revisiones de seguridad del código de terceros

2

No estoy familiarizado con todos los pasos involucrados en un artículo completo Revisión de seguridad de la información de una aplicación desarrollada internamente. así que me pregunto si el siguiente escenario es común o no.

Se crea una aplicación web y se ejecuta sobre el marco .NET de Microsoft.

Bajo los términos de la revisión de seguridad, todos los códigos de terceros, definido aquí (aunque sea correcto o incorrecto) como un código no escrito en la empresa, necesita ser revisado

Por lo tanto, incluso el propio .NET se apila, no solo el código interno escrito en la parte superior de la pila .NET - necesita ser auditado. Así que además de la auditoría inicial. del código, cualquier actualización de Microsoft tendría que ser auditada. Por ejemplo, Supongamos que la aplicación utiliza MVC 5.2 y Microsoft lanza MVC 5.3, y el actualizaciones de aplicaciones a MVC 5.3; En este caso, la aplicación no pudo pasar la revisión. hasta que (entre otras pruebas) el código base MVC 5.3 se ejecute a través de auditoría / revisión.

¿Es esta parte de las revisiones normales de seguridad de la información?

¿Es una práctica estándar realizar una revisión de seguridad del propio código de Microsoft cuando crea una aplicación en la pila de Microsoft?

¿Cómo podría uno asumir un proceso interno de auditoría y revisión (usando cualquier herramienta de terceros) sería más sofisticada que las pruebas que el propio Microsoft ejecutaría?

¿Y dónde se detiene este ciclo? ¿Quién puede decir que las herramientas de terceros y / o las pruebas internas están a la par? Supongo que debería haber una auditoría de esos procesos también. Y luego una auditoría de esas auditorías ... etc., Etc., etc. En algún momento, esto tiene que detenerse y debe haber un nivel de confianza, ¿no?

    
pregunta mg1075 30.07.2014 - 17:22
fuente

2 respuestas

5
  

¿Es una práctica estándar realizar una revisión de seguridad de Microsoft?   ¿Tiene su propio código base cuando crea una aplicación en la pila de Microsoft?

No. Una de las razones es que no tendrá acceso al código de propiedad (Windows, IIS, .Net, parches) a menos que lo revise y el esfuerzo de este sea mayor que los beneficios.

El enfoque común es definir a terceros confiables y aceptar el riesgo. Si quisiera cubrir el 100% de los componentes de terceros, tendría que revisar no solo .Net, Windows, controladores de dispositivos, firmware, BIOS, sino también el hardware.

    
respondido por el valentinas 31.07.2014 - 00:54
fuente
1

No, normalmente no haría esto, aunque puede recorrer gran parte de las bibliotecas compatibles con .net en un depurador si desea comprobar exactamente qué está haciendo una parte específica del código. Es posible que pueda escanear algunas de las bibliotecas utilizando el análisis de código estático que puede funcionar en binarios, pero con proveedores de gran reputación ya lo habrán hecho o con pruebas similares; es posible que los proveedores más pequeños no lo hagan.

En última instancia, debe consultar las certificaciones, los informes, el contrato, la reputación y las prácticas de desarrollo seguro del proveedor para determinar el riesgo asociado con el uso del código. Por ejemplo, puede elegir un determinado sistema operativo sobre otro en función del riesgo que plantee cada uno, ¡pero no revisaría todo el código fuente de cualquiera de ellos!

    
respondido por el Andy Boura 31.07.2014 - 15:11
fuente

Lea otras preguntas en las etiquetas