Source Code Reviews
Durch Source Code Reviews können Sie die Sicherheit Ihrer Applikationen erhöhen, indem der Code von einem Sicherheitsexperten durchforstet wird und somit potentielle Risiken aufgedeckt werden. Der Code wird dabei auf Sicherheitslücken und Schwachstellen überprüft. So können beispielsweise NullPointerExceptions, File Inclusion, Filter Evasion, Code Execution und Buffer Overflows sowie weitere Schwachstellen im Code erkannt und zeitnah beseitigt werden.
Notwendigkeit
Viele Programmierer wechseln nach zwei Jahren den Arbeitgeber. Dafür übernehmen sie bei Ihrem neuen Arbeitgeben ein Projekt von einem anderen Programmierer, der gerade gekündigt hat. Nun muss sich dieser Programmierer mit dem Code seines Vorgängers und dessen Codestil anfreunden. Gleichzeit besteht oftmals ein hoher Zeitdruck, da Termine eingehalten werden müssen. Dies führt oftmals zu Lasten der Sicherheit, da die Programmierer versuchen, die ihnen vorgegebenen Usecases möglichst schnell in ausführbaren Code umzusetzen und somit keine Zeit finden, sich bereits während der Entwicklungsphase mit möglichen Angriffsvektoren auseinanderzusetzen.
Genau hier kann Sie ein erfahrener Sicherheitsexperte unterstützen und durch manuelle Source Code Reviews Ihrer Applikation Sicherheitslücken ausfindig machen und den Entwicklern technische Details darüber geben, wie Sicherheitslücken von vornherein vermieden werden können.
Ergebnisbericht
Bei Source Code Reviews enthält der Report jeweils einen Vergleich zwischen den im Quelltext vorhandenen sicherheitsanfälligen Zeilen und wie diese in abgesicherter Form realisiert werden sollten. Dadurch bleibt den Entwicklern viel Zeit bei der Suche nach einer geeigneten Funktion zum Absichern der anfälligen Stellen erspart und es entsteht nicht das Risiko, dass eine vermeintlich sichere API-Funktion verwendet wird, die falsch angewendet weitere potentielle Sicherheitslücken mit sich bringt.
Vertraulichkeitsvereinbarung
Selbstverständlich werden alle beim Kunden entdeckten Sicherheitslücken streng vertraulich behandelt und keine Informationen darüber herausgegeben. Dies wird bereits im Vorfeld durch unterschriebene Vertraulichkeitserklärungen abgedeckt.