Remediation engineering quando il fix richiede codice.
Quando un fix verificato su un’applicazione, un’API o un backend richiede codice di produzione, posso scriverlo io. Concordiamo la modifica prima di iniziare, e la consegno con test e documentazione.
- Ideale per
- Una modifica definita
- Un componente sensibile per la sicurezza o un fix strutturale.
- Scope
- Concordato prima
- Confini e criteri di accettazione definiti prima di iniziare.
- Consegna
- Production-ready
- Codice con test, più la documentazione concordata nello scope.
Quando serve
Fix che vanno scritti in codice.
Alcuni finding si chiudono solo riprogettando un flusso di autorizzazione o riscrivendo un componente sensibile per la sicurezza.
Mi occupo di questo lavoro quando la modifica può essere definita con chiarezza e riconsegnata al tuo team. Parto da come è distribuito il sistema e da chi lo manterrà, e cerco la modifica più piccola che elimina il punto debole.
Processo e tempi
La modifica si concorda prima di scrivere codice.
Il risultato si accetta con un test concordato all’inizio.
- Concordare la modifica
Stabiliamo quale componente cambiare, chi ne sarà responsabile e quale test dimostrerà che il lavoro è finito.
- Progettare il fix
Individuo dove l’input non fidato entra nel componente e come può farlo fallire, poi scelgo la modifica più piccola che elimina il punto debole.
- Sviluppare e testare
Scrivo la modifica con test automatici, compreso uno che ripete l’attacco descritto nel finding originale.
- Consegnare al team
Documento come fare il deploy e perché la modifica è fatta così, in modo che il tuo team possa mantenerla.
Domande frequenti
Domande sulla remediation.
Quali progetti rientrano nel servizio?
Un componente specifico o una modifica sensibile per la sicurezza, di solito emersa da un pentest o da una code review. Lo sviluppo prodotto generico e la team augmentation restano fuori da questo servizio.
Puoi lavorare su una codebase e con un team esistenti?
Sì, è il caso più comune. Posso consegnare la modifica da solo o lavorare insieme ai tuoi sviluppatori, e prima di iniziare concordiamo accessi, code review e handover.
Cosa riceviamo?
Quello che concordiamo durante lo scoping. Di solito è codice funzionante con test automatici, più configurazione di deployment, documentazione tecnica, un registro delle decisioni di sicurezza prese e una sessione di handover.
Come viene usata l’IA durante lo sviluppo?
Posso usare strumenti di IA per confrontare opzioni di implementazione o velocizzare il lavoro ripetitivo. Codice e dati del cliente non vengono mai inviati a servizi di IA esterni senza la tua autorizzazione scritta. Ogni modifica la rivedo e la testo io, e non considero mai l’output di un’IA una prova che il codice sia corretto o sicuro.
Altri servizi
Da dove arrivano di solito questi interventi.
Penetration testing web, API e mobile
Un test della tua app web, API o mobile, del cloud su cui gira e dei dispositivi che vi si collegano.
Validazione dei finding
I finding di scanner, strumenti di IA o assessment precedenti, controllati uno per uno nel tuo codice. Sai quali sono reali e come correggerli.
Supporto alla product security
Brevi review tra un pentest e l’altro: una modifica sensibile prima del rilascio, o un fix da ritestare.
Di solito si parte da un report di finding.
Invialo con lo stack attuale e la data obiettivo.
Preferisci scrivere direttamente? [email protected]