AppSec: безопасность приложений на уровне кода и архитектуры
Находим уязвимости до того, как код попадёт в прод, и выстраиваем процесс, в котором безопасность — часть разработки, а не проверка в самом конце.
Что делаем
Начинаем с самых рискованных частей продукта и постепенно расширяем охват.
- Security code reviewРучной анализ критичных участков кода: аутентификация, авторизация, работа с данными и платежами.
- Моделирование угрозРазбираем архитектуру и потоки данных: что защищаем, от кого и где слабые места.
- Анализ зависимостейНаходим сторонние библиотеки с известными уязвимостями и помогаем безопасно их обновить.
- Управление уязвимостямиПроцесс от обнаружения до исправления: приоритеты, сроки, ответственные и контроль.
- Требования безопасностиЧек-листы и требования для новых функций, чтобы уязвимости не появлялись снова.
- Разбор находокОбъясняем команде причины уязвимостей и правильные способы их исправления.
Когда к нам обращаются
Разрабатываете новый продукт или перерабатываете архитектуру.
Сканеры выдают сотни находок, и непонятно, что исправлять в первую очередь.
Нужно подтвердить безопасность продукта перед крупным клиентом.
Что вы получите
Сроки и стоимость называем после короткого брифа — они зависят от объёма работ.
Отчёт по коду
Найденные уязвимости с местом в коде, критичностью и примером исправления.
Модель угроз
Схема системы, список угроз и мер защиты — живой документ для команды.
Процесс исправления
Правила приоритизации, SLA на исправление и понятные роли в команде.
Частые вопросы
С какими языками и стеками вы работаете?
С распространёнными стеками веб- и бэкенд-разработки. Конкретный стек обсуждаем на брифе и честно говорим, если он вне нашей экспертизы.
Нужно ли передавать вам исходный код?
Можем работать в вашей инфраструктуре через выданный доступ — код не покидает компанию. NDA подписываем до начала работ.
Чем это отличается от автоматического сканера?
Сканер находит типовые ошибки, но не видит ошибок логики и архитектуры. Ручной анализ находит то, что сканер пропускает, и отсеивает ложные срабатывания.
Связанные направления
Обсудим вашу задачу
Опишите системы, стек и формат работ — ответим с предложением подхода и сроков в течение рабочего дня.