در حال بارگذاری...
تکنیک‌ها و ابزارهای بررسی کد منبع برای شناسایی آسیب‌پذیری‌های امنیتی در برنامه‌های وب.
اهداف این درس
بررسی کد منبع (Code Review) فرآیند تحلیل کد نوشته‌شده برای شناسایی آسیب‌پذیری‌های امنیتی، باگ‌ها و مشکلات کیفیت است. این فرآیند می‌تواند به‌صورت دستی یا با استفاده از ابزارهای خودکار (SAST) انجام شود.
هنگام بررسی کد منبع، باید بر الگوهای آسیب‌پذیری رایج تمرکز کنید:
نکته مهم
ابزارهای SAST ممکن است نتایج کاذب (False Positive) زیادی تولید کنند. همیشه نتایج را به‌صورت دستی بررسی کنید.
بررسی کد منبع باید بخشی از فرآیند توسعه باشد.
ابزارهای SAST نقاط شروع خوبی هستند اما کافی نیستند.
تمرکز بر الگوهای آسیب‌پذیری رایج مؤثرتر است.
SAST مخفف چیست؟
SAST چیست و چه تفاوتی با DAST دارد؟
SAST (Static Application Security Testing) تحلیل کد منبع بدون اجرای برنامه است، در حالی که DAST (Dynamic Application Security Testing) تست برنامه در حال اجرا است. SAST آسیب‌پذیری‌ها را زودتر پیدا می‌کند اما DAST رفتار واقعی برنامه را تست می‌کند.