Forráskód

A forráskódvizsgálat (Static Application Security Testing - SAST) keretében a rendszerek forráskódjának elemzése az iparági gyakorlatban széles körben alkalmazott statikus forráskódelemző eszköz segítségével történik. A vizsgálat célja a forráskódban található potenciális hibák, sérülékenységek, valamint kódminőségi és megfelelőségi problémák azonosítása.

A statikus kódelemzés eredményeként kizárólag az alkalmazott elemző eszköz által előállított technikai riport kerül átadásra. Az eredmények külön szakmai, biztonsági vagy üzleti értékelése nem része a szolgáltatásnak. Az eredmények értelmezése, minősítése, valamint az azokból levonható következtetések meghatározása az Érintett Szervezet feladata és felelőssége.

Az eredménytermék elektronikus formában, PDF és XML formátumban kerül átadásra az Érintett Szervezet részére, annak további elemzési, feldolgozási és belső értékelési tevékenységeinek támogatása érdekében. Az NBSZ NKI biztosítja, hogy az átadott dokumentumok a statikus forráskódelemző eszköz által generált eredményeket változtatás nélkül tartalmazzák.

A vizsgálat az alábbi fő tesztelési területekre terjed ki:

• Forráskód-struktúra és kódminőség vizsgálata;
• Bemenetkezelés vizsgálata;
• Hitelesítés és jogosultságkezelés vizsgálata;
• Kriptográfiai mechanizmusok vizsgálata;
• Adatkezelés és adattárolás vizsgálata;
• Hibakezelés és naplózás vizsgálata;
• Külső komponensek és függőségek vizsgálata;
• Biztonságos kódolási gyakorlatok vizsgálata;
• Kódszintű konfigurációs problémák vizsgálata.