源代碼審計
根據企業客戶提供的軟件源代碼,通過工具以及人工先后對源代碼進行分析。專業工具能提供精確的、一致的結果,能最大限度地減少用在識別、跟蹤軟件安全缺陷的時間和努力專業技術人員對工具結果和源代碼進行人工檢查和審核,準確找出安全漏洞;有效地查找跟蹤安全漏洞及代碼邏輯錯誤,對漏洞提出可行性修復建議。
廣東省國土資源廳
信息系統的應用在廣東省國土資源廳的生產運行中發揮著重要作用,特別是廣東省國土資源廳已建立起支撐其網絡門戶的廣東省國土資源廳門戶網站系統,應用系統成為廣東省國土資源廳日益重要的技術支持系統。應用開發的代碼安全所面臨的危險同時滲透到系統維護、經營的各個方面。
廣東省國土資源廳信息系統源代碼審計服務項目是通過采集相關信息系統開發過程的代碼模擬攻擊者對目標應用系統相關代碼輸出及響應環節進行安全探測,找出系統代碼內部的脆弱環節。代碼審計是在用戶已知的情況下進行,測試的手段主要是依靠工具測試和手工測試,代碼審計不會采取滲透攻擊等服務式攻擊方式進行,代碼審計及驗證為線下搭建模擬測試環境,盡量避免對業務造成不良影響。廣東南方信息安全產業基地有限公司通過本次代碼審計,幫助廣東省國土資源廳驗證系統的風險是否存在,并針對所存在的威脅,提出整改建議。
審計策略:
本次代碼審計采用白盒測試。有針對性地制定對系統進行掃描、代碼采集和后期的人工分析審計相結合的模式,發現并分析系統在軟件設計和編碼實現過程中存在的軟件安全問題,提高模擬測試的成功率,同時可以有效的降低攻擊測試對系統正常運行造成的不利影響。
代碼審計流程:
目前廣東省國土資源廳已通過項目實施完成其門戶網站系統的代碼安全檢測,通過對安全需求及應用的分析,發現了其存在的高、中風險并進行了有針對性的整改,其現有系統的安全級別已通過了信息安全測評機構的評估。