代码审计服务技术白皮书v1..doc

专业效劳技术白皮书
代码审计效劳
■版本变更记录
时间
版本
说明
修改人
2012/5/21

文档创立、丰富容
专业效劳部
目录
一. 概述工作规、代码审计实施规进展严格落实。实施必须由专业的平安效劳人员依照规的操作流程进展，对操作过程和结果要有相应的记录，提供完整的效劳报告。
****代码审计效劳
效劳围
****代码审计效劳的围包括使用ASP、〔VB/C*〕、JSP〔JAVA〕、PHP等主流语言开发的B/S应用系统、使用C++、JAVA、C*、VB等主流语言开发的C/S应用系统，以及使用*ML语言编写的文件、SQL语言和数据库存储过程等。
效劳分类
整体代码审计和功能点人工代码审计
整体代码审计是指代码审计效劳人员对被审计系统的所有源代码进展整体的平安审计，代码覆盖率为100%，整体代码审计采用源代码扫描和人工分析确认相结合的方式进展分析，发现源代码存在的平安漏洞。但整体代码审计属于白盒静态分析，仅能发现代码编写存在的平安漏洞，无法发现业务功能存在的缺陷。
功能点人工代码审计是对*个或*几个重要的功能点的源代码进展人工代码审计，发现功能点存在的代码平安问题。功能点人工代码审计需要收集系统的设计文档、系统开发说明书等技术资料，以便代码审计效劳人员能够更好的了解系统业务功能。由于人工代码审计工作量极大，所以需要分析并选择重要的功能点，有针对性的进展人工代码审计。
单次效劳和年度效劳
单次效劳是指****一次性为客户的被审计系统提供代码审计效劳，效劳完成后提交代码审计报告并指导客户进展问题修复。单次效劳仅能够发现目前源代码中可能存在的各种平安问题，对于系统后续开发产生的平安问题无能为力。
年度效劳是指****以一定的时长〔可以是半年、年等〕为单位向客户提供有限次数〔每月/双月/季度/半年〕的代码审计效劳，每次代码审计均会提供详细的代码审计报告。年度效劳能够持续跟进系统的平安情况，在效劳期限最大限度保证系统的平安。
效劳流程
****代码审计效劳主要分为四个阶段，包括代码审计前期准备阶段、代码审计阶段实施、复查阶段实施以及成果汇报阶段：
前期准备阶段
在实施代码审计工作前，技术人员会和客户对代码审计效劳相关的技术细节进展详细沟通。由此确认代码审计的方案，方案容主要包括确认的代码审计围、最终对象、审计方式、审计要求和时间等容。
代码审计阶段实施
在代码审计实施过程中，****代码审计效劳人员首先使用代码审计的扫描工具对源代码进展扫描，完成初步的信息收集，然后由人工的方式对源代码扫描结果进展人工的分析和确认。
根据收集的各类信息对客户要求的重要功能点进展人工代码审计。
结合自动化源代码扫描和人工代码审计两方的结果，代码审计效劳人员需整理代码审计效劳的输出结果并编制代码审计报告，最终提交客户和对报告容进展沟通。
复测阶段实施
经过第一次代码审计报告提交和沟通后，等待客户针对代码审计发现的问题整改或加固。经整改或加固后，代码审计效劳人员进展回归检查，即二次检查。检查完毕后提交给客户复查报告和对复查结果进展沟通。
成果汇报阶段
根据一次代码审计和二次复查结果，整理代码审计效劳输出成果，最后汇报工程领导。
代码审计效劳流程
效劳特点
全程化效劳，有效保证效劳质量
****可以为客户提供约定期限的全程化代码审计效劳。效劳的过程不仅仅是帮助客户发现问题，也会为客户的问题修补提供专业的建议和指导，做到问题发现、修补、验证的全程跟踪，每一次效劳都会在前一次的根底上寻找新的突破口，力求最大程度地保证审计目标的平安。
专家级解决方案，一切以解决问题为目标
****有着专业的平安效劳团队，团队成员无论是在风险评估、平安加固、渗透测试，还是在代码审计等领域均有着丰富的经历，所有问题的解决方案均由团队成员根据多年经历总结而来，方案确实可行。
降低本钱，节省投资
在****为客户打造的年度效劳方案中，效劳人员第一次代码审计的结果将会成为后续审计效劳的参考依据，防止了单次效劳中每次都会为*一特定问题所累，节省了审计时间，同时也降低了客户在每个阶段的投入。
效劳报告
在审计工作完成后两个工作日，****审计人员将出示一份代码审计报告。
在报告中，审计人员将会根据审计结果针对源代码中的每个平安弱点进展详细描述，描述容至少包括平安弱点所在的代码页名、代码行数、问题代码片段以及弱点可能导致的平安问题等。
除此之外，审计人员还将针对各种具体的平安弱点提供解决方案和相关的平安建议，为管理/开发人员的维护和问题修补工作提供参考。
效劳考前须知
为防止风险的产生，代码审计工作通常不会在生产或测试效