VPN аудитын тайланг унших: хамрах хүрээ нь тэмдгээс чухал

Тэмдэг харуулах нь хямд, тайлбарлах нь үнэтэй. Нийтэлсэн аудитын тайлан бол инженерийн ажлын хязгаарлагдмал хэсэг: нэрлэсэн үнэлэгч нэрлэсэн бүрэлдэхүүн хэсгүүдийг нэрлэсэн хувилбарт, зарласан арга, цаг хугацааны төсөвтэйгээр шалгасан. Эдгээр дөрвөн баримт дүгнэлт юуг дэмжиж чадахыг тодорхойлдог бөгөөд тэдгээр нь ихэвчлэн эхний хэдэн хуудсанд, маркетингийн хураангуйд биш байдаг. Тэдгээрийг унших нь арван минут зарцуулж, клиент аппын олдворыг бүх үйлчилгээнд тэлэх нийтлэг алдааг сэргийлдэг.

Хамрах хүрээний хэсэг юуг үнэхээр хязгаарладаг

Хамрах хүрээний мэдэгдэл бол хашаа бөгөөд түүнээс гадуурх бүхэн тэнцсэн биш, хариултгүй үлддэг. Тайлангууд шалгасан бүрэлдэхүүн хэсгүүд, commit-ийн хүрээ эсвэл build-ийн таних тэмдэг, ашигласан орчин, зөвшөөрөгдсөн харилцан үйлчлэлийн загварыг жагсаадаг. Ширээний клиент, гар утасны апп, серверийн код, бүртгэлийн backend, үйлдвэрлэлийн дэд бүтэц нь таван өөр сэдэв бөгөөд ажил тэдгээрийн аль ч дэд олонлогийг хамарч болно.

Хасалт нь оруулгатай адил чухал, учир нь тэдгээрийг санаатайгаар бичиж, хайхрамжгүй уншдаг. Хамрах хүрээнээс гадуур гэж тодорхойлсон бүртгэлийн системийг далд байдлаар аюулгүй гэж үзэхгүй, ажлаас хасагдсан гар утасны апп зүгээр л шалгагдаагүй байна. Өөрийн тэмдэглэлд шалгагдаагүй бүр бүрэлдэхүүн хэсгийг үл мэдэгдэх гэж тэмдэглэж, цоорхойг нэр хүндээр дүүргэх уруу таталтад тэсвэрлэ.

Хоёр төрлийн шалгалт өөр асуултад хариулдаг

Эх кодын хяналт ба ажиллагааны үеийн шалгалт өөр гэмтэл хайдаг. Код уншдаг хянагч түлхүүрийн гарал үүслийг дагаж, дутуу уртын шалгалтыг анзаарч, бүхэл задлагчийг ажиллуулалгүйгээр дүгнэлт хийж чадна. Ажиллаж буй үйлчилгээний эсрэг шалгагч байршуулсан build үнэхээр юу хийдгийг нээдэг: апп-ын татгалздаг гэрчилгээ, одоо ч идэвхтэй нөөц протокол, хэн ч хянаагүй тохиргоогоор хувилбарын баннерыг алдагдуулдаг төгсгөлийн цэг.

Аль нь ч нөгөөгөө орлохгүй бөгөөд тайлан ихэвчлэн алийг нь хийснийг нэрлэдэг. Хураангуй энэ ялгаагүйгээр «аудит хийгдсэн» гэвэл хоёрдмол байдал нь тайланд биш, хураангуйд байна.

Хандалтын хязгаарлалт мөн адил. Хар хайрцагны ажил серверийн тохиргоог харж чадахгүй, байршуулсан төгсгөлийн цэгт хэзээ ч хүрдэггүй архитектурын хяналт үйлдвэрлэл диаграмаас ялгаатай гэдгийг анзаарч чадахгүй. Хоёулаа хууль ёсны; тэдгээрийн үр дүнг хольж болохгүй.

Олдвор хэрхэн зассан хувилбар болдог

Тайлангийн үнэ цэнэтэй хагас нь засварын хүснэгт: олдвор бүр, үнэлэгчийн аргаар түүний ноцтой байдал, операторын хариу, дахин шалгалтын үр дүн. Ноцтой байдлын тоо нь байгалиас биш, сонгосон арга зүйгээс гардаг тул нэг тайлан дотор харьцуул, өөр масштабтай хоёр тайлангийн хооронд биш.

Дараа нь засварыг гаргасан програм хангамжтай холбо. Зассан олдвор нь засварыг агуулсан хувилбар суулгагдсан үед л хэрэглэгчид ач холбогдолтой тул тайлангийн build-ийн таних тэмдэг ба гаргацын өөрчлөлтийн бүртгэлийг хамт унших ёстой. Засварыг хамарсан дахин шалгалт циклийг хаадаг; шалгагдаагүй засвар бол мэдэгдэл юм. Ямар ч тогтвортой гаргац нэгтгэж үзээгүй салбарт ганц гаргасан засвар ч мөн адил.

Тэмдэг танд юу хэлж чадахгүй

Олдвор байхгүй нь алдаа байхгүйн баталгаа биш. Тогтмол төсөвтэй богино ажил заримыг алдаж, цэвэр тайлангийн шударга уншилт нь үнэлэгч боломжтой хугацаанд хайж байсан асуудлын ангиллыг олоогүй гэсэн үг.

Тэмдэг мөн өөрийн хамрах хүрээнээс гадуурх шинж чанаруудын талаар ярьж чадахгүй. Бүртгэлийн практик, харьяалал эсвэл хадгалалтын тухай мэдэгдэл бодлогын баримт бичигт амьдардаг, клиент аппликейшны аудитэд биш, үнэлэгчийн ямар ч нэр хүнд тэр хилээр гарахгүй.

Хамгаалж чадах нотолгоог бүртгэх

Ишлэлийг гурван хэсэгт бич: бүрэлдэхүүн хэсэг, хувилбар, баталгаажсан засвар. Нийтэлсэн ажил, жишээ нь Mozilla-ийн захиалсан VPN аудит өөрийн хамрах хүрээгээр тодорхойлсон мэдэгдлийг л дэмждэг, үүнээс өргөн юуг ч биш, энэ нь ишлэл нарийвчлалтай үед нэлээд үнэ цэнэтэй хэвээр. Ижил тайланг хэзээ ч шалгаагүй зүйлд иш татах нь ишлэлгүй байснаас бага үнэ цэнэтэй, учир нь хэн ч олж аваагүй итгэл рүү урьдаг.

Мэдэгдэж буй шинж чанар бүх боломжтой тайлангаас гадуур гарвал баримт бичигт шийдэгдээгүй орхи. Шийдэгдээгүй мөр нэмэлт асуулт руу урьдаг; тэмдэг урьдаггүй. Цорын ганц үл хамаарах зүйл бол өөр, адил нарийн баримт бичиг шийддэг шинж чанар бөгөөд тэгвэл мэдэгдэл биш, ишлэл өөрчлөгддөг.

Өөр хоёр зуршил уншилтыг удаан эдэлгээтэй болгодог: тайлангийн огноог таны үнэхээр ажиллуулж буй гаргацтай харьцуулан тэмдэглэ, шалгасан ба байршуулсан зүйлийн ялгааг хадгал. Хоёулаа итгэлийн шийдвэрийг хамт олон шалгаж чадах зүйл болгоно.