Wie verwundbar sind Sie? Lücken im Code effektiv ermitteln

Anbieter zum Thema

MicroConsult Academy GmbH

emlix GmbH

Parasoft® Deutschland GmbH

Das Eingrenzen der Analyse auf die wichtigsten Schwachstellen ist zentral für den ersten Überblick über die Sicherheitslage. Für ein umfassenderes Audit lassen sich diese Parameter verändern, wie die Grafik zeigt.

Mit den im vorigen Schritt konfigurierten, eingegrenzten Ergebnissen kann die eigentliche Analyse beginnen. Indem man die Resultate nach Priorität ordnet, lässt sich die Arbeit auf die wirklich kritischen Schwachstellen fokussieren. Zum Beispiel werden Pufferüberlauf-Fehler als kritischer angesehen als eine Warnung zum Programmierstil.

Nach der Analyse: Auswertung der Ergebnisse

Deshalb ist folgendes Vorgehen sinnvoll:

• Priorisierung: Ordnen Sie die Fehler nach ihrer Priorität, bevor Sie ihre Gültigkeit analysieren. Es besteht die Möglichkeit, dass sich Falsch-Positiv-Meldungen eingeschlichen haben. Um Zeit zu sparen, empfiehlt es sich zunächst, die Fehler mit der höchsten Priorität zu analysieren. Möglicherweise bedürfen die Reports mit der geringsten Priorität gar keiner Überprüfung (sodass sie wahrscheinlich, wie beschrieben, komplett deaktiviert werden sollten).

• Evaluierung: An dieser Stelle müssen die von den Tools gelieferten Reports in der Reihenfolge ihrer Priorität überprüft werden. Gravierende Fehler und der mit ihnen zusammenhängende Datenfluss sollten detailliert gecheckt werden. Die von Tools wie CodeSonar erzeugten detaillierten Berichte helfen bei der Verifikation jedes Fehlers mit der Möglichkeit, sie jeweils als wahr oder falsch zu markieren und gegebenenfalls Bemerkungen anzufügen.

• Kommentierung und Report: Die meisten Tools zur statischen Analyse liefern Reports zu jedem Analyselauf des Codes. Sind die kritischen Schwachstellen validiert und kommentiert, ist das Security-Audit zum Quellcode fertig.

Ein fertiggestelltes Security-Audit kann für das weitere Risikomanagement, Abhilfemaßnahmen und Tests verwendet werden und lässt sich auch für die Gegenüberstellung mit Folgeversionen der Software nutzen. Es ist entscheidend, dass die statische Analyse zum Bestandteil eines iterativen Konzepts zur Verbesserung der Sicherheit wird.

* Bill Graham ist Technical Marketing Engineer bei GrammaTech.

(ID:44602395)