V10.1.1 Code Integrity

Requirement:

Verify that a code analysis tool is in use that can detect potentially malicious code, such as time functions, unsafe file operations and network connections.

Explanation:

Требование направлено на использование средств анализа кода для обнаружения потенциально вредоносного кода в приложении. Цель - выявить и устранить уязвимости в системе безопасности, а также предотвратить внедрение вредоносного кода в программное обеспечение. 

1 Code Analysis Tools: это программы, которые автоматически исследуют исходный или скомпилированный код с целью выявления уязвимостей безопасности, ошибок кодирования или потенциальных угроз. Для оценки качества и безопасности кода используются различные методы, включая статический и динамический анализ.(FindBugs, SonarQube, CodeSonar, Veracode, Bandit, Checkmarx, Snyk)

2 Detection of Potentially Malicious Code: В данном требовании подчеркивается необходимость обнаружения кода, который может быть признан вредоносным. Это включает в себя следующие аспекты, но не ограничивается ими:

• Time Functions: Вредоносный код может злоупотреблять функциями, связанными со временем, для осуществления атак, таких как эксплуатации race conditions или создание сценариев Denial-of-service.  Средства анализа кода позволяют выявить потенциально опасное использование этих функций.

• Unsafe File Operations: Вредоносный код может пытаться выполнять небезопасные файловые операции, такие как перезапись критических системных файлов или несанкционированный доступ к файлам. Средства анализа кода позволяют выявить код, демонстрирующий подобное поведение.

• Network Connections: Подозрительные сетевые соединения или небезопасные сетевые коммуникации могут свидетельствовать о наличии вредоносного кода. Средства анализа кода позволяют выявить код, инициирующий небезопасные сетевые действия или соединения.

3 Vulnerability Identification: Средства анализа кода позволяют выявить такие уязвимости, как переполнение буфера, SQL-инъекции, межсайтовый скриптинг (XSS) и др. Эти средства анализируют код на предмет выявления паттернов и моделей поведения, которые могут привести к возникновению проблем безопасности.

4 Security Best Practices: Использование средств анализа кода позволяет командам разработчиков придерживаться лучших практик безопасности и стандартов кодирования, что помогает предотвратить появление уязвимостей в процессе разработки.

5 Preventing Malicious Code: Конечной целью данного требования является предотвращение включения вредоносного кода в приложение.  Используя средства анализа кода, команды разработчиков могут заблаговременно выявлять и устранять проблемы безопасности, снижая риск нарушения безопасности и атак.

6 Compliance: Использование средств анализа кода для обнаружения потенциально вредоносного кода также необходимо для обеспечения соответствия стандартам и нормам безопасности, поскольку демонстрирует стремление к безопасности и проактивному выявлению уязвимостей.

Remediation:

Чтобы убедиться, что используется инструмент анализа кода, способный обнаруживать потенциально вредоносный код, выполните следующие действия:

• Определите инструмент анализа кода. Существует несколько доступных инструментов анализа кода, как коммерческих, так и с открытым исходным кодом, которые могут помочь вам идентифицировать потенциально вредоносный код в ваших приложениях. Некоторые популярные инструменты включают SonarQube, Veracode и Fortify.
• Интегрируйте инструмент анализа кода в свой процесс разработки: после того, как вы выбрали инструмент анализа кода, вы должны интегрировать его в свой процесс разработки, чтобы он мог сканировать ваш код в рамках вашего обычного рабочего процесса разработки. Это можно сделать с помощью интеграции с вашей системой контроля версий, конвейера непрерывной интеграции/непрерывной доставки (CI/CD) или с помощью ручного сканирования.
• Настройте инструмент анализа кода: вам следует настроить инструмент анализа кода для сканирования определенных типов потенциально вредоносного кода, которые вас интересуют, таких как функции времени, небезопасные операции с файлами и сетевые подключения. Обычно это можно сделать с помощью настроек конфигурации инструмента или путем определения пользовательских правил.
• Сканируйте свой код: после настройки инструмента анализа кода вы можете инициировать сканирование своего кода для обнаружения любого потенциально вредоносного кода. Инструмент должен генерировать отчет, в котором выделяются все обнаруженные им проблемы и предлагаются способы их решения.
• Просмотрите и устраните обнаруженные проблемы: после завершения сканирования вы должны просмотреть отчет и устранить все выявленные проблемы.

Важно помнить, что инструменты анализа кода не являются панацеей и не могут гарантировать, что ваш код свободен от уязвимостей. Однако они могут быть ценным инструментом, помогающим выявлять и устранять проблемы безопасности в ваших приложениях.

Additional:

CWE - CWE-749: Exposed Dangerous Method or Function (4.10) (mitre.org)