Bei der Überprüfung der Quellcodesicherheit von Informationssystemen handelt es sich um den Prozess der statischen Sicherheitsüberprüfung und Überprüfung des individuell entwickelten Anwendungsquellcodes, um Codierungsfehler und Schwachstellen zu identifizieren, die zu Sicherheitsproblemen führen können.
Die Sicherheitsüberprüfung des Informationssystem-Quellcodes wird durchgeführt, indem die Anwendungssystem-Entwicklungsumgebung auf dem Testcomputer bereitgestellt und der Software-Quellcode importiert wird. Das Projektteam verwendet Tools, um den Quellcode in der frühen Phase der Sicherheitsüberprüfung statisch zu scannen. Später überprüft und analysiert es die Scanergebnisse manuell, um die Sicherheitsrisiken im Quellcode zu bestätigen und einen endgültigen Bericht zur Sicherheitsüberprüfung des Quellcodes zu erstellen.
Inhalt der Sicherheitsüberprüfung des Quellcodes von Informationssystemen (Empfohlenes Lernen: Web-Front-End-Video-Tutorial)
Eingabevalidierungs- und Präsentationskurse: Cross- Site-Scripting, SQL-Injection, Denial-of-Service usw.
Codequalität: Nullzeigeraufrufe, nicht freigegebene Ressourcen usw.
API-Aufrufklassen: ungeprüfte Nullwerte, nicht erkannte Rückgabewerte usw .
Sicherheitsfunktionen: Passwortverwaltung, unsichere Zufallszahlen usw.
Zeit und Status: Codefehler, feste Sitzungen usw.
Fehlerbehandlung: zu viele Ausnahmeerfassungen , zu viele ausgelöste Ausnahmen usw.
Kapselungsklasse: Systeminformationsverlust usw.
Umgebungsklasse: Passwortverwaltung usw.
Quellcode des Informationssystems Sicherheitsüberprüfungsprozess
Gesamt Es ist in fünf Phasen unterteilt: Auftragsannahme, Vorbereitung, Durchführung, Bewertung und Abschluss.
Betrauungsannahmephase: Vorverkaufskommunikation mit der betrauenden Einheit über das Projekt zur Überprüfung des Quellcodes, Unterzeichnung einer „Vertraulichkeitsvereinbarung“, Erhalt der von der zu testenden Einheit übermittelten Informationen und Unterstützung der zu testenden Einheit beim Ausfüllen den „Information System Source Code Security Review“ Basic Situation Questionnaire“, und bei Bedarf wird die zentrale technische Abteilung der beauftragenden Einheit technische Beratung bieten. Nach der vorläufigen Kommunikation unterzeichneten die beiden Parteien den „Vertrag zur Überprüfung der Sicherheit des Informationssystem-Quellcodes“.
Vorbereitungsphase: Der Projektmanager organisiert die Vorbereitung des „Information System Source Code Security Review Plan“, kommuniziert mit der beauftragenden Einheit über den Inhalt des Testplans und legt das konkrete Datum der Informationssystemquelle fest Code-Sicherheitsüberprüfung und das Personal, das mit dem Kunden zusammenarbeitet, um vor dem Testen Vorbereitungen zu treffen.
Das genaue Datum der Überprüfung und das kooperierende Personal des Kunden werden dem Kunden mitgeteilt, um sich auf den Test vorzubereiten.
Implementierungsphase: Der Projektmanager klärt die vom Testpersonal des Projektteams durchgeführten Testaufgaben, stellt die Testumgebung gemäß dem von der zu testenden Einheit eingereichten „Information System Source Code Security Review Basic Situation Questionnaire“ bereit und bereitet sich auf die Sicherheitsüberprüfung des Quellcodes vor. Vorbereitung. Nachdem das Inspektionspersonal den Quellcode-Sicherheitsscan abgeschlossen hat, analysiert und überprüft es die Ergebnisse des Quellcode-Scans basierend auf den Scan-Ergebnissen. Nach Abschluss der Analyse- und Überprüfungsarbeiten sollten die Mitglieder des Projektteams unter Aufsicht des Vorgesetzten und des Kunden die in die Testausrüstung geladenen Kundencodeinformationen vollständig löschen.
Umfassende Bewertungsphase: Das Projektteam organisiert die Daten zur Sicherheitsüberprüfung des Quellcodes, erstellt den „Bericht zur Sicherheitsüberprüfung des Quellcodes des Informationssystems“ und kommuniziert die Überprüfungsergebnisse mit dem Kunden.
Findungsphase: Das Projektteam organisiert verschiedene Dokumente und Prozessaufzeichnungen, die während des Bewertungsprozesses erstellt wurden, und archiviert und speichert sie automatisch. Kundendienstmitarbeiter laden Kunden ein, das „Umfrageformular zur Kundenzufriedenheit“ auszufüllen, um Kundenfeedback zu sammeln.
Das obige ist der detaillierte Inhalt vonZu den Inhalten der Sicherheitsüberprüfung des Anwendungssystemcodes gehören:. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!
