Varnost kode je praksa vgrajevanja zaščite v programsko opremo in infrastrukturo kot kodo (IaC) od prve vrstice kode do uvedbe in izvajanja v živo. Pri tem upošteva, da lahko tveganja, ki nastanejo med razvojem, povzročijo napačne konfiguracije, izpostavljene vire in ranljive delovne obremenitve v oblačnih okoljih. Če ranljivosti in tveganja konfiguracije zmanjšate zgodaj, omejite poti napada in podpirate močnejšo varnostno držo v oblaku, ko se aplikacije širijo.
Kaj je varnost kode?
Varnost kode varuje programsko opremo in infrastrukturo kot kodo (IaC) med razvojem in izvajanjem ter pomaga zmanjšati ranljivosti, preprečiti napačne konfiguracije in okrepiti varnostno držo v oblaku.
- Varnost kode zmanjšuje tveganje v celotnem življenjskem ciklu programske opreme, vključno z ranljivostmi in napačnimi konfiguracijami, ki vplivajo na okolja v oblaku. Če ranljivosti odpravite med razvojem, lahko organizacije preprečijo težave, ki jih je po uvedbi težje in dražje odpraviti.
- Varno kodiranje je ključno za sodobne aplikacije v oblaku. Ker napadalci vse pogosteje ciljajo nezavarovano kodo, vgrajena zaščita v programski opremi pomaga varovati aplikacije, podatke in storitve v velikem obsegu.
- Varnostna načela usmerjajo varnejši razvoj. Prakse, kot so najmanjši obseg pravic, varne privzete nastavitve in obramba v globino, pomagajo omejiti izpostavljenost in zmanjšati vpliv morebitnih napadov.
- Avtomatizacija krepi poteke dela DevSecOps. Če varnostno testiranje vključite v cevovode za neprekinjeno integracijo in neprekinjeno dostavo (CI/CD), lahko ekipe zgodaj odkrijejo ranljivosti, ne da bi upočasnile dostavo.
- Varnost kode podpira skladnost in zaupanje. Dosledne prakse varnega kodiranja pomagajo organizacijam izpolnjevati zahteve upravljanja in sčasoma ohranjati zaupanje strank.
Določena je varnost kode
Varnost kode pomeni zmanjševanje tveganja tako, da zaščito vgradite v programsko opremo in infrastrukturo kot kodo (IaC) že od začetka. Namesto da bi varnost obravnavala kot končno preverjanje, se osredotoča na preprečevanje težav v kodi aplikacij in definicijah konfiguracije, ki jih napadalci pogosto izkoriščajo – organizacijam pomaga zmanjšati izpostavljenost v razvojnih in uvedenih oblačnih okoljih. V okoljih, ki temeljijo na oblaku, to vključuje tveganja, ki jih uvedejo predloge IaC, konfiguracije vsebnikov in definicije storitev, ki neposredno vplivajo na izpostavljenost med izvajanjem.
Kot del varnosti aplikacij in upravljanja tveganj varnost kode deluje skupaj z zaščito identitete, infrastrukture in podatkov ter tako omejuje vpliv kibernetskih groženj. Če tveganja odpravite zgodaj, so vdorov manj verjetni, stroški odprave nižji, splošna kibernetska varnostna drža pa močnejša, ko se aplikacije širijo.
Varnost kode pomaga zaščititi aplikacije in okolja v oblaku tako, da obravnava tveganja, kot so:
Tehnične ranljivosti
- Vbrizgalni napadi, ki nastanejo, ko se nepreverjen vnos obdela kot izvršljiva koda.
- Prelivi medpomnilnika, ki jih povzroča nevarno ravnanje s pomnilnikom in lahko napadalcem omogoči prepisovanje pomnilnika.
- Neustrezno preverjanje pristnosti in avtorizacija, ki razkrivata občutljive funkcije ali podatke.
- Tvegane odvisnosti tretjih ponudnikov, vključno s knjižnicami z znanimi ranljivostmi.
Tveganja v oblaku in konfiguraciji
- Nevarna infrastruktura kot koda (IaC), ki lahko v okolja v oblaku uvede napačno konfigurirano shrambo, omrežje ali nastavitve identitete.
- Preveč odprte konfiguracije identitete in dostopa, ki povečujejo tveganje lateralnega premikanja.
- Neusklajeni delovni tokovi razvoja in varnosti v oblaku, zaradi katerih lahko ranljivosti ostanejo od kode do okolij med izvajanjem.
- Orodja, razdeljena po silosih med ekipama za kodo in varnost v oblaku, zaradi katerih se lahko odprava zakasni in ranljivosti ostanejo od razvoja do izvajanja.
Poleg preprečevanja ranljivosti varnost kode poudarja tudi celovitost kode – zagotavlja, da programska oprema ni bila spremenjena ali nedovoljeno posežena vanjo – in preprečevanje ranljivosti namesto zanašanja samo na zaznavanje po uvedbi.
Ko je varnost kode vključena v celoten življenjski cikel razvoja programske opreme, pomaga ekipam odkrivati in obravnavati tveganja, ko se koda piše, testira in izdaja – tako težave, odkrite v kodi in cevovodih, pozneje ne postanejo tveganje med izvajanjem v okoljih v oblaku. Ta proaktivni pristop podpira hitrejše inovacije v oblaku, hkrati pa ohranja močne temelje, zasnovane po načelu varnosti že v zasnovi.
Zakaj je varnost kode pomembna
Nevarna koda ustvarja tveganje že dolgo, preden aplikacija pride v produkcijo. Ko ranljivosti pridejo v programsko opremo, lahko razkrijejo občutljive podatke, motijo delovanje in upočasnijo inovacije. V okoljih v oblaku ta tveganja pogosto izvirajo iz definicij kode ali konfiguracije in se lahko med izvajanjem pokažejo kot izpostavljena shramba, preveč odprte identitete ali javno dostopne storitve. Ranljivosti v kodi in IaC lahko povečajo izpostavljenost grožnjam, kot so izsiljevalska programska oprema, vdor v podatke in nepooblaščen dostop – še posebej, ko napačne konfiguracije preidejo v delovne obremenitve v oblaku.
Prav tako pomembno je, da to bolečino v vsakodnevnem delu občuti veliko ekip: varnostne ekipe lahko odkrijejo težave, vendar jih morajo odpraviti razvijalci – pogosto brez dovolj konteksta o izpostavljenosti med izvajanjem ali poslovnem vplivu. Če so procesi razdeljeni po silosih, se odprava upočasni in tveganja lahko preidejo iz kode v uvedene delovne obremenitve v oblaku. Preseganje te vrzeli je razlog, da varnost kode najbolje deluje, ko je vključena v delovne tokove varnosti v oblaku.
- Varuje podjetje: Zmanjševanje ranljivosti zgodaj pomaga preprečiti vdore v podatke, finančne izgube, kazni zaradi skladnosti in pravno izpostavljenost.
- Omejuje tehnična tveganja: Varna koda pomaga preprečiti, da bi napadalci izkoristili nevarne odvisnosti ali veriženje ranljivosti za prodor globlje v okolja.
- Ohranja zagon DevOps: Zgodnejše obravnavanje varnostnih težav preprečuje popravke v zadnjem trenutku, ki motijo cevovode CI/CD, zakasnijo izdaje in povečajo količino ponovnega dela.
- Znižuje dolgoročne stroške: Odpravljanje ranljivosti med razvojem je precej cenejše kot odzivanje na incidente po izdaji.
- Ohranja zaupanje in ugled: Varna programska oprema pomaga varovati zaupanje strank in podpira dolgoročno verodostojnost blagovne znamke.
Najboljše prakse za zaščito kode
Učinkovita varnost kode pomeni zgodnje zmanjševanje tveganja, vključno z ranljivostmi in napačnimi konfiguracijami, ki vplivajo na uvedene vire v oblaku, hkrati pa krepi aplikacije skozi celoten razvoj in ohranja zaščito v produkciji. Te najboljše prakse pomagajo ekipam preprečevati ranljivosti, omejevati izpostavljenost in podpirati varne inovacije, ko se programska oprema razvija.
Močne prakse varnosti kode se osredotočajo na:
- Varno obravnavanje vnosov. Preverjanje in čiščenje uporabniških ter sistemskih vnosov pomaga preprečiti vbrizgalne napade in druge izkoriščevalske tehnike, preden dosežejo logiko aplikacije.
- Gradnjo na zaupanja vrednih komponentah. Uporaba varnih, dobro vzdrževanih knjižnic, slik vsebnikov in infrastrukturnih modulov – ter odstranjevanje zastarelih ali nepodprtih komponent – zmanjšuje izpostavljenost znanim ranljivostim in napačnim konfiguracijam.
- Neprekinjeno testiranje, ne le občasno. Avtomatizirano varnostno testiranje, vključno s statičnim testiranjem (SAST), dinamičnim testiranjem (DAST) in analizo sestave programske opreme, pomaga zgodaj in skozi celoten razvojni življenjski cikel razkriti težave.
- Omejevanje dostopa že pri načrtovanju. Uveljavljanje najmanjšega obsega pravic in varnih privzetih nastavitev zagotavlja, da aplikacije razkrijejo le nujno potrebno, kar zmanjša vpliv, če se ranljivosti izkoristijo.
- Načrtovanje za varno odpoved. Ko pride do napak, naj aplikacije privzeto delujejo varno. Varno obravnavanje napak pomaga preprečiti razkritje občutljivih informacij in ne ustvarja novih poti napada.
- Zaščita skrivnosti in poverilnic. Če API-ključe, žetone in poverilnice hranite varno – namesto da jih trdo kodirate – zmanjšate tveganje nenamernega razkritja in nepooblaščenega dostopa.
- Ohranjanje varnosti tudi po izdaji. Če aplikacije v produkciji spremljate in na novo odkrite ranljivosti popravljate, lahko obvladujete sprotno tveganje, ko se grožnje in okolja spreminjajo.
Načela varnosti kode
Varnost kode temelji na uveljavljenih varnostnih načelih, ki pomagajo zmanjšati tveganje, omejiti izpostavljenost in podpirati upravljanje v sodobnih aplikacijah. Ko se uporabljajo med razvojem, ta načela oblikujejo način, kako je programska oprema zasnovana, izdelana in vzdrževana.
Pet ključnih načel varnosti kode
- Najmanjše pravice. Koda naj podeli le dostop, ki je potreben za delovanje. Omejevanje dovoljenj za uporabnike, storitve in API-je pomaga zagotoviti, da ogrožene komponente po nepotrebnem ne morejo dostopati do občutljivih podatkov ali sistemov.
- Večplastna obramba. Varna programska oprema temelji na več ravneh zaščite. Preverjanje vhodnih podatkov, preverjanja pristnosti, šifriranje in spremljanje delujejo skupaj, tako da ena sama napaka ne razkrije celotne aplikacije.
- Varni neuspeh. Ko pride do napak, naj aplikacije privzeto delujejo varno. Varno ravnanje z napakami preprečuje razkritje občutljivih informacij in se izogne ustvarjanju novih poti napada med okvarami.
- Varne privzete nastavitve. Varnost naj bo privzeto omogočena, ne pa dodana pozneje. Koda naj privzeto predpostavlja omejevalne konfiguracije – na primer omejen dostop, močno preverjanje pristnosti in šifrirane povezave – razen če so izrecno spremenjene.
- Preprostost. Preprosta, dobro strukturirana koda je lažje zaščititi in vzdrževati. Zmanjšanje zapletenosti zmanjša možnost skritih ranljivosti in omogoča učinkovitejše varnostne preglede.
Uporaba načela najmanjših pravic v API-jih
Načelo najmanjših pravic je še posebej pomembno v API-jih in storitvah, kjer Ničelno zaupanje in nadzor identitete in dostopa (IAM) pomagata določiti, kdo ali kaj lahko dostopa do določenih dejanj in podatkov. Končna točka API-ja naj izpostavi le podatke in dejanja, ki so potrebni za njeno določeno funkcijo, ne pa širokega dostopa do zalednih sistemov. To omeji vpliv ogroženih poverilnic in pomaga zajeziti vdore.
Če želite razumeti, kako načelo najmanjših pravic deluje v praksi, si oglejte nekaj pogostih scenarijev API-jev:
- Dostop samo za branje do uporabniških profilov. API, ki pridobiva informacije o uporabniškem profilu, dobi dovoljenje za branje osnovnih podatkov profila – ne pa za posodabljanje zapisov ali dostop do občutljivih polj. To zagotovi, da API lahko izvede svojo funkcijo, ne da bi razkril nepotrebne podatke, če so poverilnice ogrožene.
- Dovoljenja za storitve, ki so omejena na nalogo. Ozadnja storitev, ki obdeluje naročila, lahko ustvari in posodablja zapise naročil, ne more pa dostopati do podatkov o plačilu ali podatkov o identiteti strank. Omejevanje dovoljenj pomaga omejiti morebitne vdore na eno samo funkcijo.
- Omejen dostop za skrbniška dejanja. API, ki se uporablja za skrbniška opravila, je omejen na določene operacije, na primer ponastavitev poverilnic, ne pa na poln dostop do sistema. To zmanjša vpliv zlorabe ali napak v konfiguraciji.
- Ločen dostop za interne in zunanje API-je. Javni API-ji izpostavijo le končne točke, ki jih potrebujejo zunanji uporabniki, medtem ko notranji API-ji ohranijo širši dostop za zaupanja vredne storitve. Ta ločitev pomaga zmanjšati površino napada brez upočasnjevanja notranjih delovnih tokov.
Kako se varnost kode ujema z varnostnimi domenami
Varnost kode ne deluje ločeno. Z zmanjšanjem tveganja pri viru podpira in krepi varnostne kontrole v aplikacijah, oblačnih okoljih, omrežjih in končnih točkah.
- Varnost aplikacij: preprečuje ranljivosti, kot so napadi z vbrizgavanjem, nezanesljivo preverjanje pristnosti in logične napake, neposredno v kodni zbirki.
- Varnost v oblaku: pomaga zaščititi aplikacije v oblaku z zmanjšanjem napačnih konfiguracij in ranljivosti pred uvedbo.
- Varnost omrežja: deluje skupaj z omrežnimi kontrolniki tako, da zagotovi, da aplikacije ne izpostavijo nepotrebnih storitev ali vrat.
- Varnost končnetočke: zmanjša tveganje tako, da prepreči nevarno kodo, da bi uvedla grožnje za uporabniške naprave ali povezane sisteme.
Upravljanje, skladnost in zaupanje
Varne razvojne prakse podpirajo zahteve glede skladnosti in upravljanja, saj uveljavljajo dosledne kontrole v celotnem življenjskem ciklu razvoja programske opreme. Uporaba načel, kot sta najmanjše pravice in varne privzete nastavitve, pomaga organizacijam uskladiti se s predpisi, pokazati skrbnost in zmanjšati tveganje pri reviziji. Te prakse podpirajo tudi obsežnejše strategije za varnost podatkov, tako da pomagajo zagotoviti ustrezen dostop, obdelavo in zaščito občutljivih informacij.
Prav tako pomembno je, da varnost kode varuje zaupanje strank. Z zgodnjim preprečevanjem ranljivosti organizacije preprečijo drage incidente, zaščitijo občutljive podatke in ohranijo zaupanje v aplikacije, na katere se uporabniki zanašajo.
Standardi in kontrolniki varnosti kode
Varnost kode združuje nabor kontrol in praks, ki pomagajo zmanjšati tveganje v sodobnih razvojnih okoljih. Namesto da bi se zanašala na eno samo zaščito, združuje zaščite, ki omejujejo, kaj lahko koda stori, kako komunicira in kako se tveganja sčasoma prepoznajo in upravljajo.
Varnost dostopa do kode ima pomembno vlogo v okoljih .NET, saj nadzira, kako aplikacije, knjižnice in storitve dostopajo do virov. Z omejevanjem dovoljenj pomaga zmanjšati vpliv ranljivosti ali ogroženih komponent.
Varnostni kontrolniki omrežja v kodi aplikacije igrajo pomembno vlogo pri varovanju komunikacije z vsiljevanjem protokolov, šifriranja in logike preverjanja veljavnosti. Varno ravnanje s transportnimi protokoli pomaga preprečiti prestrezanje, spreminjanje in nepooblaščen dostop med pretakanjem podatkov med sistemi.
Standardi varnega kodiranja zagotavljajo dosledna navodila za razvoj varnejše programske opreme. Okviri, kot sta Open Web Application Security Project (OWASP) in ISO/IEC 27034, opisujejo prakse za prepoznavanje ranljivosti, uporabo varnostnih kontrol in vgrajevanje zaščite v celoten razvojni proces. V oblačnih okoljih se ti standardi razširijo tudi na IaC, kar pomaga zagotoviti, da konfiguracije za identiteto, omrežje in shrambo pred uvedbo sledijo varnim privzetim nastavitvam.
Modeliranje groženj pomaga ekipam proaktivno prepoznati, kje so lahko aplikacije izpostavljene. Z zgodnjim ocenjevanjem poti napada in možnih šibkih točk lahko organizacije obravnavajo tveganje, še preden ranljivosti dosežejo produkcijo.
Varno ravnanje s skrivnostmi in poverilnicami je bistveno za zaščito aplikacij. Varno shranjevanje, rotacija in dostop do ključev, žetonov in poverilnic pomagajo preprečiti nenamerno razkritje in zlorabo.
Enoten pristop k varnosti kode
Varnost kode je najučinkovitejša, kadar jo obravnavamo kot zgodnji kontrolni ukrep v življenjskem ciklu znotraj enotne strategije varnosti v oblaku – od prve vrstice kode do uvedbe in izvajanja.
Namesto da bi bila samostojna naloga, je varnost pri Microsoftu vgrajena v način, kako je programska oprema zasnovana, razvita, preizkušena in uvedena, kar ekipam pomaga zmanjšati tveganje, ne da bi upočasnile inovacije.
Povezovanje varnosti kode z zaščito skozi življenjski cikel
V oblačnih okoljih težave, ki nastanejo v kodi aplikacij in IaC, ne ostanejo izolirane – neposredno oblikujejo izpostavljenost med izvajanjem in varnostno držo v oblaku. Ranljivosti in napačne konfiguracije, vnesene v kodo ali IaC, na primer nezanesljive pravice za identiteto ali izpostavljene storitve, se lahko prenesejo v uvedene delovne obremenitve in ustvarijo izpostavljenost med izvajanjem. Povezovanje varnosti kode s širšo zaščito življenjskega cikla pomaga ekipam razumeti, kako se težave med razvojem spremenijo v dejansko tveganje v oblaku – tako lahko prednostno obravnavajo najpomembnejše, hitreje odpravijo težave in preprečijo ponavljajoče se težave v celotnem življenjskem ciklu aplikacije.
Varno že po zasnovi skozi celoten razvojni življenjski cikel
Varnost je vgrajena v celotni življenjski cikel varnega razvoja (SDL), zato lahko ekipe že zgodaj prepoznajo in odpravijo tveganja – od načrtovanja in kodiranja do uvedbe in tekočega delovanja. Ta pristop daje prednost proaktivnemu zmanjševanju tveganj namesto reaktivnim popravkom.
Dajanje prednosti in odpravljanje dejanskih tveganj (od kode do konteksta izvajanja)
Namesto da se osredotoča samo na zaznavanje, varnost kode poudarja rezultate. S premoščanjem vrzeli v kontekstu med ekipami za varnost in DevOps tokovi dela od kode do izvajanja pomagajo ekipam razumeti, katere težave pomenijo dejansko tveganje v proizvodnem okolju, jasno določiti odgovornost in odpraviti ranljivosti pri viru – preden vztrajajo v okolju izvajanja v živo.
Vključevanje varnosti v poteke dela DevOps in cevovode CI/CD
Varnostni pregledi se neposredno vključijo v cevovode DevOps, kar omogoča samodejno testiranje in uveljavljanje pravilnikov brez motenja ciklov izdaje. Vključevanje varnosti v CI/CD ekipam pomaga prej prepoznati težave, zmanjšati predelave in ohraniti nemoten potek dostave – hkrati pa zmanjšati tveganje, da zgodnje ugotovitve postanejo tveganja pri uvedbi ali izvajanju.
Podpora upravljanju, skladnosti in odgovornosti
Varne razvojne prakse podpirajo zahteve glede skladnosti in upravljanja, saj uveljavljajo dosledne kontrole v celotnem življenjskem ciklu razvoja programske opreme. To organizacijam pomaga izpolnjevati regulativne zahteve, dokazovati ustrezno skrbnost in ohranjati pregled nad tveganjem aplikacij.
Uporaba preizkušenih praks v velikem obsegu
Ta načela varnega kodiranja se uporabljajo na vseh Microsoftovih platformah in storitvah, kjer se še naprej izpopolnjujejo v obsežnih oblakovnih okoljih. S to izkušnjo v resničnem svetu boste lažje obveščali smernice in orodja, zasnovana tako, da podpirajo prakse za večjo varnost kod v organizacijah.
Nove smernice v varnosti kode
Varnost kode se še naprej razvija, ko postanejo aplikacije bolj porazdeljene, izvorno v oblaku in pomoč za UI. Novi pristopi se osredotočajo na zgodnejše prepoznavanje tveganj, avtomatizacijo zaščite in ohranjanje neprekinjene varnosti v celotnem življenjskem ciklu programske opreme.
Umetna inteligenca se vse pogosteje uporablja za analizo vzorcev kode, prepoznavanje ranljivosti in označevanje tveganih vedenj v velikem obsegu. Orodja, podprta z umetno inteligenco, ekipam pomagajo hitreje prikazati težave in določiti prednostne popravke na podlagi dejanskega tveganja, ne le statičnih pravil.
Varnost s premikom v levo v cevovodih DevSecOps
Varnost se v razvoju pomika vse bolj zgodaj z načini shift-left, ki testiranje neposredno vključijo v cevovode CI / CD. Z odkrivanjem ranljivosti med kodiranjem in gradnjo ekipe zmanjšajo predelave, preprečijo zamude pri izdaji in znižajo stroške odpravljanja težav.
Avtomatizacija in strojno učenje pri varnem kodiranju
Avtomatizacija ima vse pomembnejšo vlogo pri uveljavljanju standardov varnega kodiranja, preverjanju odvisnosti in potrjevanju konfiguracij. Strojno učenje izboljša natančnost tako, da se uči iz preteklih ranljivosti, kar ekipam pomaga, da se osredotočijo na najbolj kritična tveganja.
Okolja za neprekinjeno varnost in kodiranje z ničelnim zaupanjem
Prihodnost varnosti kode poudarja neprekinjeno ocenjevanje namesto enkratnih pregledov. Načela ničelnega zaupanja se razširijo v razvoj tako, da preverjajo celovitost kode, uveljavljajo najmanjše potrebne pravice in spremljajo aplikacije od razvoja do izvajanja.
Microsoft in rešitve za varnost v oblaku
Varnost kode je ključna za sodobna podjetja, ki razvijajo aplikacije, ki so izvorno v oblaku in podprte z umetno inteligenco. Kot del širše strategije za varnost v oblaku vključevanje varnosti v življenjski cikel razvoja programske opreme organizacijam pomaga zmanjšati tveganje, se izogniti dragim ranljivostim in varovati zaupanje med rastjo.
Upoštevanje najboljših praks varnega kodiranja – na primer preverjanje vhodnih podatkov, uveljavljanje najmanjših potrebnih pravic in avtomatizacija varnostnega testiranja – ekipam pomaga prej odkriti težave in delovati z več zaupanja. Preverjena načela, kot sta varne privzete nastavitve in obramba v globino, zagotavljajo trdno osnovo za dolgoročno odpornost.
Organizacije s splošno varnostjo na ravni kode izboljšajo splošno stanje varnosti v oblaku – povezujejo odločitve glede časa razvoja in zaščite pri uvajanju in izvajanju. Ta integrirani pristop ekipam pomaga hitreje uvajati novosti brez povečevanja tveganja, zato je varnost kode ključna osnova za zaščito sodobnih oblačnih aplikacij.
Raziščite varnostne rešitve v oblakuraziščite varnostne rešitve v oblaku.
VIRI
Več informacij o Microsoftovi varnosti
Pogosta vprašanja
- Ranljivost izvorne kode je slabost v kodi aplikacije, ki jo lahko napadalci izkoristijo za nepooblaščen dostop, motenje sistemov ali krajo podatkov. Te ranljivosti pogosto nastanejo zaradi nevarne logike, nepravilnega obravnavanja vhodnih podatkov, zastarelih odvisnosti ali manjkajočih varnostnih kontrol. Če jih ne odpravimo, se lahko ranljivosti izvorne kode prenesejo v produkcijo, kar poveča tveganje za vdor v podatke in motnje v delovanju.
- Varnost kode pomaga zavarovati izvorno kodo tako, da v življenjskem ciklu razvoja programske opreme prepoznava in zmanjšuje tveganja. Prakse varnega kodiranja – na primer preverjanje vhodnih podatkov, uveljavljanje najmanjših potrebnih pravic in uporaba zaupanja vrednih knjižnic – zmanjšajo verjetnost vnosa ranljivosti. Avtomatizirano varnostno testiranje in analiza kode dodatno pomagata ekipam zgodaj odkriti težave, preden nevarna koda doseže produkcijo.
- Izvorna koda je zavarovana z upoštevanjem praks varnega kodiranja, preverjanjem vhodnih podatkov, uporabo zaupanja vrednih knjižnic, uporabo najmanjših potrebnih pravic in vključevanjem avtomatiziranega varnostnega testiranja v razvojne cevovode.
- Napadi s prekoračitvijo medpomnilnika se običajno zgodijo, ko aplikacije ne preverijo pravilno velikosti vhodnih podatkov. Ko aplikacija zapiše več podatkov v medpomnilnik, kot jih ta lahko varno shrani, lahko napadalci prepišejo pomnilnik in po možnosti zaženejo zlonamerno programsko opremo. Te ranljivosti so pogosto posledica manjkajočega preverjanja meja ali nevarnega ravnanja s pomnilnikom v kodi aplikacije.
- Ranljivosti pri napadih z vbrizgavanjem najpogosteje povzročijo nepreverjeni ali nepočiščeni vhodni podatki uporabnika. Ko aplikacije neposredno obdelajo vhodne podatke – na primer poizvedbe v zbirko podatkov, ukaze ali skripte – brez ustreznega preverjanja, lahko napadalci vbrizgajo zlonamerno programsko opremo. Varno obravnavanje vhodnih podatkov in močne kontrolne preveritve so ključni za preprečevanje napadov z vbrizgavanjem.
Spremljajte Microsoftovo varnost