Jak przeprowadzić analizę kodu źródłowego
Analiza kodu źródłowego – kiedy i jak?
Przeprowadzenie analizy kodu źródłowego przede wszystkim jest wskazane dla aplikacji, których zadaniem jest przetwarzanie kluczowych danych. Wymagają one specjalistycznej kontroli, gdyż od nich zależy bezpieczeństwo informacji. Analizę kodu zaleca się także przeprowadzać najpóźniej na etapie testów akceptacyjnych, przed wdrożeniem produkcyjny, a najlepiej wykonywać ją systematycznie w ramach procesu tworzenia oprogramowania zgodnie z metodyką S-SDLC (Secure Software Development Lifecycle).
Proces analizy może przebiegać w sposób statyczny bądź dynamiczny.
Jak wyjaśnia nasz rozmówca, specjalista z firmy Audytel, zajmującej się m.in. przeprowadzaniem analizy kodu źródłowego:
Statyczna analiza kodu odbywa się bez uruchamiania aplikacji podczas testów. Kod sprawdzany jest na dwa sposoby, mianowicie automatycznie i ręcznie. Jego celem zaś jest znalezienie występujących błędów. Statyczna analiza w wersji podstawowej zazwyczaj wykonywana jest już przez twórców danego kodu i stanowi pierwszy test. W wersji rozbudowanej zaś polega już na precyzyjnym wyszukiwaniu błędów przy pomocy dedykowanego tym celom oprogramowania. Dynamiczna analiza kodu odbywa się w trakcie pracy. Zasadniczo polega na testowaniu działania aplikacji przy użyciu specjalnie do tego celu stworzonych narzędzi, zwanych debuggerami.
Analiza kodu źródłowego – kto i dlaczego?
Przeprowadzaniem analizy kodu źródłowego zajmują się profesjonaliści, którzy, podobnie jak nasz rozmówca, pracują dla firm oferujących usługi z zakresu zarządzania bezpieczeństwem informacji oraz usługami IT. Warto skorzystać z pomocy firmy, której oferta jest kompleksowa, a zatrudnieni specjaliści posiadają odpowiednie narzędzia oraz doświadczenie. Analiza kodu źródłowego jest bowiem procesem, który odgrywa bardzo ważną rolę w kwestii bezpieczeństwa przetwarzanych danych. Co to oznacza w praktyce?
Otóż przeprowadzenie analizy kodu umożliwia identyfikację potencjalnych źródeł późniejszych naruszeń bezpieczeństwa bez potrzeby wykonywania kosztownych testów penetracyjnych lub znacząco je ograniczając. Pozwala także na wykrycie złożonych problemów, które pozostając w ukryciu, mogą przynieść katastrofalne skutki dla samego systemu oraz danych w nim zawartych. Analiza kodu źródłowego pozwala również na zweryfikowanie stabilności oraz skalowalności kodu, jego czytelności, modularności oraz stopnia przyswajalności a także łatwości uczenia się. Dzięki procesowi analizy można także dokonać oceny łatwości jego utrzymania oraz odporności na modyfikacje i szacunek kosztów wprowadzania zmian.
