Для технических руководителей, владельцев продуктов и команд, которые меняют критичные функции, принимают чужую кодовую базу или разбирают известную находку.

Когда важно понять первопричину и выбрать подходящее исправление.

Что проверяем

Определить модули, изменения, зависимости и связанные потоки данных.
Проверить границы доверия, права доступа и обработку недоверенных данных.
Разобрать находки в контексте приложения и обсудить исправления с учётом архитектуры.

Понятный старт. Полезный результат.

Расскажите о задаче

Опишите продукт, стек, цель и срок. Короткого обзора достаточно для начала разговора.

Согласуем работу

До начала получите письменный объём, результаты, критерии приёмки, стоимость и график.

Обсуждаем промежуточные результаты

При проверке разбираем доказательства и приоритеты. При разработке проверяем согласованные этапы реализации.

Используйте результат

Получите технический разбор и материалы для команды. Согласуем дальнейшую реализацию или проверку, если они нужны.

Разбираюсь в первопричине.

Исследования Facebook и Instagram, более 300 изученных отчётов и находок в ядре Linux, восемь патчей и две опубликованные CVE. Связываю подозрительное поведение с кодом, условиями его возникновения и последствиями для продукта.

Находки и исправления в ядре Linux

Вопросы перед началом

С какими языками и технологиями вы работаете?

Я работаю с кодом приложений, в том числе на C, C++ и Java. Мой опыт разработки также включает PHP/Laravel, Vue, Node.js и MySQL. Расскажите о стеке и цели, чтобы определить подходящий объём проверки.

Нужен ли весь исходный код?

Доступ зависит от задачи. Для целевой проверки могут понадобиться связанный код, сведения о сборке или тесты, чтобы понять права доступа, зависимости и потоки данных.

Можно ли проверить предложенное исправление?

Да. Можно проверить, устраняет ли изменение исходную причину и не создаёт ли связанных проблем. Работы по реализации исправления при необходимости согласуем отдельно.

Можно ли начать с одного компонента?

Да. Проверка важной функции, модуля или изменения с чёткими границами может стать полезным первым проектом. Эти границы будут указаны в отчёте.

Аудит безопасности кода