Анализ уязвимостей

информационных систем

и приложений

Современные реалии предъявляют высокие требования к компьютерной безопасности компаний. Злоумышленники используют любые возможности для саботажа, мошенничества и получения несанкционированного доступа к информации. В том числе с помощью не декларированных возможностей и ошибок в кодах программного обеспечения (ПО), модулей и приложений.

Базовые функции ПО часто бывают недостаточными для конкретных пользователей, но имеют широкий спектр возможностей для адаптации к требованиям заказчика и расширения функционала. Для их реализации необходимо прибегать к услугам разработчиков, которые настраивают существующие модули или создают новые.

Случайная ошибка в работе или преднамеренная программная закладка могут привести к сбоям в работе и даже полному уничтожению используемой базы данных.

Программная закладка представляет собой особый участок кода, которым можно управлять с помощью секретных команд. Известны они исключительно разработчику, а тот в свою очередь может выполнять с их помощью любые операции.

Анализ приложений – это важная часть защиты вашей компании. Выявив уязвимости в программном обеспечении до его развертывания или покупки, анализ кода приложений поможет предотвратить угрозы и негативное влияние на конкурентоспособность и вашу прибыль.

Специалистов по анализу кодов и аудиторов привлекают для снижения рисков на этапе приёмки модулей компании. Они проверяют безопасность разработки, но этот способ контроля обладает некоторыми недостатками:

• высокой стоимостью;
• длительностью от 1 недели до нескольких месяцев, что замедляет процесс внедрения расширенного функционала ПО;
• человеческим фактором, который не исключает возможности допущения ошибки при проведении проверки.

Чтобы в короткие сроки выявить все слабые места ещё без использования программных продуктов существуют анализаторы исходного кода, пользуемые разработчики ПО. Например, статическое тестирование безопасности приложений.

Исходный код предполагает выявление уязвимостей и функциональных недочётов в развёрнутом или планируемом к развёртыванию ПО. Его выполнение не предполагает запуска приложения.

Таким образом при проведении статического анализа рассматривается исключительно код приложения, с которым взаимодействуют эксперты и сканер уязвимостей. При этом проблемы, связанные с инфраструктурой, подключением баз данных и закрытых библиотек не будет выявлены.

Поскольку не все ошибки можно обнаружить без запуска ПО, во время использования приложения проводится его динамический анализ. Он проверяет системную память, работу функций, производительность и время, которое необходимо системе для отклика.

Данный вид анализа выдаёт разработчику следующие виды показателей:

1. Ресурсы: объём задействованной памяти, время выполнения модуля или программы в целом, число внешних запросов и пр.
2. Метрики: тестовое покрытие кодов, цикломатическая сложность и т.д.
3. Ошибки: деление на 0, разыменование нулевого показателя, утечки памяти и др.
4. Уязвимости.

Статистический и динамический анализ могут производиться по отдельности, но не в состоянии заменить друг друга. Поэтому для бесперебойной работы разрабатываемого приложения требуется проведение комплексного анализа. Он позволит устранить часть ошибок и уязвимостей до запуска, а оставшееся количество – во время работы программы.

Чтобы удостовериться в качестве и безопасности приобретаемого вами программного обеспечения, закажите внедрение комплексного анализа кода в компании Cloud Networks.