Teemu Vesala puhui 7.6. Testiautomaatioklinkiassa, miten on mahdollista parantaa kehitteillä olevan ohjelmiston tietoturvaa yhdistämällä testiautomaatiota ja manuaalitestausta.

1. 8.6.2016© Qentinel Group 1PUBLIC
Miten takaat kehityksessä olevan softan
tietoturvan?
Teemu Vesala (@teemuvesala), 7.6.2016

2. 8.6.2016© Qentinel Group 3PUBLIC
Mitä?
• C – confidentality
• I – integrity
• A – availability

3. 8.6.2016© Qentinel Group 4PUBLIC
Tieturvallinen softa rakentuu
• Ymmärrä ominaisuuksien riskit…
• Ymmärrä datavirrat…
• Ymmärrä koodausvaiheessa…
• Järjestä automatiikkaa…
• Tee manuaalista…

4. 8.6.2016© Qentinel Group 5PUBLIC
Jatkuvan julkaisun putki
Commit Käännös Yksikkötestit
Staattinen
tarkastus
Hyväksymistestit
Tietoturva-
skannausIntegraatiotestit Julkaisu

5. 8.6.2016© Qentinel Group 6PUBLIC
Työkalut
• Zed Attack Proxy
• Open source, OWASP
• Burp Suite
• Kaupallinen
• Isoilla omansa – esim IBM

6. 8.6.2016© Qentinel Group 7PUBLIC
Meidän työkalupino
• Jenkins
• Zap
• Zapr

7. 8.6.2016© Qentinel Group 8PUBLIC
Statistiikka - pelottavaa
Virheen kuvaus Lukumäärä
Cross Site Scripting (Reflected) 11
External Redirect 1
Remote File Inclusion 1
Directory Browsing 15
Parameter Tampering 37
X-Frame-Options Header Not Set 184
Virheen kuvaus Lukumäärä
Cookie No HttpOnly Flag 420
Cross-Domain JavaScript Source
File Inclusion
67
Password Autocomplete in
Browser
12
Web Browser XSS Protection Not
Enabled
184
X-Content-Type-Options Header
Missing
184

8. 8.6.2016© Qentinel Group 9PUBLIC
Metriikat
• Trendit
• Riskien mukaan
• Väärä hälytys / väärä negatiivinen tulos
• Skannauksessa löydetty vs. manuaaliset/julkaisun jälkeiset

9. 8.6.2016© Qentinel Group 10PUBLIC
Ota yhteyttäQentinel Group
www.qentinel.com info@qentinel.com