Bulguyu önceliklendirmek ve kapıyı doğru yere koymak

Bulguyu önceliklendirmek ve kapıyı doğru yere koymak dersinde neler var

Güvenli Yazılım Geliştirme yolunun 8 dakikalık dersi. Kazanılan puan: 50 XP.

Dört tarama yöntemi birlikte çalışınca ekibin önünde onlarca bulgu birikir.

Her bulgu aynı ağırlıkta değildir; önceliklendirme hangisinin önce kapanacağını belirler.

Bu derste bulgu önceliklendirmeyi, yanlış pozitif yönetimini ve güvenlik kapısının nereye konacağını öğrenirsin.

Bu derste sınanan sorular

• İki bulgudan hangisi genelde daha önce kapatılır? Ulaşılabilirlik ciddiyet kadar önemlidir. Dışarıdan kimlik doğrulamasız erişilen bir açık, yalnız kağıt üzerinde yüksek puanlı ama erişilemeyen bir açıktan daha acildir.
• Aşağıdaki fonksiyonda hangi satır gerçek bir enjeksiyon riski taşır? 2. satır parametreli sorgu kullanır, değer ayrı bir yuvaya girer ve sorgunun parçası olmaz; bu güvenli bir kalıptır ve yanlış pozitif sayılabilir. 3. satır ise değeri doğrudan metne ekler; bu gerçek bir enjeksiyon riski taşır.
• İyi bir yanlış pozitif yönetimi hangi adımları içerir? Sağlam bir yönetim nedeni kaydeder, süre koyar ve kod değiştiğinde kararı yeniden gözden geçirir. İncelemeden kapatmak ya da kalıbı tamamen taramadan çıkarmak, gerçek bir açığı gözden kaçırma riski taşır.
• Altay Kargo'nun güvenlik kapısı bir çekme isteğinde şu sırayla çalışır. Doğru sırayı kur. Kapı önce tarar, sonra bulguyu sıralar, sonra eşikle karşılaştırır, son olarak karara göre birleşmeyi durdurur ya da bırakır. Sıra bozulursa kapı ya çok erken ya çok geç karar verir.
• Bir güvenlik kapısı, ciddiyeti düşük her bulguda birleşmeyi otomatik olarak durdurmalıdır. Her bulguda durmak ekibi yavaşlatır ve kapıyı anlamsız kılar. Kapı yalnız belirlenen eşiği aşan, genelde kritik ya da yüksek ciddiyetli bulguda devreye girer.