Audit de sécurité - Revue de code

[guillaumestark]

L'audit de code source comprend:

Analyse de la documentation

Analyse de toute documentation disponible afin d'identifier les vulnérabilités à la conception

L'analyse de la documentation permet de découvrir le projet et de déceler les vulnérabilités introduites dès la conception du projet

Analyse statique de sécurité:

Analyse de sécurité statique par rapport à des référentiels standard

Test statique de sécurité (SAST) pour ~50K LOCs.

L'examen semi-automatique vérifiera les points suivants :

• OWASP 10
• SANS CWE 25
• Complexité du code
• Maintenabilité de la base de code
• Vulnérabilités et erreurs
• Analyse des vulnérabilités env. déploiement
• Analyse des vulnérabilités sur les dépendances
• Analyse des vulnérabilités env. Docker
• Conventions de nommage

L'analyse sera effectuée à la fois sur le front-end et le back-end.

Analyse des vulnérabilités

Analyse dynamique de sécurité (DAST) et conduite de l'évaluation semi-automatique des vulnérabilités sur une version en production:

• Planification de l'évaluation
• Collecte d'informations sur l'environnement
• Analyse des vulnérabilités OWASP10 / SANS25
• Corrélation aux référentiels standard
• Recommandations
• Solutions de mitigation

Modélisation des menaces:

Analyse des menaces multi-niveau afin d'évaluer les risques des différents composants et mieux cibler l'examen manuel:

• Définition du cadre
• Définition des niveaux d'analyse
• Analyse STRIDE
• Liste des menaces
• Corrélation à la base de code
• Recommandations

Audit manuel de code:

La révision sera effectuée en examinant le code et la documentation connexe à la recherche de problèmes de sécurité courants.

Cette analyse s'appuie sur la modélisation des menaces pour prioriser la revue. Elle s'attardera notamment sur :

• Gestion des identités
• Gestion des accès
• Gestions des données

[yblatti]

Rapport d'audit de sécurité livré par la société SecureMind le 13.05.2024. Les membres du Groupe utilisateurs Extract recevront prochainement l'Executive summary du rapport d'autit. Les correctifs seront réalisés pour la v2.2 (#305).