Descrizione

Il processo si compone fondamentalmente di due fasi. In quella iniziale l'intera applicazione viene esaminata da uno o più tool di analisi statica. Tali tool hanno lo scopo di simulare l'esecuzione del codice e di identificarne le eventuali vulnerabilità. Questo approccio ha dei grossi vantaggi rispetto al solo testing dell'applicazione, perchè si ha piena consapevolezza del comportamento dell'applicazione.

Nella fase successiva si analizza manualmente il codice concentrandosi sulle parti più delicate dell'applicazione. L'analisi viene effettuata da un team eterogeneo di persone altamente specializzate, con il fine di identificare tutte le varie vulnerabilità che non sono immediatamente identificabili.

Questa seconda fase è necessaria poichè i tool automatici non sono in grado di identificare correttamente tutte le vulnerabilità a causa dell'intrinseca complessità di tale compito.

Output

Alla fine dell'attività viene presentato al cliente un Report composto di due sezioni:

Executive summary
Riassume le problematiche riscontrate nel codice sorgente dell'applicazione ed eventuali errori di implementazione. Inoltre fornisce una valutazione del livello generale di sicurezza.

Technical details
Indica per ogni problematica individuata la sezione dei sorgenti in oggetto, una spiegazione dettagliata del problema individuato e la sua soluzione (Remediation).