Kod tarama: SAST ile açığı yazılmadan önce yakalamak

Altay Kargo'nun geliştirme ekibi geçen ay bir açık yüzünden gece nöbetine kaldı. Sorun yeni değildi: kullanıcı adı alanı doğrudan bir SQL sorgusuna eklenmiş, kod inceleyen kimse fark etmemişti. Açığı üretimde bir araştırmacı buldu, ekip değil. Aynı hatayı kod satırı yazılırken yakalamanın bir yolu var. Buna durağan uygulama güvenlik testi denir, kısaca SAST. SAST kaynak kodu okur, uygulamayı hiç çalıştırmaz. Programı derleyici gibi tarar, ama derleyicinin aradığı söz dizimi hatası değil, güvenlik zayıflığıdır. Tarama saniyeler sürer ve geliştirici, kodu göndermeden önce sonucu görür. Bu ders SAST'ın iç işleyişini, geliştirme hattındaki yerini ve hangi hatayı kaçırdığını anlatır.

SAST'ın çalışma mantığı üç adımdır. Önce kodu ayrıştırır ve bir söz dizimi ağacına çevirir. Sonra veri akışını izler: kullanıcıdan gelen veri hangi değişkene girer, o değişken nereye gider. Son olarak riskli bir noktaya, örneğin veritabanı sorgusuna ya da kabuk komutuna, süzülmeden ulaşan veriyi işaretler. Bu izleme yöntemine kirli veri takibi denir. Kaynak (source) dışarıdan gelen veridir, hedef (sink) tehlikeli işlemdir. İkisi arasında doğrulama ya da kaçış yoksa araç uyarı üretir.

Şema beş durağı sırayla gösterir. Gereksinim durağında güvenlik ihtiyacı yazılır, tasarımda tehdit modeli çıkar. SAST kodlama durağına oturur, çünkü kaynak koda ihtiyaç duyar ama çalışan bir uygulamaya ihtiyaç duymaz. Test durağında dinamik araçlar devreye girer. Yayın durağı gizli anahtar yönetimini ve izlemeyi taşır. SAST'ı erken durağa koymak, hatayı ucuzken yakalamak demektir. Üretimde bulunan bir açığı düzeltmek, kodlama sırasında düzeltmekten çok daha pahalıdır.