GitLab thử nghiệm công cụ phát hiện lỗ hổng logic nghiệp vụ mà SAST thường bỏ sót
GitLab đang phát triển Business Logic Security Analyzer cho GitLab Duo Agent Platform nhằm phát hiện các lỗ hổng ứng dụng mà công cụ kiểm thử bảo mật ứng dụng tĩnh (SAST) truyền thống thường bỏ sót. Công cụ nhắm đến những lỗi như phân quyền sai ở cấp đối tượng, trong đó endpoint trả về đơn hàng mà không kiểm tra người yêu cầu có phải chủ sở hữu hay không, cùng các trường hợp client có thể tự gửi vai trò người dùng và mã ID người dùng dễ đoán. Những vấn đề này thường nằm trong đoạn mã hợp lệ, trông bình thường thay vì chứa các mẫu đáng ngờ, nên công cụ quét cần hiểu endpoint được kỳ vọng phải thực thi quy tắc gì. Analyzer hiện được cung cấp dưới dạng early access cho khách hàng GitLab Ultimate trên GitLab.com, giúp các đội bảo mật thử kiểm tra dựa trên ý định bên cạnh phương pháp quét thông thường.
Các đội bảo mật và lập trình viên dùng GitLab Ultimate trên GitLab.com có thể thử Business Logic Security Analyzer trong giai đoạn early access để tìm lỗi phân quyền và logic nghiệp vụ mà SAST truyền thống dễ bỏ sót. Khi rà soát API, vẫn cần kiểm tra thủ công quyền sở hữu tài nguyên, vai trò do client gửi lên và các mã định danh dễ đoán.
Đọc bài gốc