01Sorun ve çözüm
Kaynak kod güvenlik analizi hizmetinde kodunuzu hem araçlarla hem de bir güvenlik gözüyle satır satır okuyoruz. Kod paylaşmak güven ister; bu yüzden erişim yöntemi, kodun nerede tutulacağı ve iş bitince nasıl silineceği gizlilik sözleşmesiyle yazılı olarak belirlenir.
02Kimler için
Kaynak kod güvenlik analizi hangi durumlarda istenir
Kodu başkasının yazdığı ya da bilgisi tek bir kişide kalmış durumlarda değer taşır.
- Uygulamayı bir yazılım firmasına yaptırıp kaynak kodu teslim alan ve kabul etmeden önce güvenliğini görmek isteyen şirketler
- Bir yazılım ürününü ya da şirketini satın almadan önce teknik durum tespiti isteyen alıcılar
- Ekibi büyüyen ve güvenli kod yazma alışkanlığını ölçmek isteyen teknoloji yöneticileri
- Bir sızma testi bulgusunun kök nedenini kodda aramak isteyen geliştirme ekipleri
03İhtiyaçlar
Kodda aranan güvenlik sorunları
İnceleme, dışarıdan görünmeyen ama kodun kendisinden okunabilen risklere odaklanır.
- 01
Gömülü parola ve anahtarlar
Depoda ve sürüm geçmişinde kalan parolalar, belirteçler ve özel anahtarlar aranır. Silinmiş görünen bir sır geçmiş kayıtlarda durabilir.
- 02
Yetki kontrolü boşlukları
Bir işlemin yalnızca arayüzde değil sunucu kodunda da yetki doğrulaması yapıp yapmadığı, kritik her işlev için okunur.
- 03
Güvensiz girdi işleme
Veritabanı sorgusu, komut çalıştırma, dosya yolu ve şablon üretimi gibi noktalarda kullanıcı verisinin nasıl işlendiği incelenir.
- 04
Hatalı şifreleme kullanımı
Eski algoritmalar, sabit başlangıç değerleri ya da kendi yazılmış kripto kodları, korunuyormuş izlenimi verip aslında korumayabilir.
- 05
Bağımlılık riskleri
Kullanılan üçüncü taraf kütüphanelerin bilinen açıklı sürümleri ve artık bakımı yapılmayan paketler tespit edilir; kütüphanelerin kendi kodu satır satır okunmaz.
04Özellikler
Kaynak kod güvenlik analizi kapsamı ve teslimatlar
Derinlik, kodunuzun büyüklüğüne ve kritik bölümlerine göre ayarlanır.
- 01
Araç destekli tarama
Statik analiz araçları geniş alanı hızla tarar; sonuçlar elle ayıklanır, yanlış alarmlar rapora girmez.
- 02
Kritik akışların elle okunması
Kimlik doğrulama, yetkilendirme, ödeme, dosya işleme ve şifreleme gibi riskli bölümler satır satır gözden geçirilir.
- 03
Dosya ve satır referanslı bulgular
Her bulgu dosya, satır, açıklama, risk ve düzeltme önerisiyle yazılır; geliştirici doğrudan o noktaya gider.
- 04
Güvenli kodlama önerileri
Tekrar eden hata türleri için ekibinizin kod gözden geçirme listesine ekleyebileceği maddeler çıkarılır.
05Entegrasyonlar
Analizin bağlandığı geliştirme araçları
Kod, yaşadığı araçlarla birlikte düşünülür.
- 01
Kod deposu ve erişim yöntemi
Salt okunur erişim ya da paylaşılan arşivle çalışılır; erişim yetkisi sınırlandırılır ve iş bitince kapatılır.
- 02
CI/CD hattı ve derleme betikleri
Derleme ve dağıtım ayarları, sırların hatta saklanma biçimi ve izinler kontrol edilir.
- 03
Bağımlılıklar ve iş takibi
Paket kilit dosyaları, kullanılan sürümler ve güncelleme alışkanlıkları değerlendirilir. Bulgular, düzeltme işlerine bölünerek takip edilebilir kayıtlara dönüştürülür.
06Süreç
Kod analizi aşamaları
Adım 01
Kapsam, gizlilik ve erişim
Depolar, diller, kritik modüller ve erişim yöntemi yazılı olarak belirlenir; kodu incelemeye yetkili olduğunuz teyit edilir, gizlilik ve kod saklama koşulları sözleşmeye yazılır.
Adım 02
Mimariyi anlama
Ekibinizle yapılan kısa bir görüşmede uygulamanın bileşenleri, veri akışı ve riskli bölümleri tanımlanır.
Adım 03
Araç destekli tarama
Statik analiz araçları tüm depoyu tarar, çıktılar elle ayıklanır.
Adım 04
Elle inceleme
Kimlik doğrulama, yetki, ödeme, dosya işleme ve şifreleme kodu satır satır okunur.
Adım 05
Raporlama
Bulgular dosya ve satır referanslarıyla, düzeltme önerileriyle sunulur.
Adım 06
Düzeltme gözden geçirmesi
Düzeltilen kod yeniden incelenir, kapanan bulgular işaretlenir ve kod erişimi kapatılır.
07Teknoloji
Kaynak kod güvenlik analizinin yaklaşımı
Analiz OWASP Top 10 ve CWE sınıflandırmasına, güvenli geliştirme pratikleri için ise NIST SSDF (SP 800-218) rehberine dayanır. Sınıflandırma bulguyu anlaşılır kılar ve ekibinizin aynı hata türünü başka modüllerde aramasını kolaylaştırır.
Devamını okuDaha az göster
Dil ve çerçeve ön görüşmede netleştirilir. Kodu çalıştırmadan okuma ana yöntemdir; mümkünse kritik bulgular çalışan bir test ortamında da doğrulanır. Kod yazan bir ekip olarak, 50+ projelik geçmişimizden gelen bakışla rapora yalnızca hatayı değil gerçekçi bir düzeltme yaklaşımını da yazarız; değişiklikleri sizin onayınız olmadan koda uygulamayız.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
Kaynak kod güvenlik analizi hakkında sık sorulan sorular
Kodumu paylaşmak güvenli mi, gizlilik nasıl sağlanır?
Gizlilik koşulları çalışmadan önce sözleşmeye yazılır. Salt okunur erişim veya şifreli arşiv tercih edilir, kod yalnızca analiz amacıyla kullanılır; saklama ve silme koşulları da yazılı olarak kararlaştırılır. Kodu bir yazılım firması geliştirdiyse, incelemeye yetkili olduğunuzu yazılı teyit etmenizi isteriz.
Kaynak kod güvenlik analizi fiyatları neye göre belirlenir?
Depo sayısı, kod büyüklüğü, kullanılan diller, kritik modüllerin yoğunluğu ve elle inceleme derinliği fiyatı belirler. Kapsam ön görüşmede örnek bir bölüm üzerinden netleştirilebilir.
Kaynak kod güvenlik analizi firması kodun hangi bilgilerini ister?
Depo erişimi ya da arşiv, kullanılan dil ve çerçeve, derleme yönergeleri, varsa mimari belge ve kritik işlevlerin kısa anlatımı. Güvenle inceleyemeyeceğimiz bir teknoloji varsa bunu baştan söyleriz.
Kod incelemesi sızma testinin yerine geçer mi?
Hayır, ikisi birbirini tamamlar. Kod incelemesi nedeni, sızma testi etkiyi gösterir. Kodda görülen bir şüphe çalışan sistemde kullanılamıyorsa önceliği düşer.
Tüm kod mu okunur, yoksa örnekleme mi yapılır?
Araçlar tüm depoyu tarar, elle okuma ise riskli bölümlere odaklanır. Hangi bölümlerin satır satır inceleneceği kapsam belgesinde yazılır.
Analiz sonunda kodu siz mi düzeltirsiniz?
Rapor düzeltme önerileri ve gerekirse örnek kod parçaları içerir. Değişiklikleri koda uygulamak ayrı bir iştir ve yalnızca yazılı onayınızla yapılır; isterseniz düzeltmeleri ekibinizle birlikte gözden geçiririz.
10İlgili hizmetler