🥇ការស្កេនភាពងាយរងគ្រោះ និងការអភិវឌ្ឍន៍ប្រកបដោយសុវត្ថិភាព។ ភាគ១

ជាផ្នែកនៃសកម្មភាពវិជ្ជាជីវៈរបស់ពួកគេ អ្នកអភិវឌ្ឍន៍ អ្នកស្រាវជ្រាវ និងអ្នកជំនាញផ្នែកសន្តិសុខត្រូវដោះស្រាយជាមួយនឹងដំណើរការនានាដូចជា ការគ្រប់គ្រងភាពងាយរងគ្រោះ (VM), (សុវត្ថិភាព) SDLC ។
នៅក្រោមឃ្លាទាំងនេះគឺជាសំណុំនៃការអនុវត្ត និងឧបករណ៍ផ្សេងៗដែលត្រូវបានប្រើដែលទាក់ទងគ្នា ទោះបីជាអ្នកប្រើប្រាស់របស់ពួកគេខុសគ្នាក៏ដោយ។

វឌ្ឍនភាពបច្ចេកវិទ្យាមិនទាន់ឈានដល់ចំណុចដែលឧបករណ៍មួយអាចជំនួសមនុស្សម្នាក់សម្រាប់ការវិភាគសុវត្ថិភាពនៃហេដ្ឋារចនាសម្ព័ន្ធ និងកម្មវិធី។
វាគួរឱ្យចាប់អារម្មណ៍ក្នុងការស្វែងយល់ថាហេតុអ្វីបានជាដូច្នេះហើយតើបញ្ហាអ្វីខ្លះដែលមនុស្សម្នាក់ត្រូវប្រឈមមុខ។

ដំណើរការ

ដំណើរការគ្រប់គ្រងភាពងាយរងគ្រោះត្រូវបានរចនាឡើងដើម្បីតាមដានសុវត្ថិភាពហេដ្ឋារចនាសម្ព័ន្ធ និងការគ្រប់គ្រងបំណះជាបន្ត។
ដំណើរការ Secure SDLC ("វដ្តនៃការអភិវឌ្ឍន៍សុវត្ថិភាព") ត្រូវបានរចនាឡើងដើម្បីរក្សាសុវត្ថិភាពកម្មវិធីកំឡុងពេលអភិវឌ្ឍន៍ និងប្រតិបត្តិការ។

ផ្នែកស្រដៀងគ្នានៃដំណើរការទាំងនេះគឺដំណើរការវាយតម្លៃភាពងាយរងគ្រោះ - ការវាយតម្លៃភាពងាយរងគ្រោះ ការស្កេនភាពងាយរងគ្រោះ។
ភាពខុសគ្នាសំខាន់រវាងការស្កេននៅក្នុង VM និង SDLC គឺថានៅក្នុងករណីដំបូង គោលដៅគឺដើម្បីស្វែងរកភាពងាយរងគ្រោះដែលគេស្គាល់នៅក្នុងកម្មវិធីភាគីទីបី ឬក្នុងការកំណត់រចនាសម្ព័ន្ធ។ ឧទាហរណ៍ កំណែហួសសម័យរបស់វីនដូ ឬខ្សែអក្សរសហគមន៍លំនាំដើមសម្រាប់ SNMP ។
ក្នុងករណីទីពីរ គោលដៅគឺដើម្បីរកមើលភាពងាយរងគ្រោះមិនត្រឹមតែនៅក្នុងសមាសធាតុភាគីទីបី (ភាពអាស្រ័យ) ប៉ុន្តែជាចម្បងនៅក្នុងកូដនៃផលិតផលថ្មី។

នេះនាំឱ្យមានភាពខុសគ្នានៅក្នុងឧបករណ៍ និងវិធីសាស្រ្ត។ តាមគំនិតរបស់ខ្ញុំ ភារកិច្ចក្នុងការស្វែងរកភាពងាយរងគ្រោះថ្មីនៅក្នុងកម្មវិធីមួយគឺគួរឱ្យចាប់អារម្មណ៍ជាងនេះទៅទៀត ព្រោះវាមិនមែនមកលើកំណែស្នាមម្រាមដៃ ការប្រមូលផ្ទាំងបដា ការបង្ខំពាក្យសម្ងាត់ជាដើម។
ការស្កែនដោយស្វ័យប្រវត្តិដែលមានគុណភាពខ្ពស់នៃភាពងាយរងគ្រោះនៃកម្មវិធីតម្រូវឱ្យមានក្បួនដោះស្រាយដែលគិតគូរពីអត្ថន័យនៃកម្មវិធី គោលបំណងរបស់វា និងការគំរាមកំហែងជាក់លាក់។

ម៉ាស៊ីនស្កេនហេដ្ឋារចនាសម្ព័ន្ធជាញឹកញាប់អាចត្រូវបានជំនួសដោយកម្មវិធីកំណត់ពេលវេលា avleonov. ចំណុចនោះគឺថាជាស្ថិតិសុទ្ធសាធ អ្នកអាចពិចារណាហេដ្ឋារចនាសម្ព័ន្ធរបស់អ្នកងាយរងគ្រោះ ប្រសិនបើអ្នកមិនបានធ្វើបច្ចុប្បន្នភាពវាក្នុងរយៈពេលមួយខែ។

ឧបករណ៍

ការស្កេនក៏ដូចជាការវិភាគសុវត្ថិភាពអាចត្រូវបានអនុវត្តជាប្រអប់ខ្មៅឬប្រអប់ពណ៌ស។

ប្រអប់ខ្មៅ

ជាមួយនឹងការស្កេនប្រអប់ខ្មៅ ឧបករណ៍ត្រូវតែអាចធ្វើការជាមួយសេវាកម្មតាមរយៈចំណុចប្រទាក់ដូចគ្នាដែលអ្នកប្រើប្រាស់ធ្វើការជាមួយវា។

ម៉ាស៊ីនស្កេនរចនាសម្ព័ន្ធ (Tenable Nessus, Qualys, MaxPatrol, Rapid7 Nexpose ។ ពួកគេក៏ព្យាយាមស្វែងរកកំហុសក្នុងការកំណត់ដូចជា ពាក្យសម្ងាត់លំនាំដើម ឬការចូលប្រើប្រាស់ទិន្នន័យសាធារណៈ ការសរសេរកូដ SSL ខ្សោយជាដើម។

ម៉ាស៊ីនស្កេនកម្មវិធីគេហទំព័រ (Acunetix WVS, Netsparker, Burp Suite, OWASP ZAP ។ ជំហានវារសំខាន់ៗគឺវារ និងស្រពិចស្រពិល។
កំឡុងពេលវារ កម្មវិធី crawler ប្រមូលព័ត៌មានអំពីចំណុចប្រទាក់កម្មវិធីដែលមានស្រាប់ និងប៉ារ៉ាម៉ែត្រ HTTP ។ កំឡុងពេល fuzzing ប៉ារ៉ាម៉ែត្រដែលបានរកឃើញទាំងអស់ត្រូវបានជំនួសដោយទិន្នន័យដែលផ្លាស់ប្តូរ ឬបង្កើត ដើម្បីបង្ករឱ្យមានកំហុស និងរកឃើញភាពងាយរងគ្រោះ។

ម៉ាស៊ីនស្កេនកម្មវិធីបែបនេះជាកម្មសិទ្ធិរបស់ថ្នាក់ DAST និង IAST - រៀងគ្នា ការធ្វើតេស្តសុវត្ថិភាពកម្មវិធីថាមវន្ត និងអន្តរកម្ម។

ប្រអប់ពណ៌ស

ជាមួយនឹងការស្កេនប្រអប់ស មានភាពខុសគ្នាច្រើនទៀត។
ជាផ្នែកនៃដំណើរការ VM ម៉ាស៊ីនស្កេន (Vulners, Insecurity Couch, Vuls, Tenable Nessus ។ ដូច្នេះ ម៉ាស៊ីនស្កេនអាចទាញយកកំណែកញ្ចប់ដែលបានដំឡើង និងប៉ារ៉ាម៉ែត្រកំណត់រចនាសម្ព័ន្ធដោយផ្ទាល់ពីប្រព័ន្ធ ដោយមិនចាំបាច់ទាយពួកវាពីបដាសេវាបណ្តាញ។
ការស្កេនកាន់តែត្រឹមត្រូវ និងពេញលេញ។

ប្រសិនបើយើងនិយាយអំពីការស្កេនប្រអប់ស (CheckMarx, HP Fortify, Coverity, RIPS, FindSecBugs ។

បញ្ហា

មានបញ្ហាជាច្រើនជាមួយនឹងការស្កេន! ខ្ញុំត្រូវដោះស្រាយជាមួយពួកគេភាគច្រើនដោយផ្ទាល់ជាផ្នែកនៃការផ្តល់សេវាកម្មសម្រាប់ការសាងសង់ការស្កេន និងដំណើរការអភិវឌ្ឍន៍សុវត្ថិភាព ក៏ដូចជានៅពេលធ្វើការងារវិភាគសុវត្ថិភាពផងដែរ។

ខ្ញុំនឹងបែងចែកបញ្ហាសំខាន់ៗចំនួន 3 ដែលត្រូវបានបញ្ជាក់ដោយការសន្ទនាជាមួយវិស្វករ និងប្រធានសេវាកម្មសន្តិសុខព័ត៌មាននៅក្នុងក្រុមហ៊ុនផ្សេងៗ។

បញ្ហាស្កេនកម្មវិធីគេហទំព័រ

ភាពលំបាកក្នុងការអនុវត្ត។ ម៉ាស៊ីនស្កេនត្រូវដាក់ពង្រាយ កំណត់រចនាសម្ព័ន្ធ ប្ដូរតាមបំណងសម្រាប់កម្មវិធីនីមួយៗ បែងចែកបរិយាកាសសាកល្បងសម្រាប់ការស្កេន និងអនុវត្តនៅក្នុងដំណើរការ CI/CD ដើម្បីឱ្យមានប្រសិទ្ធភាព។ បើមិនដូច្នេះទេ វានឹងក្លាយជានីតិវិធីផ្លូវការដែលគ្មានប្រយោជន៍ ដោយចេញតែភាពវិជ្ជមានមិនពិតប៉ុណ្ណោះ។
រយៈពេលស្កេន។ ម៉ាស៊ីនស្កែន សូម្បីតែនៅឆ្នាំ 2019 ធ្វើការងារមិនល្អក្នុងការដកចំណុចប្រទាក់ស្ទួន ហើយអាចស្កេនមួយពាន់ទំព័រដែលមានប៉ារ៉ាម៉ែត្រ 10 រៀងរាល់ថ្ងៃដោយពិចារណាថាពួកវាខុសគ្នា ទោះបីជាកូដដូចគ្នាទទួលខុសត្រូវចំពោះពួកគេ។ ទន្ទឹមនឹងនេះដែរ ការសម្រេចចិត្តដាក់ពង្រាយដល់ផលិតកម្មក្នុងវដ្តនៃការអភិវឌ្ឍន៍ត្រូវតែធ្វើឡើងយ៉ាងឆាប់រហ័ស។
អនុសាសន៍មិនល្អ។ ម៉ាស៊ីនស្កែនផ្តល់អនុសាសន៍ទូទៅដោយស្មើភាព ហើយវាមិនតែងតែអាចទៅរួចសម្រាប់អ្នកអភិវឌ្ឍន៍ដើម្បីយល់យ៉ាងរហ័សពីពួកគេពីរបៀបកាត់បន្ថយកម្រិតនៃហានិភ័យ ហើយសំខាន់បំផុតថាតើវាត្រូវធ្វើនៅពេលនេះ ឬវាមិនទាន់គួរឱ្យខ្លាចនៅឡើយ។
ផលប៉ះពាល់បំផ្លិចបំផ្លាញលើកម្មវិធី។ ម៉ាស៊ីនស្កែនអាចធ្វើការវាយប្រហារ DoS យ៉ាងងាយស្រួលលើកម្មវិធីមួយ ហើយពួកគេក៏អាចបង្កើតអង្គភាពមួយចំនួនធំ ឬផ្លាស់ប្តូររបស់ដែលមានស្រាប់ (ឧទាហរណ៍ បង្កើតមតិរាប់ម៉ឺននៅលើប្លក់) ដូច្នេះអ្នកមិនគួរដំណើរការស្កែនដោយឥតគិត ផលិតផល។
គុណភាពអន់នៃការរកឃើញភាពងាយរងគ្រោះ។ ម៉ាស៊ីនស្កែនជាធម្មតាប្រើអារេថេរនៃបន្ទុក ហើយអាចខកខានយ៉ាងងាយនូវភាពងាយរងគ្រោះដែលមិនសមនឹងឥរិយាបថកម្មវិធីដែលគេស្គាល់។
ម៉ាស៊ីនស្កេនមិនយល់ពីមុខងាររបស់កម្មវិធីទេ។ ម៉ាស៊ីនស្កេនខ្លួនឯងមិនដឹងថា "ធនាគារអ៊ីនធឺណិត", "ការទូទាត់", "មតិយោបល់" គឺជាអ្វី។ សម្រាប់ពួកគេ មានតែតំណភ្ជាប់ និងប៉ារ៉ាម៉ែត្រប៉ុណ្ណោះ ដូច្នេះស្រទាប់ដ៏ធំនៃភាពងាយរងគ្រោះនៃតក្កវិជ្ជាអាជីវកម្មដែលអាចធ្វើទៅបាននៅតែត្រូវបានបិទបាំងទាំងស្រុង ពួកគេនឹងមិនស្មានថានឹងធ្វើការបិទពីរដង ពិនិត្យមើលទិន្នន័យរបស់អ្នកដទៃដោយ ID ឬធ្វើឱ្យសមតុល្យតាមរយៈការបង្គត់។
ការយល់ច្រឡំនៃអត្ថន័យទំព័រដោយម៉ាស៊ីនស្កេន។ ម៉ាស៊ីនស្កេនមិនអាចអាន FAQ មិនអាចស្គាល់ captchas ពួកគេនឹងមិនទាយដោយខ្លួនឯងពីរបៀបចុះឈ្មោះហើយបន្ទាប់មកចូលម្តងទៀតដែលអ្នកមិនអាចចុច "ចេញ" និងរបៀបចុះហត្ថលេខាលើសំណើនៅពេលផ្លាស់ប្តូរតម្លៃប៉ារ៉ាម៉ែត្រ។ ជាលទ្ធផល ភាគច្រើននៃកម្មវិធីអាចនៅតែមិនបានស្កេនទាល់តែសោះ។

បញ្ហាស្កេនកូដប្រភព

វិជ្ជមានមិនពិត។ ការវិភាគឋិតិវន្តគឺជាកិច្ចការស្មុគស្មាញដែលពាក់ព័ន្ធនឹងការសម្របសម្រួលជាច្រើន។ ជារឿយៗអ្នកត្រូវលះបង់ភាពត្រឹមត្រូវ ហើយសូម្បីតែម៉ាស៊ីនស្កេនសហគ្រាសមានតម្លៃថ្លៃក៏ផ្តល់ឱ្យនូវចំនួនដ៏ច្រើននៃភាពវិជ្ជមានមិនពិត។
ភាពលំបាកក្នុងការអនុវត្ត។ ដើម្បីបង្កើនភាពត្រឹមត្រូវនិងភាពពេញលេញនៃការវិភាគឋិតិវន្ត វាចាំបាច់ក្នុងការកែសម្រួលច្បាប់ស្កេន ហើយការសរសេរច្បាប់ទាំងនេះអាចចំណាយពេលច្រើនពេក។ ពេលខ្លះវាងាយស្រួលក្នុងការស្វែងរកកន្លែងទាំងអស់នៅក្នុងកូដជាមួយនឹងប្រភេទនៃកំហុសមួយចំនួន និងជួសជុលពួកវាជាជាងការសរសេរច្បាប់ដើម្បីរកឱ្យឃើញករណីបែបនេះ។
កង្វះការគាំទ្រភាពអាស្រ័យ។ គម្រោងធំៗពឹងផ្អែកលើបណ្ណាល័យ និងក្របខ័ណ្ឌមួយចំនួនធំដែលពង្រីកសមត្ថភាពនៃភាសាសរសេរកម្មវិធី។ ប្រសិនបើមិនមានព័ត៌មានអំពីកន្លែងគ្រោះថ្នាក់ ("លិច") នៅក្នុងក្របខ័ណ្ឌទាំងនេះនៅក្នុងមូលដ្ឋានចំណេះដឹងរបស់ម៉ាស៊ីនស្កេនទេ វានឹងក្លាយទៅជាចំណុចងងឹត ហើយម៉ាស៊ីនស្កេនក៏នឹងមិនយល់កូដដែរ។
រយៈពេលស្កេន។ ការស្វែងរកភាពងាយរងគ្រោះនៅក្នុងកូដគឺជាកិច្ចការដ៏លំបាកមួយនៅក្នុងលក្ខខណ្ឌនៃ algorithms ផងដែរ។ ដូច្នេះ ដំណើរការអាចត្រូវបានពន្យារពេលយ៉ាងល្អ ហើយត្រូវការធនធានកុំព្យូទ័រយ៉ាងសំខាន់។
ការគ្របដណ្តប់ទាប។ ទោះបីជាការប្រើប្រាស់ធនធាន និងរយៈពេលស្កេនក៏ដោយ អ្នកអភិវឌ្ឍន៍ឧបករណ៍ SAST នៅតែត្រូវងាកទៅរកការសម្របសម្រួល និងវិភាគមិនមែនគ្រប់រដ្ឋទាំងអស់ដែលកម្មវិធីអាចចូលបានទេ។
ការស្វែងរកការបន្តពូជ។ ការចង្អុលទៅបន្ទាត់ជាក់លាក់ និងការហៅជង់ដែលនាំទៅរកភាពងាយរងគ្រោះគឺអស្ចារ្យ ប៉ុន្តែតាមពិត ជាញឹកញាប់ម៉ាស៊ីនស្កេនមិនផ្តល់ព័ត៌មានគ្រប់គ្រាន់ដើម្បីពិនិត្យមើលភាពងាយរងគ្រោះខាងក្រៅនោះទេ។ យ៉ាងណាមិញ គុណវិបត្តិក៏អាចមាននៅក្នុងកូដស្លាប់ផងដែរ ដែលមិនអាចទៅដល់អ្នកវាយប្រហារបាន។

បញ្ហាស្កេនហេដ្ឋារចនាសម្ព័ន្ធ

សារពើភ័ណ្ឌមិនគ្រប់គ្រាន់។ នៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធធំៗ ជាពិសេសកន្លែងដាច់ដោយឡែកពីគ្នាតាមភូមិសាស្ត្រ ជារឿយៗវាជារឿងពិបាកបំផុតក្នុងការស្វែងយល់ថាតើម៉ាស៊ីនមួយណាដែលត្រូវស្កេន។ ម៉្យាងទៀត កិច្ចការស្កែនមានទំនាក់ទំនងយ៉ាងជិតស្និតជាមួយនឹងការងារគ្រប់គ្រងទ្រព្យសកម្ម។
ការផ្តល់អាទិភាពមិនល្អ។ ម៉ាស៊ីនស្កែនបណ្តាញជាញឹកញាប់បង្កើតលទ្ធផលជាច្រើនជាមួយនឹងគុណវិបត្តិដែលមិនអាចកេងប្រវ័ញ្ចក្នុងការអនុវត្តបាន ប៉ុន្តែជាទម្រង់កម្រិតនៃហានិភ័យរបស់ពួកគេគឺខ្ពស់។ អ្នកប្រើប្រាស់ទទួលបានរបាយការណ៍ដែលពិបាកបកស្រាយ ហើយវាមិនច្បាស់ថាអ្វីដែលត្រូវកែតំរូវជាមុន
អនុសាសន៍មិនល្អ។ មូលដ្ឋានចំណេះដឹងរបស់ម៉ាស៊ីនស្កែនច្រើនតែមានព័ត៌មានទូទៅអំពីភាពងាយរងគ្រោះ និងរបៀបជួសជុលវា ដូច្នេះអ្នកគ្រប់គ្រងនឹងត្រូវបំពាក់ខ្លួនជាមួយ Google ។ ស្ថានភាពគឺប្រសើរជាងបន្តិចជាមួយនឹងម៉ាស៊ីនស្កេនប្រអប់ស ដែលអាចចេញពាក្យបញ្ជាជាក់លាក់មួយដើម្បីជួសជុល
ធ្វើដោយដៃ។ ហេដ្ឋារចនាសម្ព័ន្ធអាចមានថ្នាំងជាច្រើន ដែលមានន័យថាមានគុណវិបត្តិជាច្រើនដែលអាចមាន របាយការណ៍ដែលត្រូវញែក និងវិភាគដោយដៃនៅពេលធ្វើម្តងទៀតនីមួយៗ។
ការគ្របដណ្តប់មិនល្អ។ គុណភាពនៃការស្កេនហេដ្ឋារចនាសម្ព័ន្ធដោយផ្ទាល់អាស្រ័យលើទំហំនៃមូលដ្ឋានចំណេះដឹងអំពីភាពងាយរងគ្រោះ និងកំណែកម្មវិធី។ ម្ល៉ោះហើយ ប្រែចេញសូម្បីតែអ្នកដឹកនាំទីផ្សារក៏មិនមានមូលដ្ឋានចំណេះដឹងទូលំទូលាយដែរ ហើយមានព័ត៌មានជាច្រើននៅក្នុងមូលដ្ឋានទិន្នន័យនៃដំណោះស្រាយឥតគិតថ្លៃដែលអ្នកដឹកនាំមិនមាន
បញ្ហាជាមួយនឹងការបិទភ្ជាប់។ ភាគច្រើនជាញឹកញាប់ ភាពងាយរងគ្រោះផ្នែកហេដ្ឋារចនាសម្ព័ន្ធកំពុងធ្វើបច្ចុប្បន្នភាពកញ្ចប់ ឬផ្លាស់ប្តូរឯកសារកំណត់រចនាសម្ព័ន្ធ។ បញ្ហាធំនៅទីនេះគឺថាប្រព័ន្ធ ជាពិសេសកេរ្តិ៍ដំណែលមួយអាចដំណើរការដោយមិនអាចទាយទុកជាមុនបានដោយសារលទ្ធផលនៃការអាប់ដេត។ ជាការពិត អ្នកនឹងត្រូវធ្វើតេស្តសមាហរណកម្មលើហេដ្ឋារចនាសម្ព័ន្ធបន្តផ្ទាល់នៅក្នុងផលិតកម្ម។

វិធីសាស្រ្ត

តើធ្វើដូចម្តេចដើម្បីឱ្យមាន?
ខ្ញុំនឹងចូលទៅក្នុងលម្អិតបន្ថែមទៀតអំពីឧទាហរណ៍ និងរបៀបដោះស្រាយបញ្ហាទាំងនេះជាច្រើននៅក្នុងផ្នែកខាងក្រោម ប៉ុន្តែសម្រាប់ពេលនេះ ខ្ញុំនឹងបង្ហាញពីផ្នែកសំខាន់ៗដែលអ្នកអាចធ្វើការបាន៖

ការប្រមូលផ្តុំឧបករណ៍ស្កែនផ្សេងៗ។ ជាមួយនឹងការប្រើប្រាស់ត្រឹមត្រូវនៃម៉ាស៊ីនស្កេនច្រើន ការកើនឡើងគួរឱ្យកត់សម្គាល់នៅក្នុងមូលដ្ឋានចំណេះដឹង និងគុណភាពនៃការរកឃើញអាចត្រូវបានសម្រេច។ អ្នកអាចរកឃើញភាពងាយរងគ្រោះច្រើនជាងផលបូកនៃម៉ាស៊ីនស្កែនទាំងអស់ដំណើរការជាលក្ខណៈបុគ្គល ខណៈពេលដែលអ្នកអាចវាយតម្លៃបានត្រឹមត្រូវអំពីកម្រិតនៃហានិភ័យ និងផ្តល់អនុសាសន៍បន្ថែមទៀត។
ការរួមបញ្ចូល SAST និង DAST ។ វាអាចធ្វើទៅបានដើម្បីបង្កើនការគ្របដណ្តប់ DAST និងភាពត្រឹមត្រូវ SAST ដោយការចែករំលែកព័ត៌មានរវាងពួកគេ។ ពីប្រភព អ្នកអាចទទួលបានព័ត៌មានអំពីផ្លូវដែលមានស្រាប់ ហើយដោយមានជំនួយពី DAST អ្នកអាចពិនិត្យមើលថាតើភាពងាយរងគ្រោះអាចមើលឃើញពីខាងក្រៅឬអត់
ការរៀនម៉ាស៊ីន™។ នៅឆ្នាំ 2015 I បានប្រាប់ (និង ច្រើនទៀត) អំពីការប្រើប្រាស់ស្ថិតិដើម្បីផ្តល់ឱ្យម៉ាស៊ីនស្កេននូវវិចារណញាណរបស់ពួក Hacker និងបង្កើនល្បឿនពួកគេ។ នេះពិតជាអាហារសម្រាប់ការអភិវឌ្ឍនៃការវិភាគសុវត្ថិភាពដោយស្វ័យប្រវត្តិនាពេលអនាគត។
ការរួមបញ្ចូល IAST ជាមួយ autotests និង OpenAPI ។ នៅក្នុង CI/CD-pipeline វាអាចបង្កើតដំណើរការស្កេនដោយផ្អែកលើឧបករណ៍ដែលធ្វើការជាប្រូកស៊ី HTTP និងការធ្វើតេស្តមុខងារដែលដំណើរការលើ HTTP ។ ការធ្វើតេស្ត និងកិច្ចសន្យា OpenAPI/Swagger នឹងផ្តល់ឱ្យម៉ាស៊ីនស្កេននូវព័ត៌មានដែលបាត់អំពីលំហូរទិន្នន័យ ធ្វើឱ្យវាអាចស្កេនកម្មវិធីក្នុងស្ថានភាពផ្សេងៗ
ការកំណត់រចនាសម្ព័ន្ធត្រឹមត្រូវ។ សម្រាប់កម្មវិធី និងហេដ្ឋារចនាសម្ព័ន្ធនីមួយៗ អ្នកត្រូវបង្កើតទម្រង់ស្កេនដែលសមរម្យ ដោយគិតគូរពីចំនួន និងលក្ខណៈនៃចំណុចប្រទាក់ បច្ចេកវិទ្យាដែលបានប្រើ។
ការប្ដូរតាមបំណងម៉ាស៊ីនស្កេន។ ជាញឹកញយ កម្មវិធីមួយមិនអាចស្កេនដោយមិនកែប្រែម៉ាស៊ីនស្កេនបានទេ។ ឧទាហរណ៍មួយគឺជាច្រកទូទាត់ដែលរាល់សំណើត្រូវតែចុះហត្ថលេខា។ ដោយមិនចាំបាច់សរសេរឧបករណ៍ភ្ជាប់ទៅពិធីការច្រកផ្លូវទេ ម៉ាស៊ីនស្កេននឹងពិនិត្យដោយមិនដឹងខ្លួនតាមសំណើដោយមានហត្ថលេខាមិនត្រឹមត្រូវ។ វាក៏ចាំបាច់ផងដែរក្នុងការសរសេរម៉ាស៊ីនស្កេនឯកទេសសម្រាប់ប្រភេទជាក់លាក់នៃគុណវិបត្តិដូចជា ឯកសារយោងវត្ថុផ្ទាល់ដែលគ្មានសុវត្ថិភាព
ការគ្រប់គ្រងហានិភ័យ។ ការប្រើប្រាស់ម៉ាស៊ីនស្កេនផ្សេងៗ និងការរួមបញ្ចូលជាមួយប្រព័ន្ធខាងក្រៅដូចជាការគ្រប់គ្រងទ្រព្យសម្បត្តិ និងការគ្រប់គ្រងការគំរាមកំហែងនឹងអនុញ្ញាតឱ្យប្រើប៉ារ៉ាម៉ែត្រជាច្រើនដើម្បីវាយតម្លៃកម្រិតនៃហានិភ័យ ដូច្នេះការគ្រប់គ្រងអាចទទួលបានរូបភាពគ្រប់គ្រាន់នៃស្ថានភាពសុវត្ថិភាពបច្ចុប្បន្ននៃការអភិវឌ្ឍន៍ ឬហេដ្ឋារចនាសម្ព័ន្ធ។

រង់ចាំតាមដាន ហើយតោះរំខានការស្កេនភាពងាយរងគ្រោះ!

ប្រភព: www.habr.com

ការស្កេនភាពងាយរងគ្រោះ និងការអភិវឌ្ឍន៍សុវត្ថិភាព។ ផ្នែកទី 1