01Sorun ve çözüm
SAST analizi hizmetinde aracı kurmakla yetinmiyor, kodunuzun diline, çatısına ve mimarisine göre ayarlıyoruz. Mevcut bulguları tek tek gözden geçirip gerçek olanları ayırıyor, geri kalanını gerekçesiyle kapatıyor ve bundan sonra yalnızca yeni eklenen koddaki sorunların geliştiriciye gösterildiği bir düzen kuruyoruz. Böylece analiz, ekibin her gün baktığı bir kontrol olarak yaşamaya devam ediyor.
02Kimler için
SAST analizi hangi ekiplere fayda sağlar
Kodun sık değiştiği ve birden fazla geliştiricinin aynı depoya yazdığı her ortamda değer üretir.
- Haftada birçok kez canlıya çıkan ve her sürümde elle güvenlik incelemesi yapmaya vakti olmayan ürün ekipleri
- Daha önce bir SAST aracı satın almış ama bulgu kalabalığı yüzünden kullanmayı bırakmış yazılım şirketleri
- Dış kaynaklı geliştiricilerle ya da serbest yazılımcılarla çalışan ve gelen kodu otomatik süzmek isteyen işletmeler
- Müşterisinin güvenli yazılım geliştirme sürecine dair kanıt istediği SaaS ve kurumsal yazılım sağlayıcıları
- DevSecOps dönüşümüne başlamak isteyen ve ilk somut adımı pipeline içinde atmayı planlayan BT birimleri
03İhtiyaçlar
Statik analiz kurulumlarında görülen sorunlar
Aracın kendisinden çok, ayarlanma ve sürece yerleştirilme biçimi sonucu belirler.
- 01
Yanlış alarm yükü
Varsayılan kural setleri her olası kalıbı işaretler. Kodunuzda girdiyi zaten temizleyen bir katman varsa araç bunu bilmez ve aynı uyarıyı yüzlerce dosyada tekrarlar.
- 02
Çatıyı tanımayan kurallar
Laravel, Spring, Django ya da Next.js gibi çatıların kendi yönlendirme ve şablon mekanizmaları vardır. Kurallar bunları tanımıyorsa veri akışı yanlış izlenir ve gerçek açıklar gözden kaçar.
- 03
Geç gelen geri bildirim
Tarama yalnızca gece ya da sürüm öncesinde çalışıyorsa, bulgu geliştirici başka bir işe geçtikten sonra gelir. Düzeltme maliyeti artar ve sorumluluk belirsizleşir.
- 04
Sahipsiz bulgular
Bulgular ayrı bir panelde birikiyor ve kimseye atanmıyorsa liste büyür, kimse okumaz. Bulgunun, kodu yazan kişinin çalıştığı yerde, yani birleştirme isteğinde görünmesi gerekir.
04Özellikler
SAST analizi hizmeti kapsamında yapılanlar
Çalışma, mevcut kodun ilk taramasıyla başlar ve sürekli çalışan bir kontrolle sonuçlanır.
- 01
İlk tarama ve elle ayıklama
Bütün depo taranır, bulgular önem sırasına göre tek tek incelenir. Gerçek açıklar örnek kod satırı ve düzeltme önerisiyle raporlanır; yanlış alarmlar gerekçesiyle işaretlenir.
- 02
Başlangıç çizgisi
İncelenmiş eski bulgular bir başlangıç çizgisine alınır. Böylece geliştirici yalnızca kendi eklediği koddaki yeni sorunları görür, eski borç ayrı bir planla eritilir.
- 03
Kodunuza özel kurallar
İç kütüphanelerinizdeki güvenli ve güvensiz fonksiyonlar, yetki kontrolü yapılmadan çağrılmaması gereken servisler gibi kurumunuza özgü kalıplar için ek kurallar yazılır.
- 04
Engelleme politikası
Hangi önem düzeyindeki bulgunun birleştirmeyi durduracağı, hangisinin yalnızca uyarı olarak kalacağı ekibinizle birlikte kararlaştırılır ve istisna süreci belgelenir.
05Entegrasyonlar
Kod depoları, CI/CD ve analiz araçları
Analizi geliştiricinin zaten kullandığı araçların içine yerleştiriyoruz.
- 01
Kod barındırma platformları
GitHub, GitLab, Bitbucket veya Azure DevOps üzerinde birleştirme isteklerine satır bazlı yorum olarak bulgu düşülür.
- 02
Pipeline adımları
GitHub Actions, GitLab CI ya da Jenkins gibi pipeline araçlarına tarama adımı eklenir; yalnızca değişen dosyaların taranmasıyla süre kısa tutulur.
- 03
Analiz motorları
Semgrep, CodeQL veya SonarQube gibi araçlardan diliniz, depo yapınız ve bütçenize uygun olanı seçilir. Birden fazla dil kullanan depolarda araçlar birlikte çalıştırılabilir.
- 04
Geliştirici ortamı ve iş takibi
Aynı kurallar kod editörü eklentisiyle geliştiricinin bilgisayarında da çalıştırılabilir; onaylanan bulgular Jira gibi iş takip aracınıza kayıt olarak aktarılır.
06Süreç
SAST analizi hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
SAST analizinin güçlü ve sınırlı yanları
Statik analiz, kullanıcıdan gelen verinin veritabanı sorgusuna, dosya yoluna ya da komut satırına temizlenmeden ulaşıp ulaşmadığını kod çalıştırılmadan izler. Bulgular CWE numaralarıyla sınıflandırılır, OWASP Top 10 kategorileriyle eşleştirilir. Aynı aşamada koda gömülmüş parola ve API anahtarları da yakalanabilir; bu kayıtlar ayrıca git geçmişinde aranır.
Devamını okuDaha az göster
Bununla birlikte SAST, iş mantığı hatalarını, yanlış yetki kurgusunu ve çalışma ortamındaki yapılandırma sorunlarını büyük ölçüde göremez. Bu yüzden kurulumu, uygulama çalışırken yapılan DAST testi, bağımlılıkları inceleyen yazılım bileşen analizi ve kritik modüllerde elle yapılan kod incelemesiyle birlikte konumlandırmanızı öneriyoruz. Kaynak kodunuz analiz süresince yalnızca belirlediğiniz ortamda işlenir, iş bitince bizdeki kopyalar silinir.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
SAST analizi hakkında sık sorulan sorular
SAST analizi ile kaynak kod güvenlik analizi arasındaki fark nedir?
SAST, kuralları otomatik uygulayan ve her kod değişikliğinde çalışan bir kontroldür. Kaynak kod güvenlik analizi ise uzmanın kodu okuyarak yaptığı, iş mantığı ve mimari hataları da arayan derin bir incelemedir. İkisi birbirini tamamlar.
SAST analizi fiyatları nasıl belirlenir?
Depo sayısı, kod hacmi, kullanılan dil ve çatı çeşitliliği, ilk taramada ayıklanacak bulgu miktarı, özel kural ihtiyacı ve pipeline sayısı belirleyicidir. Lisanslı bir analiz motoru seçilirse onun lisansı ayrıca değerlendirilir.
Tarama pipeline'ımızı yavaşlatır mı?
Birleştirme isteklerinde yalnızca değişen dosyalar taranacak şekilde ayarlandığında etkisi sınırlı kalır. Bütün deponun derin taraması gece ya da haftalık olarak ayrı bir işte çalıştırılabilir.
Hangi programlama dillerini destekliyorsunuz?
Yaygın kullanılan diller ve çatılar için olgun açık kaynaklı ve ticari kural setleri bulunur. Az kullanılan bir dil ya da eski bir çatı varsa, ön görüşmede örnek kod üzerinde deneme yaparak kapsamı netleştiririz.
Bir SAST analizi firması kaynak kodumuzu nerede tarar?
Tercihen sizin pipeline'ınızda ve sizin altyapınızda. Kodun dışarı çıkmasını istemiyorsanız tarama tamamen kendi sunucularınızda çalışacak biçimde kurulur, biz yalnızca sonuçlara erişiriz.
Bulguları siz mi düzeltiyorsunuz?
Raporda her gerçek bulgu için düzeltme önerisi yer alır. İsterseniz kritik bulguların düzeltmesini ekibinizle birlikte yapabilir ya da birleştirme isteklerini gözden geçirebiliriz.
10İlgili hizmetler