Zabezpečenie kódu je postup zabudovania ochrany do softvéru a infraštruktúry ako kódu (IaC) od prvého riadka kódu až po nasadenie a beh, pričom zohľadňuje, že riziká zavedené počas vývoja môžu v cloudových prostrediach viesť k nesprávnym konfiguráciám, odhaleným zdrojom a zraniteľným pracovným zaťaženiam. Včasné zníženie zraniteľností a rizík konfigurácie pomáha obmedziť cesty útoku a podporuje silnejší stav zabezpečenia cloudu pri škálovaní aplikácií.
Čo je zabezpečenie kódu?
Zabezpečenie kódu chráni softvér a IaC počas vývoja aj behu, pomáha znižovať zraniteľnosti, predchádzať nesprávnym konfiguráciám a posilňovať stav zabezpečenia cloudu.
- Zabezpečenie kódu znižuje riziko počas životného cyklu softvéru vrátane zraniteľností a nesprávnych konfigurácií, ktoré ovplyvňujú cloudové prostredia. Riešením zraniteľností počas vývoja môžu organizácie predchádzať problémom, ktorých oprava po nasadení je náročnejšia a drahšia.
- Bezpečné kódovanie je nevyhnutné pre moderné cloudové aplikácie. Keďže útočníci sa čoraz viac zameriavajú na nezabezpečený kód, zabudovanie ochrany do softvéru pomáha chrániť aplikácie, údaje a služby vo veľkom rozsahu.
- Princípy zabezpečenia usmerňujú bezpečnejší vývoj. Postupy ako najmenšie privilégium, bezpečné predvolené nastavenia a obrana do hĺbky pomáhajú obmedziť vystavenie a znížiť vplyv potenciálnych útokov.
- Automatizácia posilňuje pracovné postupy DevSecOps. Integrácia testovania zabezpečenia do kanálov kontinuálnej integrácie a kontinuálneho doručovania (CI/CD) pomáha tímom včas identifikovať zraniteľnosti bez spomalenia doručovania.
- Zabezpečenie kódu podporuje súlad a dôveru. Konzistentné postupy bezpečného kódovania pomáhajú organizáciám plniť požiadavky riadenia a dlhodobo chrániť dôveru zákazníkov.
Definícia zabezpečenia kódu
Zabezpečenie kódu je o znižovaní rizika zabudovaním ochrany do softvéru a infraštruktúry ako kódu (IaC) už od začiatku. Namiesto toho, aby zabezpečenie bolo len záverečnou kontrolou, zameriava sa na prevenciu problémov v aplikačnom kóde a definíciách konfigurácie, ktoré útočníci bežne zneužívajú. Pomáha tak organizáciám znižovať vystavenie vo vývojových aj nasadených cloudových prostrediach. V cloudovo natívnych prostrediach to zahŕňa riziká zavedené cez šablóny IaC, konfigurácie kontajnerov a definície služieb, ktoré priamo formujú vystavenie v behovom prostredí.
Ako súčasť zabezpečenia aplikácií a riadenia rizík funguje zabezpečenie kódu spolu s ochranou identít, infraštruktúry a údajov na obmedzenie vplyvu kybernetických hrozieb. Včasné riešenie rizík znižuje pravdepodobnosť narušení, znižuje náklady na nápravu a posilňuje celkový stav kybernetickej bezpečnosti pri škálovaní aplikácií.
Zabezpečenie kódu pomáha chrániť aplikácie a cloudové prostredia riešením rizík, ako sú:
Technické zraniteľnosti
- Injektážne útoky, ku ktorým dochádza, keď sa nedôveryhodný vstup spracuje ako spustiteľný kód.
- Pretečenia medzipamäte spôsobené nebezpečnou prácou s pamäťou, ktoré môžu útočníkom umožniť prepísať pamäť.
- Nesprávne overovanie a autorizácia, ktoré odhaľujú citlivé funkcie alebo údaje.
- Rizikové závislosti od tretích strán vrátane knižníc so známymi zraniteľnosťami.
Riziká cloudu a konfigurácie
- Nezabezpečená infraštruktúra ako kód (IaC), ktorá môže do cloudových prostredí zaviesť nesprávne nakonfigurované úložisko, sieť alebo nastavenia identít.
- Príliš permisívne konfigurácie identít a prístupu, ktoré zvyšujú riziko laterálneho pohybu.
- Nesúlad pracovných postupov vývoja a zabezpečenia cloudu, ktorý umožňuje pretrvávanie zraniteľností z kódu do behových prostredí.
- Izolované nástroje medzi tímami zabezpečenia kódu a cloudu, ktoré môžu oneskoriť nápravu a umožniť pretrvávanie zraniteľností z vývoja do behového prostredia.
Okrem predchádzania zraniteľnostiam zabezpečenie kódu zdôrazňuje aj integritu kódu, teda zaistenie, že softvér nebol zmenený ani sfalšovaný, a prevenciu zraniteľností namiesto spoliehania sa výlučne na detekciu po nasadení.
Keď je zabezpečenie kódu integrované počas celého životného cyklu vývoja softvéru, pomáha tímom identifikovať a riešiť riziká pri písaní, testovaní a vydávaní kódu, aby sa problémy nájdené v kóde a kanáloch neskôr neprejavili ako riziko v behovom prostredí cloudu. Tento proaktívny prístup podporuje rýchlejšiu inováciu v cloude a zároveň zachováva silné základy zabezpečenia už v návrhu.
Prečo je zabezpečenie kódu dôležité
Nezabezpečený kód vytvára riziko dávno pred tým, ako sa aplikácia dostane do produkcie. Keď sa zraniteľnosti dostanú do softvéru, môžu odhaliť citlivé údaje, narušiť prevádzku a spomaliť inovácie. V cloudových prostrediach tieto riziká často vznikajú v kóde alebo definíciách konfigurácie a v behovom prostredí sa môžu prejaviť ako odhalené úložisko, príliš permisívne identity alebo verejne dostupné služby. Zraniteľnosti v kóde a IaC môžu zvýšiť vystavenie hrozbám, ako sú ransomware, porušenia ochrany údajov a neoprávnený prístup, najmä keď sa nesprávne konfigurácie prenesú do cloudových pracovných zaťažení.
Rovnako dôležité je, že mnohé tímy pociťujú tento problém v každodennom pracovnom postupe: tímy zabezpečenia môžu identifikovať problémy, ale opraviť ich musia vývojári, často bez dostatočného kontextu o vystavení v behovom prostredí alebo obchodnom vplyve. Keď sú procesy izolované, náprava sa spomaľuje a riziká sa môžu preniesť z kódu do nasadených cloudových pracovných zaťažení. Preklenutie tejto medzery je dôvodom, prečo zabezpečenie kódu funguje najlepšie vtedy, keď je integrované s pracovnými postupmi zabezpečenia cloudu.
- Chráni podnikanie: Včasné zníženie zraniteľností pomáha predchádzať porušeniam ochrany údajov, finančným stratám, sankciám za nedodržanie súladu a právnemu riziku.
- Obmedzuje technické riziko: Bezpečný kód pomáha predchádzať tomu, aby útočníci zneužili nezabezpečené závislosti alebo reťazili zraniteľnosti a prenikali hlbšie do prostredí.
- Udržiava plynulosť DevOps: Skoršie riešenie bezpečnostných problémov predchádza opravám na poslednú chvíľu, ktoré narúšajú kanály CI/CD, oneskorujú vydania a zvyšujú prepracovanie.
- Znižuje dlhodobé náklady: Oprava zraniteľností počas vývoja je výrazne lacnejšia než reakcia na incidenty po vydaní.
- Zachováva dôveru a reputáciu: Bezpečný softvér pomáha chrániť dôveru zákazníkov a podporuje dlhodobú dôveryhodnosť značky.
Osvedčené postupy zabezpečenia kódu
Efektívne zabezpečenie kódu je o včasnom znižovaní rizika vrátane zraniteľností a nesprávnych konfigurácií, ktoré ovplyvňujú nasadené cloudové zdroje, pri súčasnom posilňovaní aplikácií počas vývoja a udržiavaní ochrany v produkcii. Tieto osvedčené postupy pomáhajú tímom predchádzať zraniteľnostiam, obmedziť vystavenie a podporovať bezpečné inovácie pri vývoji softvéru.
Silné postupy zabezpečenia kódu sa zameriavajú na:
- Bezpečnú prácu so vstupmi. Overovanie a sanitizácia používateľských a systémových vstupov pomáha predchádzať injektážnym útokom a ďalším zneužitiam ešte pred tým, ako dosiahnu aplikačnú logiku.
- Stavanie na dôveryhodných komponentoch. Používanie bezpečných, dobre udržiavaných knižníc, obrazov kontajnerov a infraštruktúrnych modulov a odstraňovanie zastaraných alebo nepodporovaných komponentov znižuje vystavenie známym zraniteľnostiam a nesprávnym konfiguráciám.
- Kontinuálne testovanie, nie iba občasné. Automatizované testovanie zabezpečenia vrátane statickej (SAST), dynamickej (DAST) analýzy a analýzy zloženia softvéru pomáha odhaľovať problémy včas a počas celého životného cyklu vývoja.
- Obmedzenie prístupu už v návrhu. Uplatňovanie najmenšieho privilégia a bezpečných predvolených nastavení zaisťuje, že aplikácie odhaľujú iba to, čo je nevyhnutné, čím sa znižuje vplyv prípadného zneužitia zraniteľností.
- Návrh na bezpečné zlyhanie. Keď sa vyskytnú chyby, aplikácie by mali predvolene prejsť do bezpečného správania. Bezpečné spracovanie chýb pomáha predchádzať odhaleniu citlivých informácií a vzniku nových ciest útoku.
- Ochrana tajných kľúčov a prihlasovacích údajov. Bezpečné ukladanie kľúčov API, tokenov a prihlasovacích údajov namiesto ich pevného zakódovania pomáha predchádzať náhodnému vystaveniu a neoprávnenému prístupu.
- Zachovanie zabezpečenia po vydaní. Monitorovanie aplikácií v produkcii a opravy novoobjavených zraniteľností pomáhajú spravovať priebežné riziko pri zmene hrozieb a prostredí.
Princípy zabezpečenia kódu
Zabezpečenie kódu je založené na dobre zavedených princípoch zabezpečenia, ktoré pomáhajú znižovať riziko, obmedzovať vystavenie a podporovať riadenie moderných aplikácií. Pri použití počas vývoja tieto princípy formujú spôsob návrhu, tvorby a údržby softvéru.
Päť kľúčových princípov zabezpečenia kódu
- Najmenšie privilégium. Kód by mal udeľovať iba prístup potrebný na fungovanie. Obmedzenie povolení pre používateľov, služby a API pomáha zabezpečiť, aby kompromitované komponenty zbytočne nedosiahli citlivé údaje alebo systémy.
- Obrana do hĺbky. Bezpečný softvér sa spolieha na viacero vrstiev ochrany. Overovanie vstupov, kontroly overovania, šifrovanie a monitorovanie spolupracujú tak, aby jediné zlyhanie neodhalilo celú aplikáciu.
- Bezpečné zlyhanie. Aplikácie by pri výskyte chýb mali predvolene prejsť do bezpečného správania. Bezpečné spracovanie chýb zabraňuje odhaleniu citlivých informácií a predchádza vytváraniu nových ciest útoku počas zlyhaní.
- Bezpečné predvolené nastavenia. Zabezpečenie by malo byť predvolene zapnuté, nie pridané neskôr. Kód by mal predpokladať reštriktívne konfigurácie, ako je obmedzený prístup, silné overovanie a šifrované pripojenia, pokiaľ sa výslovne nezmenia.
- Jednoduchosť. Jednoduchý, dobre štruktúrovaný kód sa ľahšie zabezpečuje a udržiava. Zníženie zložitosti znižuje pravdepodobnosť skrytých zraniteľností a zefektívňuje kontroly zabezpečenia.
Používanie najmenšieho privilégia v API
Najmenšie privilégium je obzvlášť dôležité v API a službách, kde ovládacie prvky Nulovej dôvery (Zero Trust) a správy identít a prístupu (IAM) pomáhajú definovať, kto alebo čo má prístup ku konkrétnym akciám a údajom. Koncový bod API by mal odhaľovať iba údaje a akcie potrebné pre jeho konkrétnu funkciu, nie široký prístup k backendovým systémom. Obmedzuje to vplyv kompromitovaných prihlasovacích údajov a pomáha zadržiavať narušenia.
Ak chcete pochopiť, ako najmenšie privilégium funguje v praxi, pozrite si niekoľko bežných scenárov API:
- Prístup len na čítanie k profilom používateľov. API, ktoré načítava informácie o používateľskom profile, má udelené povolenie čítať základné profilové údaje, ale nie aktualizovať záznamy ani pristupovať k citlivým poliam. Tým sa zabezpečí, že API môže vykonávať svoju funkciu bez odhaľovania nepotrebných údajov v prípade kompromitácie prihlasovacích údajov.
- Povolenia služby špecifické pre úlohu. Služba na pozadí, ktorá spracúva objednávky, môže vytvárať a aktualizovať záznamy objednávok, ale nemôže pristupovať k platobným údajom ani údajom identity zákazníkov. Obmedzenie povolení pomáha zadržať potenciálne narušenia na jednu funkciu.
- Vymedzený prístup pre správcovské akcie. API používané na správcovské úlohy je obmedzené na konkrétne operácie, napríklad resetovanie prihlasovacích údajov, namiesto úplného prístupu k systému. Znižuje to vplyv zneužitia alebo chýb konfigurácie.
- Oddelený prístup pre interné a externé API. Verejne orientované API odhaľujú iba koncové body potrebné pre externých používateľov, zatiaľ čo interné API si zachovávajú širší prístup pre dôveryhodné služby. Toto oddelenie pomáha znížiť možné miesta útokov bez spomalenia interných pracovných postupov.
Ako zabezpečenie kódu zapadá do domén zabezpečenia
Zabezpečenie kódu nefunguje izolovane. Znížením rizika pri zdroji podporuje a posilňuje ovládacie prvky zabezpečenia naprieč aplikáciami, cloudovými prostrediami, sieťami a koncovými bodmi.
- Zabezpečenie aplikácií: Zabraňuje zraniteľnostiam, ako sú injektážne útoky, nezabezpečené overovanie a logické chyby priamo v kódovej základni.
- Zabezpečenie cloudu: Pomáha chrániť cloudovo natívne aplikácie znižovaním nesprávnych konfigurácií a zraniteľností pred nasadením.
- Zabezpečenie siete: Funguje spolu so sieťovými ovládacími prvkami tým, že zabezpečuje, aby aplikácie neodhaľovali nepotrebné služby alebo porty.
- Zabezpečenie koncových bodov: Znižuje riziko tým, že bráni nezabezpečenému kódu zavádzať hrozby do zariadení používateľov alebo pripojených systémov.
Riadenie, súlad a dôvera
Postupy bezpečného kódovania podporujú požiadavky na súlad a riadenie presadzovaním konzistentných ovládacích prvkov počas životného cyklu vývoja softvéru. Uplatňovanie princípov, ako je najmenšie privilégium a bezpečné predvolené nastavenia, pomáha organizáciám zosúladiť sa s regulačnými štandardmi, preukázať náležitú starostlivosť a znížiť riziko auditu. Tieto postupy podporujú aj širšie stratégie zabezpečenia údajov tým, že pomáhajú zabezpečiť vhodný prístup k citlivým informáciám, ich spracovanie a ochranu.
Rovnako dôležité je, že zabezpečenie kódu chráni dôveru zákazníkov. Včasnou prevenciou zraniteľností sa organizácie vyhýbajú nákladným incidentom, chránia citlivé údaje a udržiavajú dôveru v aplikácie, na ktoré sa ich používatelia spoliehajú.
Štandardy a ovládacie prvky zabezpečenia kódu
Zabezpečenie kódu spája celý rad ovládacích prvkov a postupov, ktoré pomáhajú znižovať riziko v moderných vývojových prostrediach. Nespolieha sa na jedno ochranné opatrenie, ale kombinuje ochrany, ktoré obmedzujú, čo môže kód robiť, ako komunikuje a ako sa riziká identifikujú a spravujú v priebehu času.
Zabezpečenie prístupu ku kódu zohráva dôležitú úlohu v prostrediach .NET tým, že riadi, ako aplikácie, knižnice a služby pristupujú k zdrojom. Obmedzením povolení pomáha znižovať vplyv zraniteľností alebo kompromitovaných komponentov.
Ovládacie prvky zabezpečenia siete v aplikačnom kóde zohrávajú dôležitú úlohu pri zabezpečovaní komunikácie presadzovaním protokolov, šifrovania a logiky overovania. Bezpečné spracovanie prenosových protokolov pomáha predchádzať zachytávaniu, manipulácii a neoprávnenému prístupu pri presune údajov medzi systémami.
Štandardy bezpečného kódovania poskytujú konzistentné usmernenia na tvorbu bezpečnejšieho softvéru. Rámce ako Open Web Application Security Project (OWASP) a ISO/IEC 27034 opisujú postupy na identifikáciu zraniteľností, používanie ovládacích prvkov zabezpečenia a zabudovanie ochrany do celého vývojového procesu. V cloudových prostrediach sa tieto štandardy rozširujú aj na IaC a pomáhajú zabezpečiť, aby konfigurácie identít, sietí a úložiska dodržiavali bezpečné predvolené nastavenia pred nasadením.
Modelovanie hrozieb pomáha tímom proaktívne identifikovať, kde môžu byť aplikácie vystavené. Vyhodnotením ciest útoku a potenciálnych slabých miest už včas môžu organizácie riešiť riziko skôr, než sa zraniteľnosti dostanú do produkcie.
Bezpečné spracovanie tajných kľúčov a prihlasovacích údajov je nevyhnutné na ochranu aplikácií. Bezpečné ukladanie, rotácia a používanie kľúčov, tokenov a prihlasovacích údajov pomáhajú predchádzať náhodnému vystaveniu a zneužitiu.
Jednotný prístup k zabezpečeniu kódu
Zabezpečenie kódu je najúčinnejšie vtedy, keď sa považuje za včasný ovládací prvok životného cyklu v rámci jednotnej stratégie zabezpečenia cloudu, ktorá chráni aplikácie od prvého riadka kódu až po nasadenie a beh.
Zabezpečenie v spoločnosti Microsoft neexistuje ako samostatná úloha, ale je zabudované do návrhu, vývoja, testovania a nasadzovania softvéru, čím tímom pomáha znižovať riziko bez spomalenia inovácií.
Prepojenie zabezpečenia kódu s ochranou životného cyklu
V cloudových prostrediach problémy zavedené v aplikačnom kóde a IaC nezostávajú izolované. Priamo formujú vystavenie v behovom prostredí a stav zabezpečenia cloudu. Zraniteľnosti a nesprávne konfigurácie zavedené v kóde alebo IaC, napríklad nezabezpečené povolenia identít alebo odhalené služby, sa môžu preniesť do nasadených pracovných zaťažení a vytvoriť vystavenie v behovom prostredí. Prepojenie zabezpečenia kódu so širšou ochranou životného cyklu pomáha tímom pochopiť, ako sa problémy z fázy vývoja premietajú do skutočného rizika v cloude, aby mohli určiť priority, rýchlejšie vykonávať nápravu a predchádzať opakovaným problémom počas celého životného cyklu aplikácie.
Bezpečné už v návrhu počas celého životného cyklu vývoja
Zabezpečenie je zabudované do celého životného cyklu bezpečného vývoja (SDL) a pomáha tímom včas identifikovať a riešiť riziká, od plánovania a kódovania až po nasadenie a priebežnú prevádzku. Tento prístup uprednostňuje proaktívne znižovanie rizika pred reaktívnymi opravami.
Stanovenie priorít a náprava skutočného rizika (kontext od kódu po behové prostredie)
Zabezpečenie kódu sa nezameriava iba na detekciu, ale zdôrazňuje výsledky. Preklenutím kontextovej medzery medzi tímami zabezpečenia a DevOps pomáhajú pracovné postupy od kódu po behové prostredie tímom pochopiť, ktoré problémy predstavujú skutočné produkčné riziko, priradiť jasnú zodpovednosť a opraviť zraniteľnosti pri zdroji skôr, než pretrvajú do behových prostredí.
Zabudovanie zabezpečenia do kanálov DevOps a CI/CD
Kontroly zabezpečenia sa integrujú priamo do kanálov DevOps a umožňujú automatizované testovanie a presadzovanie politík bez narušenia cyklov vydávania. Zabudovanie zabezpečenia do CI/CD pomáha tímom skôr identifikovať problémy, znižovať prepracovanie a udržiavať plynulosť doručovania, pričom znižuje riziko, že sa skoré zistenia stanú vystaveniami pri nasadení alebo v behovom prostredí.
Podpora riadenia, súladu a zodpovednosti
Postupy bezpečného kódovania podporujú riadenie a súlad presadzovaním konzistentných ovládacích prvkov počas životného cyklu softvéru. Pomáha to organizáciám plniť regulačné požiadavky, preukázať náležitú starostlivosť a udržiavať prehľad o riziku aplikácií.
Používanie overených postupov vo veľkom rozsahu
Tieto princípy bezpečného kódovania sa používajú naprieč platformami a službami spoločnosti Microsoft, kde sa ďalej zdokonaľujú vo veľkých cloudovo natívnych prostrediach. Skúsenosti z praxe v tomto rozsahu pomáhajú formovať pokyny a nástroje navrhnuté na podporu silnejších postupov zabezpečenia kódu v organizáciách.
Nové trendy v zabezpečení kódu
Zabezpečenie kódu sa naďalej vyvíja, keďže aplikácie sa stávajú distribuovanejšími, cloudovo natívnymi a podporovanými AI. Nové prístupy sa zameriavajú na skoršiu identifikáciu rizika, automatizáciu ochrany a udržiavanie kontinuálneho zabezpečenia počas celého životného cyklu softvéru.
Umelá inteligencia sa čoraz častejšie používa na analýzu vzorov v kóde, identifikáciu zraniteľností a označovanie rizikového správania vo veľkom rozsahu. Nástroje riadené AI pomáhajú tímom rýchlejšie odhaľovať problémy a určovať priority opráv podľa skutočného rizika, nielen podľa statických pravidiel.
Shift-left zabezpečenie v kanáloch DevSecOps
Zabezpečenie sa posúva do skorších fáz vývoja pomocou postupov shift-left, ktoré integrujú testovanie priamo do kanálov CI/CD. Identifikáciou zraniteľností počas kódovania a zostavovania tímy znižujú prepracovanie, predchádzajú oneskoreniam vydaní a znižujú náklady na nápravu.
Automatizácia a strojové učenie v bezpečnom kódovaní
Automatizácia zohráva čoraz väčšiu úlohu pri presadzovaní štandardov bezpečného kódovania, skenovaní závislostí a overovaní konfigurácií. Strojové učenie zlepšuje presnosť tým, že sa učí z minulých zraniteľností a pomáha tímom sústrediť sa na najkritickejšie riziká.
Kontinuálne zabezpečenie a prostredia kódovania s nulovou dôverou
Budúcnosť zabezpečenia kódu zdôrazňuje kontinuálne hodnotenie namiesto jednorazových kontrol. Princípy nulovej dôvery sa rozširujú do vývoja overovaním integrity kódu, presadzovaním najmenšieho privilégia a monitorovaním aplikácií od vývoja až po beh.
Microsoft a riešenia zabezpečenia cloudu
Zabezpečenie kódu je nevyhnutné pre moderné podniky, ktoré vytvárajú cloudovo natívne aplikácie s podporou AI. Ako súčasť širšej stratégie zabezpečenia cloudu pomáha zabudovanie zabezpečenia do životného cyklu vývoja softvéru organizáciám znižovať riziko, vyhýbať sa nákladným zraniteľnostiam a chrániť dôveru pri škálovaní.
Dodržiavanie osvedčených postupov bezpečného kódovania, ako je overovanie vstupov, presadzovanie najmenšieho privilégia a automatizácia testovania zabezpečenia, pomáha tímom zachytávať problémy skôr a pracovať s väčšou istotou. Overené princípy, ako sú bezpečné predvolené nastavenia a obrana do hĺbky, poskytujú silný základ pre dlhodobú odolnosť.
Posilnením zabezpečenia na úrovni kódu organizácie zlepšujú svoj celkový stav zabezpečenia cloudu a prepájajú rozhodnutia z fázy vývoja s ochranou pri nasadení a v behovom prostredí. Tento integrovaný prístup pomáha tímom inovovať rýchlejšie bez zvyšovania rizika, čím sa zabezpečenie kódu stáva kritickým základom zabezpečenia moderných cloudových aplikácií.
ZDROJE
Ďalšie informácie o zabezpečení od spoločnosti Microsoft
Najčastejšie otázky
- Zraniteľnosť zdrojového kódu je slabé miesto v aplikačnom kóde, ktoré môžu útočníci zneužiť na získanie neoprávneného prístupu, narušenie systémov alebo odcudzenie údajov. Tieto zraniteľnosti často vznikajú v dôsledku nezabezpečenej logiky, nesprávneho spracovania vstupov, zastaraných závislostí alebo chýbajúcich ovládacích prvkov zabezpečenia. Ak sa zraniteľnosti zdrojového kódu neriešia, môžu sa preniesť do produkcie, čím sa zvyšuje riziko porušení ochrany údajov a narušenia prevádzky.
- Zabezpečenie kódu pomáha zabezpečiť zdrojový kód identifikáciou a znižovaním rizík počas životného cyklu vývoja softvéru. Postupy bezpečného kódovania, ako je overovanie vstupov, presadzovanie najmenšieho privilégia a používanie dôveryhodných knižníc, znižujú pravdepodobnosť zavedenia zraniteľností. Automatizované testovanie zabezpečenia a analýza kódu ďalej pomáhajú tímom odhaliť problémy včas, skôr než sa nezabezpečený kód dostane do produkcie.
- Zdrojový kód sa zabezpečuje dodržiavaním postupov bezpečného kódovania, overovaním vstupov, používaním dôveryhodných knižníc, uplatňovaním najmenšieho privilégia a integráciou automatizovaného testovania zabezpečenia do vývojových kanálov.
- Útoky pretečením medzipamäte zvyčajne nastávajú, keď aplikácie nedokážu správne overiť veľkosť vstupu. Keď aplikácia zapíše do medzipamäte viac údajov, než dokáže bezpečne uchovať, útočníci môžu prepísať pamäť a potenciálne spustiť malvér. Tieto zraniteľnosti sú často výsledkom chýbajúcej kontroly hraníc alebo nebezpečnej práce s pamäťou v aplikačnom kóde.
- Zraniteľnosti voči injektážnym útokom sú najčastejšie spôsobené neovereným alebo nesanitizovaným vstupom používateľa. Keď aplikácie spracúvajú vstup priamo, napríklad databázové dotazy, príkazy alebo skripty, bez správneho overenia, útočníci môžu vložiť malvér. Bezpečné spracovanie vstupov a silné ovládacie prvky overovania sú nevyhnutné na predchádzanie injektážnym útokom.
Sledujte zabezpečenie od spoločnosti Microsoft