Code Review (CR)
Analyse du code source pour identifier les vulnérabilités avant la production
Le processus Code Review a pour but l'identification de vulnérabilités dans le code source. Il représente une des phases plus importantes pour le développement d'applications sûres, en permettant d'identifier les éventuels problémes de sécurité avant que le logiciel aille en production, en réduisant sensiblement les coûts.
L'activité de Code Review présente un haut niveau de complexité. Pour cela il est essentiel que l'auditor aie de solides bases sur les notions de programmation sûre, sur les principales typologies d'attaque et une bonne habitude de lecture et analyse du code source.
Le service de Code Review offert par ISGroup est effectué par une équipe de personnes avec plusieurs années d'expérience soit en programmation soit en analyse de sources de grandes applications.
ISGroup est le fournisseur idéal pour vos nécéssités de Code Review et agit selon les standards internationaux et au plus haut niveau de qualité, grâce à l'engagement constant dans la recherche. Contactez-nous pour recevoir plus d'informations et demander une estimation personnalisée.
Le processus est composé essentiellement de deux passages. Le premier sert à analyser l'application avec un ou plusieurs instruments d'analyse statique. Ces instruments permettent de simuler l'exécution di code et identifier d'éventuelles vulnerabilités. Par rapport au seul test de l'application, cette approche a pour majeur avantage la complète connaissance du comportement de l'application.
Dans la phase suivante on analyse manuellement le code en se focalisant sur les parties les plus délicates de l'application. L'analyse est effectuée par une équipe hétérogène de personnes hautement spécialisées, afin d'identifier toutes les vulnérabilités qui n'apparaissent pas au premier regard.
Cette deuxième phase est nécessaire, puisque les instruments automatiques n'identifient pas correctement toutes les vulnérabilités, à cause de la complexité propre de cette tâche.
Vous recevez un document clair et détaillé, divisé en trois parties.
Résume les problèmes identifiés dans le code source de l'application et les éventuelles erreurs d'implémentation, et évalue le niveau général de sécurité.
Indique pour chaque problème la section du code source concernée, une explication détaillée du problème et sa solution (Remediation).
Classe les corrections recommandées par risque (critique, élevé, moyen, faible) et par effort de correction (élevé, moyen, faible).
Les spécialistes analysent la logique métier, les accès et les flux qui exigent le contexte de l'application.
Combine analyse statique, validation manuelle des résultats et revue des parties les plus critiques du code.
Utilise l'IA pour examiner le code et confie à un spécialiste la validation des failles de sécurité.
À la fin de la Code Review, vous recevez un document signé, en italien et en anglais, qui indique l'activité, la période et le périmètre. Contrairement au rapport, il ne contient ni vulnérabilités ni détails techniques : vous pouvez le remettre à quiconque le demande sans vous exposer. Il est inclus dans le service.
Une Secure Code Review est l'analyse de sécurité du code source d'une application. ISGroup combine des outils d'analyse statique (SAST) avec la revue manuelle des flux, des contrôles, des autorisations et de la logique métier, sur le code et les composants critiques convenus dans l'offre.
La Code Review examine le code source, tandis qu'un test d'intrusion vérifie le comportement et les surfaces exposées de l'application en fonctionnement. Pour les applications web, le service dédié est le Web Application Penetration Test ; pour les apps iOS et Android, le Mobile Application Security Testing.
Pour démarrer la Code Review, ISGroup a besoin du code source, transmis par un canal numérique sécurisé et, lorsque les outils d'analyse l'exigent, sous forme de projet compilable.
Le coût de la Code Review dépend de la modalité choisie : revue hybride avec outils et analyse manuelle, Best Effort ou effort dimensionné sur le nombre de lignes de code (SLOC). Le prix et la durée sont indiqués dans l'offre une fois le périmètre défini. Une consultation gratuite de 30 minutes est disponible pour clarifier les dépôts, les langages et les objectifs avant l'offre.
Le rapport de Code Review comprend un Executive Summary pour la direction, des Technical Details avec le code concerné, l'explication et la correction de chaque problème, et un Remediation Plan classé par risque et effort. Vous recevez aussi une Attestation d'exécution signée. Elle ne contient aucune information sur les vulnérabilités ni aucun détail technique et peut être remise à des tiers.
ISGroup publie des advisories et des exploits selon le modèle de la responsible disclosure, en coordonnant la publication avec la sortie du correctif de l'éditeur. Les advisories et CVE publiés sont consultables dans la section Recherche.
Donnez forme à vos priorités de sécurité avec une proposition sur mesure