Giacomo Lanzi
Security Code Review: come funziona il servizio
Estimated reading time: 6 minuti
Il servizio di Security Code Review (SCR) è sempre più utilizzato dalle aziende che cercano soluzioni efficaci per la sicurezza informatica. Il gran numero di linguaggi di programmazione necessita di parametri ben definiti di sicurezza per beneficiare di un controllo approfondito.
Grazie al nostro servizio dedicato per la Security Code Review è possibile identificare i difetti critici e le gravi violazioni dei dati senza necessariamente investire un budget significativo.
Come funziona la SCR?
Da un punto di vista tecnico, il servizio di Security Code Review agisce su tre piani di intervento: trovare le debolezze, analizzare il codice e infine rianalizzare le versioni successive del software.
Trovare debolezze: una delle caratteristiche più rilevanti di un servizio di Security code Review risiede nella capacità tempestiva di rilevare le debolezze del sistema di riferimento.
Analisi del codice: il servizio si occupa di analizzare il codice, in modo mirato e professionale evidenzia le criticità.
Ri-analisi del codice: nel momento in cui si effettua un aggiornamento dei software, vengono eseguite nuove analisi per le versioni di riferimento.
Chi ha la necessità di sviluppare applicazioni sicure può affidarsi a un sistema di Security Code Review. Questo permette di identificare eventuali problematiche di sicurezza prima che il programma vada in produzione, abbassando in modo significativo i costi di un a problematica futura.
Security Code Review: benefici
Le potenzialità di un servizio di questo genere sono evidenti analizzando i vantaggi che sviluppatori e aziende ne ricavano. Nello specifico i benefici principali sono: risultati più rapidi, profondità dell’analisi, superamento delle limitazioni, report, soluzioni multiple e standard soddisfacenti.
Risultati più rapidi con la Security Code Review
Beneficio di assoluto livello è il poter contare sull’individuazione veloce dei difetti grazie alla Code Review. Attraverso tale caratteristica è possibile svincolarsi dai ticket di supporto e abbassare i costi degli interventi dei tecnici IT. Il servizio, avendo a disposizione tutto il codice dell’applicazione, ha la capacità di inviare i dati di prova in modo veloce e puntuale.
Profondità dell’analisi
Usufruendo di un servizio SCR si ottiene una valutazione dell’intero layout del codice dell’applicazione in produzione, a cui si aggiungono anche tutte quelle aree usualmente non analizzate dai test standard. Verranno, infatti, esaminati in modo approfondito anche i punti di ingresso per gli input, le integrazioni e le interfacce interne.
Superamento delle limitazioni
Un servizio di Security Code Review permette agli sviluppatori di scoprire le vulnerabilità che nelle scansioni tradizionali non vengono rilevate. La Code Review individua algoritmi deboli, codifiche rischiose e tutti quei difetti di progettazione che possono inficiare la realizzazione dell’applicazione.
Report della SCR
Uno dei punti di forza di un servizio SCR risiede nella consegna dei report. Dopo un’analisi approfondita delle vulnerabilità dell’applicazione, il servizio produce rapporti di revisione dello stesso codice di sicurezza. Il report include un elenco di tutti i punti di forza e di debolezza del codice e ne trascrive in modo chiaro i dettagli.
Il servizio include anche possibili soluzioni e correzioni per la risoluzione dei problemi in modo specifico.
Soluzioni multiple
Vantaggio che le aziende ritengono indispensabile per la realizzazione di applicativi efficienti, risiede nelle soluzioni consigliate. Ogni sviluppatore può archiviare e proteggere i dati sensibili ottenendo suggerimenti precisi e personalizzati sul lavoro eseguito.
I suggerimenti sono indirizzati per valutare il codice e la sua corrispondenza con gli obiettivi, utilizzando controlli polivalenti per ricercare le vulnerabilità.
Standard soddisfacenti
Altro beneficio di assoluta rilevanza è la possibilità di contare su una valutazione rapida degli standard qualitativi. Una volta utilizzato il servizio è possibile soddisfare tutte quelle condizioni minime disposte dalle normative del settore. Sono incluse in tali disposizioni sia la tutela dei dati personali degli utenti, che tutte quelle interazioni per i metodi di pagamento.
Un servizio eccellente consente di avere la massima aggiornabilità e versatilità nel corso del tempo.
Differenza tra metodologie di SCR
Il servizio di Security Code Review che offriamo unisce le caratteristiche delle metodologie SAST a quelle DAST. Ma quali sono le differenze tra le metodologie?
Quando ci si riferisce agli acronimi SAST e DAST si identificano metodologie di test per la sicurezza delle applicazioni utilizzate per evidenziare vulnerabilità. Tecnicamente la metodologia SAST è il test di sicurezza delle applicazioni statiche, mentre la metodologia DAST rappresenta il test dinamico della sicurezza delle applicazioni. La prima, possibile attraverso un approccio a scatola bianca, la seconda a scatola nera.
Solitamente, inoltre, Il sistema di rilevamento DAST si applica mentre l’applicazione è in esecuzione, mentre il sistema SAST individua le vulnerabilità in stato di fermo. Ma analizziamo le differenze più nel dettaglio.
Test di sicurezza
La metodologia SAST si basa su un test di sicurezza a scatola bianca. Questo significa che il tester ha l’accesso a framework, progettazione e implementazioni sottostanti. Vi è un’analisi dall’interno verso l’esterno per lo sviluppatore.
La metodologia DAST, invece, si basa su un test a scatola nera, il tester non conosce framework. C’è un’analisi dall’esterno verso l’interno, proprio come un approccio hacker.
Richieste del codice
Il SAST non richiede nessuna applicazione distributiva, poiché analizza il codice sorgente o binario senza avviare l’applicazione.
La metodologia DAST non ha la necessità di un codice sorgente o binario, ma analizza l’applicazione mentre è in esecuzione.
Vulnerabilità
Una delle differenze più marcate risiede nel ritrovamento delle vulnerabilità. Il SAST trova le vulnerabilità nell’SDLC (Software Development Life Cycle) appena il codice è stato completato.
La DAST invece trova le vulnerabilità verso la fine dell’SDLC, consentendo allo sviluppatore un’analisi al termine del ciclo di sviluppo.
Costo
Da un punto prettamente economico, una metodologia SAST rispetto a quella DAST, ha un costo inferiore. Tale condizione è dovuta al rilevamento precedente al completamento dell’applicazione. Vi è quindi la possibilità di correggere gli errori prima che il codice venga inserito nel ciclo QA.
Problematiche runtime
L’utilizzo di una metodologia di test SAST non permette il rilevamento dei problemi relativi al runtime, ciò è dovuto alla scansione statica del codice.
La metodologia DAST, invece, può rilevare senza problemi di sorta le vulnerabilità di runtime nei diversi ambienti di lavoro. Tale condizione è dovuta alla sua capacità di analizzare dinamicamente l’applicazione.
Supporto software
Quando si utilizza un test SAST c’è il supporto a tutti i tipi di software, dal web al thick client. Mentre un sistema DAST è indirizzato principalmente su applicazioni web e servizi web.
Conclusioni
Utilizzare un servizio di Security Code Review è fondamentale per le aziende che voglio ottimizzare i tempi di lavoro e verificare le vulnerabilità dei loro codici. Il servizio offerto da SOD garantisce la massima versatilità, abbinando metodologie SAST e DAST.
L’analisi statica e quella dinamica possono aiutare gli sviluppatori a ottenere risultati migliori secondo le proprie necessità lavorative. Le tecniche SAST e DAST si completano a vicenda ed è importante che siano utilizzate per avere un resoconto completo.
In molti casi ci si affida all’acquisto di sistemi separati, ma un servizio comune può aiutare ad abbassare notevolmente i costi nel tempo.
Se hai domande rispetto a come questo servizio possa essere utile per la tua azienda, non esitare a contattarci, saremo felici di rispondere ad ogni domanda.
Link utili:
Condividi
RSS
Piu’ articoli…
- Il Pivoting: Come Prevenire gli Attacchi Informatici dall’Interno della Tua Rete
- Penetration Test: perché alternare i fornitori è una scelta vincente
- Standard e best practice per il penetration testing: tutto quello che devi sapere per proteggere la tua azienda
- Script Kiddies: I pericoli dei cybercriminali improvvisati
- MDR, EDR o NGS: Scegli la soluzione di sicurezza informatica perfetta per la tua azienda!
- La sicurezza informatica a più livelli: come proteggere la tua azienda da tutte le minacce
- Initial Access Broker: La minaccia invisibile che mette a rischio la sicurezza informatica
- Differenza tra un SOC con NGS (Next Generation SIEM) e un SOC con EDR (Endpoint Detection and Response): Quale soluzione è la migliore per proteggere la tua azienda dalle minacce informatiche?
Categorie …
- Backup as a Service (24)
- Acronis Cloud Backup (18)
- Veeam Cloud Connect (3)
- Cloud CRM (1)
- Cloud Server/VPS (23)
- Conferenza Cloud (4)
- Log Management (2)
- Monitoraggio ICT (4)
- Novita' (15)
- ownCloud (7)
- Privacy (8)
- Secure Online Desktop (14)
- Security (183)
- Cyber Threat Intelligence (CTI) (8)
- Ethical Phishing (8)
- Penetration Test (12)
- SOCaaS (57)
- Vulnerabilita' (83)
- Web Hosting (15)
Tags
CSIRT
- Aggiornamenti di sicurezza Android
(AL02/230607/CSIRT-ITA) Giugno 7, 2023Google ha rilasciato gli aggiornamenti di sicurezza di giugno per sanare molteplici vulnerabilità che interessano il sistema operativo Android, di cui 5 con gravità “critica”.
- Aggiornamenti di sicurezza per prodotti Mozilla
(AL01/230607/CSIRT-ITA) Giugno 7, 2023Mozilla ha rilasciato aggiornamenti di sicurezza per sanare alcune vulnerabilità, di cui 3 con gravità “alta”, nei prodotti Firefox e Firefox ESR.
- Aggiornamenti per prodotti Zyxel
(AL04/230606/CSIRT-ITA) Giugno 6, 2023Zyxel rilascia aggiornamenti di sicurezza per sanare 2 vulnerabilità presenti in alcuni modelli di router e switch. Tali vulnerabilità potrebbero consentire a un utente malintenzionato remoto di compromettere la disponibilità del servizio o elevare i propri privilegi sui sistemi interessati.
- Aggiornamenti per Keepass
(AL03/230606/CSIRT-ITA) Giugno 6, 2023Rilasciati aggiornamenti di sicurezza per Keepass, noto password manager open source, che risolvono una vulnerabilità di sicurezza che, qualora sfruttata, potrebbe permettere l’estrazione della master password in chiaro dalla memoria dei dispositivi interessati.
- Rilevato sfruttamento in rete della CVE-2023-3079 relativa al browser Chrome
(AL02/230606/CSIRT-ITA) Giugno 6, 2023Rilevato lo sfruttamento attivo in rete della vulnerabilità CVE-2023-3079 – già sanata dal vendor in data 05 giugno 2023 – presente nel noto browser Chrome di Google.
- Sanate vulnerabilità su GitLab CE/EE
(AL01/230606/CSIRT-ITA) Giugno 6, 2023Rilasciati aggiornamenti di sicurezza che risolvono 14 vulnerabilità, di cui 4 con gravità “alta”, in GitLab Community Edition (CE) ed Enterprise Edition (EE).
- Aggiornamenti per firewall Zyxel
(AL02/230525/CSIRT-ITA) - Aggiornamento Giugno 6, 2023Zyxel rilascia aggiornamenti di sicurezza per sanare due vulnerabilità, con gravità "critica", presenti in alcuni modelli di firewall. Tali vulnerabilità potrebbero consentire a un utente malintenzionato remoto non autenticato, la compromissione della disponibilità del servizio e/o l’esecuzione di codice arbitrario sui dispositivi interessati.
- Risolte vulnerabilità negli hypervisor VMware
(AL01/230427/CSIRT-ITA) - Aggiornamento Giugno 5, 2023VMware ha rilasciato aggiornamenti di sicurezza per risolvere 4 vulnerabilità, di cui una con gravità “critica”, nei propri hypervisor Workstation e Fusion.
- Rilevate vulnerabilità in prodotti Splunk
(AL01/230605/CSIRT-ITA) Giugno 5, 2023Con il Quarterly Security Patch Updates, Splunk ha rilasciato aggiornamenti di sicurezza per correggere molteplici vulnerabilità, di cui 5 con gravità “alta”, nei noti prodotti per l'analisi del traffico di rete Splunk Enterprise e Splunk Cloud Platform.
- Vulnerabilità in Progress MOVEit Transfer
(AL02/230601/CSIRT-ITA) - Aggiornamento Giugno 5, 2023Rilevata una vulnerabilità di sicurezza, con gravità “critica”, nel software MOVEit Transfer di Progress. Tale vulnerabilità, qualora sfruttata, potrebbe consentire a un utente malintenzionato remoto l’escalation dei privilegi e l'accesso non autorizzato sui sistemi interessati.
Dark Reading
- Verizon DBIR: Social Engineering Breaches Double, Leading to Spiraling Ransomware Costs Giugno 6, 2023Ransomware continues its runaway growth with median payments reaching $50,000 per incident.
- Researchers Spot a Different Kind of Magecart Card-Skimming Campaign Giugno 6, 2023In addition to injecting a card skimmer into target Magento, WooCommerce, Shopify, and WordPress sites, the the threat actor is also hijacking targeted domains to deliver the malware to other sites.
- Microsoft Preps $425M Payment for LinkedIn GDPR Violations Giugno 6, 2023The company plans on disputing these fines once a final decision is made, but warned shareholders that it set aside the funds to pay it, nonetheless.
- With SEC Rule Changes on the Horizon, Research Reveals Only 14% of CISOs Have Traits Desired for Cyber Expert Board Positions Giugno 6, 2023
- ILTA and Conversant Group Release Cybersecurity Benchmarking Survey of the Legal Industry Giugno 6, 2023Joint research highlights disconnect between legal IT and recommended cybersecurity practices.
- Netskope Intelligent SSE Selected by Transdev to Secure and Connect its Hybrid Workforce Giugno 6, 2023Implementation is part of Transdev's Cloud-First approach to better manage technological obsolescence.
- Filling the Gaps: How to Secure the Future of Hybrid Work Giugno 6, 2023By enhancing remote management and adopting hardware-enforced security, productivity can continue without inviting extra cyber-risk.
- US Aerospace Contractor Hacked With 'PowerDrop' Backdoor Giugno 6, 2023Hackers used a little to do a lot, cracking a high-value target with hardly more than the living-off-the-land tools (PowerShell especially) found on any standard Windows computer.
- ChatGPT Hallucinations Open Developers to Supply Chain Malware Attacks Giugno 6, 2023Attackers could exploit a common AI experience — false recommendations — to spread malicious code via developers that use ChatGPT to create software.
- Red Sift Launches Relevance Detection as GPT-4-Powered Asset Discovery and Classification Solution Giugno 5, 2023New AI feature enhances OnDOMAIN's capabilities to secure unknown vulnerabilities and strengthen network security posture.
Full Disclosure
- [CVE-2023-29459] FC Red Bull Salzburg App "at.redbullsalzburg.android.AppMode.Default.Splash.SplashActivity" Arbitrary URL Loading Giugno 2, 2023Posted by Julien Ahrens (RCE Security) on Jun 02RCE Security Advisory https://www.rcesecurity.com 1. ADVISORY INFORMATION ======================= Product: FC Red Bull Salzburg App Vendor URL: https://play.google.com/store/apps/details?id=laola.redbull Type: Improper Authorization in Handler for Custom URL Scheme [CWE-939] Date found: 2023-04-06 Date published: 2023-06-01 CVSSv3 Score: 6.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N) CVE: CVE-2023-29459...
- [RT-SA-2022-004] STARFACE: Authentication with Password Hash Possible Giugno 1, 2023Posted by RedTeam Pentesting GmbH on Jun 01Advisory: STARFACE: Authentication with Password Hash Possible RedTeam Pentesting discovered that the web interface of STARFACE as well as its REST API allows authentication using the SHA512 hash of the password instead of the cleartext password. While storing password hashes instead of cleartext passwords in an application's database […]
- CVE-2022-48336 - Buffer Overflow in Widevine Trustlet (PRDiagParseAndStoreData @ 0x5cc8) Maggio 30, 2023Posted by Cyber Intel Security on May 301. INFORMATION -------------- [+] CVE : CVE-2022-48336 [+] Title : Buffer Overflow in Widevine Trustlet (PRDiagParseAndStoreData @ 0x5cc8) [+] Vendor : Google [+] Device : Nexus 6 [+] Affected component : Widevine [+] Publication date : March 2023 [+] Credits : CyberIntel Team 2. AFFECTED VERSIONS -------------------- 5.0.0 […]
- CVE-2022-48335 - Buffer Overflow in Widevine Trustlet (PRDiagVerifyProvisioning @ 0x5f90) Maggio 30, 2023Posted by Cyber Intel Security on May 301. INFORMATION -------------- [+] CVE : CVE-2022-48335 [+] Title : Buffer Overflow in Widevine Trustlet (PRDiagVerifyProvisioning @ 0x5f90) [+] Vendor : Google [+] Device : Nexus 6 [+] Affected component : Widevine [+] Publication date : March 2023 [+] Credits : CyberIntel Team 2. AFFECTED VERSIONS -------------------- 5.0.0 […]
- CVE-2022-48334 - Buffer Overflow in Widevine Trustlet (drm_verify_keys @ 0x7370) Maggio 30, 2023Posted by Cyber Intel Security on May 301. INFORMATION -------------- [+] CVE : CVE-2022-48334 [+] Title : Buffer Overflow in Widevine Trustlet (drm_verify_keys @ 0x7370) [+] Vendor : Google [+] Device : Nexus 6 [+] Affected component : Widevine [+] Publication date : March 2023 [+] Credits : CyberIntel Team 2. AFFECTED VERSIONS -------------------- 5.0.0 […]
- CVE-2022-48333 - Buffer Overflow in Widevine Trustlet (drm_verify_keys @ 0x730c) Maggio 30, 2023Posted by Cyber Intel Security on May 301. INFORMATION -------------- [+] CVE : CVE-2022-48333 [+] Title : Buffer Overflow in Widevine Trustlet (drm_verify_keys @ 0x730c) [+] Vendor : Google [+] Device : Nexus 6 [+] Affected component : Widevine [+] Publication date : March 2023 [+] Credits : CyberIntel Team 2. AFFECTED VERSIONS -------------------- 5.0.0 […]
- CVE-2022-48332 - Buffer Overflow in Widevine Trustlet (drm_save_keys @ 0x6a18) Maggio 30, 2023Posted by Cyber Intel Security on May 301. INFORMATION -------------- [+] CVE : CVE-2022-48332 [+] Title : Buffer Overflow in Widevine Trustlet (drm_save_keys @ 0x6a18) [+] Vendor : Google [+] Device : Nexus 6 [+] Affected component : Widevine [+] Publication date : March 2023 [+] Credits : CyberIntel Team 2. AFFECTED VERSIONS -------------------- 5.0.0 […]
- CVE-2022-48331 - Buffer Overflow in Widevine Trustlet (drm_save_keys @ 0x69b0) Maggio 30, 2023Posted by Cyber Intel Security on May 301. INFORMATION -------------- [+] CVE : CVE-2022-48331 [+] Title : Buffer Overflow in Widevine Trustlet (drm_save_keys @ 0x69b0) [+] Vendor : Google [+] Device : Nexus 6 [+] Affected component : Widevine [+] Publication date : March 2023 [+] Credits : CyberIntel Team 2. AFFECTED VERSIONS -------------------- 5.0.0 […]
- SCHUTZWERK-SA-2022-001: Cross-Site-Scripting in Papaya Medical Viewer Maggio 30, 2023Posted by Lennert Preuth via Fulldisclosure on May 30Title ===== SCHUTZWERK-SA-2022-001: Cross-Site-Scripting in Papaya Medical Viewer Status ====== PUBLISHED Version ======= 1.0 CVE reference ============= CVE-2023-33255 Link ==== https://www.schutzwerk.com/advisories/SCHUTZWERK-SA-2022-001/ Text-only version: https://www.schutzwerk.com/advisories/SCHUTZWERK-SA-2022-001.txt Further SCHUTZWERK advisories: https://www.schutzwerk.com/blog/tags/advisories/ Affected products/vendor...
- [RT-SA-2023-005] Pydio Cells: Server-Side Request Forgery Maggio 30, 2023Posted by RedTeam Pentesting GmbH on May 30For longer running processes, Pydio Cells allows for the creation of jobs, which are run in the background. The job "remote-download" can be used to cause the backend to send a HTTP GET request to a specified URL and save the response to a new file. The response […]
Customers
Twitter FEED
Recent activity
-
SecureOnlineDesktop
Estimated reading time: 6 minutes L'impatto crescente delle minacce informatiche, su sistemi operativi privati op… https://t.co/FimxTS4o9G
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The growing impact of cyber threats, on private or corporate operating systems… https://t.co/y6G6RYA9n1
-
SecureOnlineDesktop
Tempo di lettura stimato: 6 minuti Today we are talking about the CTI update of our services. Data security is… https://t.co/YAZkn7iFqa
-
SecureOnlineDesktop
Estimated reading time: 6 minutes Il tema della sicurezza delle informazioni è di grande attualità in questo peri… https://t.co/tfve5Kzr09
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The issue of information security is very topical in this historical period ch… https://t.co/TP8gvdRcrF
Newsletter
Prodotti e Soluzioni
Collaborazioni
Modelli Cloud
News
- Il Pivoting: Come Prevenire gli Attacchi Informatici dall’Interno della Tua Rete Giugno 7, 2023
- Penetration Test: perché alternare i fornitori è una scelta vincente Giugno 5, 2023
- Standard e best practice per il penetration testing: tutto quello che devi sapere per proteggere la tua azienda Maggio 31, 2023
- Script Kiddies: I pericoli dei cybercriminali improvvisati Maggio 29, 2023
- MDR, EDR o NGS: Scegli la soluzione di sicurezza informatica perfetta per la tua azienda! Maggio 24, 2023
Recensioni Google
Contatti
Copyright © 2011 Secure Online Desktop s.r.l. All Rights Reserved.
VAT: 07485920966 “Cloud Computing services - Software cloud - Cloud server - VPS” Terms of ServicePrivacy Policy
ISO Certifications