Hacktron : connecter la revue de code et examiner un rapport de test de sécurité

Définir le dépôt et le périmètre du test

Merci à Hacktron de sponsoriser cette vidéo.

L’exemple enregistré connecte GitHub pour les revues de PR et lance un test en boîte blanche sur la propre application de Luke. Il rapporte 13 vulnérabilités, dont huit de gravité élevée. Ce sont les résultats rapportés par cette vidéo, pas une affirmation sur une autre application.

1. Choisissez uniquement un dépôt et un environnement qui vous appartiennent ou que vous êtes autorisé à tester.
2. Examinez la connexion GitHub et le périmètre prévu de la revue de PR.
3. Définissez la cible et les données approuvées pour un test plus approfondi.
4. Utilisez si possible des comptes synthétiques et un environnement de test restaurable.

Examiner les constats, pas seulement leur nombre

La source fournit aussi une étude de cas Rocket.Chat. Cette étude distincte apporte du contexte ; elle n’établit pas la gravité d’un constat dans votre dépôt.

1. Lisez la route concernée, les conditions préalables et les preuves de chaque constat.
2. Reproduisez le comportement dans le périmètre autorisé.
3. Comparez le résultat rapporté à la règle d’accès ou de validation que l’application devrait appliquer.
4. Priorisez les problèmes vérifiés sans considérer l’étiquette de gravité comme une analyse complète.

Retester les réparations et garder les limites visibles

Une revue automatisée peut faire ressortir des problèmes, mais un scan réussi ne certifie pas l’ensemble de l’application.

1. Examinez la modification de code proposée et son effet sur le comportement concerné.
2. Répétez la reproduction originale après la correction.
3. Vérifiez les cas voisins autorisés et refusés.
4. Consignez les constats non résolus, les zones non testées et la date du rapport concerné.

À retenir

Traitez le résultat comme des preuves à examiner et à corriger. Ce guide n’effectue pas de test d’intrusion et ne garantit pas la sécurité de l’application.