialisten analysieren Geschäftslogik, Zugriffskontrollen und Abläufe, die den Anwendungskontext erfordern.
Kombiniert statische Analyse, manuelle Validierung der Ergebnisse und Prüfung besonders kritischer Codeteile.
Prüft den Code mit KI und lässt die Sicherheitsbefunde durch einen Spezialisten validieren.
Nach Abschluss des Code Reviews erhältst du ein unterzeichnetes Dokument auf Italienisch und Englisch, das Tätigkeit, Zeitraum und Umfang angibt. Anders als der Bericht enthält es keine Schwachstellen und keine technischen Details: Du kannst es allen vorlegen, die danach fragen, ohne dich angreifbar zu machen. Es ist im Service enthalten.
Ein Secure Code Review ist eine Sicherheitsanalyse des Quellcodes einer Anwendung. ISGroup kombiniert Werkzeuge zur statischen Analyse (SAST) mit der manuellen Prüfung von Abläufen, Kontrollen, Berechtigungen und Geschäftslogik, für den Code und die kritischen Komponenten, die im Angebot vereinbart sind.
Das Code Review untersucht den Quellcode, während ein Penetrationstest Verhalten und exponierte Oberflächen der laufenden Anwendung prüft. Für Webanwendungen ist der Web Application Penetration Test der passende Service, für iOS- und Android-Apps das Mobile Application Security Testing.
Für den Start des Code Reviews benötigt ISGroup den Quellcode, übermittelt über einen sicheren digitalen Kanal und, wenn die Analysewerkzeuge es erfordern, als kompilierbares Projekt.
Die Kosten des Code Reviews hängen vom gewählten Modell ab: hybride Prüfung mit Werkzeugen und manueller Analyse, Best Effort oder ein Aufwand, der nach der Anzahl der Codezeilen (SLOC) bemessen wird. Preis und Dauer stehen im Angebot, sobald der Umfang festgelegt ist. Vor dem Angebot steht eine kostenlose 30-minütige Beratung zur Verfügung, um Repositorys, Sprachen und Ziele zu klären.
Der Code-Review-Bericht enthält eine Executive Summary für das Management, Technical Details mit betroffenem Code, Erklärung und Korrektur jedes Problems sowie einen nach Risiko und Behebungsaufwand geordneten Remediation Plan. Du erhältst außerdem eine unterzeichnete Durchführungsbescheinigung. Sie enthält keine Angaben zu Schwachstellen oder technischen Details und kann an Dritte weitergegeben werden.
ISGroup veröffentlicht Advisories und Exploits nach dem Modell der Responsible Disclosure, abgestimmt auf die Veröffentlichung der Korrektur durch den Hersteller. Die veröffentlichten Advisories und CVEs findest du im Bereich Forschung.
Gestalten Sie aus Ihren Sicherheitsprioritäten eine passgenaue Offerte