OWASP secureCodeBox

شعار OWASP

secureCodeBox هي سلسلة أدوات معيارية قائمة على Kubernetes للفحوصات الأمنية المستمرة لمشروع برمجياتك. هدفها هو تنسيق وأتمتة مجموعة من أدوات اختبار الأمان بسهولة خارج الصندوق.

نظرة عامة

OWASP secureCodeBox

لمزيد من جوانب التوثيق، يرجى الاطلاع على موقعنا للتوثيق:

الغرض من هذا المشروع

الطريقة النموذجية لضمان أمان التطبيق هي تعيين متخصص أمني (يُعرف باسم مخترق الأمان) في مرحلة ما من مشروعك لفحص التطبيق بحثًا عن أخطاء أمنية وثغرات. عادةً، يتم هذا الفحص في مرحلة متأخرة من المشروع وله عيبان رئيسيان:

في الوقت الحاضر، تقوم الكثير من المشاريع بالتسليم المستمر، مما يعني أن المطورين ينشرون إصدارات جديدة عدة مرات كل يوم. لا يستطيع مخترق الأمان فحص سوى لقطة واحدة، ولكن بعض الالتزامات اللاحقة قد تقدم مشاكل أمنية جديدة. لضمان أمان التطبيق المستمر، يجب على مخترق الأمان أيضًا اختبار التطبيق باستمرار. لسوء الحظ، مثل هذا النهج نادرًا ما يكون ممكنًا من الناحية المالية.
نظرًا لتحليل زمني محدود عادةً، يجب على مخترق الأمان التركيز على المشكلات الأمنية البسيطة (الثمار المنخفضة) وبالتالي لن يعالج على الأرجح المشكلات الجادة وغير الواضحة.

مع secureCodeBox نقدم سلسلة أدوات للفحص المستمر للتطبيقات لإيجاد مشكلات الثمار المنخفضة في وقت مبكر من عملية التطوير وتحرير موارد مخترق الأمان للتركيز على المشكلات الأمنية الرئيسية.

الغرض من secureCodeBox ليس استبدال مخترقي الأمان أو جعلهم غير ضروريين. نوصي بشدة بإجراء اختبارات موسعة من قبل مخترقي أمان ذوي خبرة على جميع تطبيقاتك.

ملاحظة مهمة: secureCodeBox ليس حلاً بسيطًا بنقرة زر واحدة! يجب أن يكون لديك فهم عميق للأمان وكيفية تكوين الماسحات الضوئية. علاوة على ذلك، فإن فهم نتائج الفحص وكيفية تفسيرها ضروري أيضًا.

هناك مقال ألماني حول Security DevOps – Angreifern (immer) einen Schritt voraus في مجلة هندسة البرمجيات OBJEKTSpektrum.