Security scanning — dastur, dependency, container, konfiguratsiya va infratuzilmada ma’lum zaiflik yoki xavfli naqshlarni avtomatik qidirish jarayonidir. U ishlab chiqish va operatsiya davomida keng sirtni muntazam tekshiradi, ammo “scan toza” degan natija tizim to‘liq xavfsizligini isbotlamaydi. Turli scannerlar boshqa ma’lumot va xato sinflarini ko‘radi.
Scan turlari
SAST source yoki intermediate representationda data-flow va xavfli API ishlatilishini topadi. DAST ishlayotgan ilovaga tashqi so‘rov yuborib, ko‘rinadigan xulqni tekshiradi. IAST agent orqali runtime oqimini kuzatadi. Software composition analysis package manifest va lockfile’ni vulnerability bazasi bilan solishtiradi.
Container scanner image layerlaridagi OS va til paketlarini inventar qiladi. IaC scanner Terraform, Kubernetes yoki bulut shablonida public storage, keng IAM va xavfli privilege kabi sozlamalarni izlaydi. Secret scanner repository tarixida token, private key va yuqori entropiyali qiymatlarni qidiradi. Har topilma tegishli artefakt va build versiyasiga bog‘lanadi.
Natijani ustuvorlash
CVE severity muhim, lekin yolg‘iz mezon emas. Zaif package runtime’da ishlatiladimi, hujumchiga ochiq yo‘lda joylashganmi, exploit mavjudmi va himoya nazorati bormi — bular riskni o‘zgartiradi. Reachability analysis dependency’dagi zaif funksiya call graphda yetib borilishini baholaydi. Internetga ochiq critical xizmat ichki test vositasidan oldin tuzatilishi mumkin.
False positive triage vaqtini sarflaydi; suppression sabab, egasi va tugash sanasi bilan yoziladi. “Risk accepted” doimiy unutilgan holat bo‘lmasligi uchun qayta ko‘rib chiqiladi. False negative ehtimoli penetration test, code review, threat modeling va runtime monitoring bilan qoplanadi.
CI va operatsiya
Pull requestda yangi critical topilmaga gate qo‘yish eski qarzning barcha buildni bloklashidan samaraliroq. Baseline mavjud muammolarni ro‘yxatlaydi, yangi kod esa qat’iy siyosatga amal qiladi. Scanner va vulnerability feed muntazam yangilanadi; kecha toza image bugun yangi e’lon sabab xavfli bo‘lishi mumkin. Shuning uchun artefaktlar deploydan keyin ham qayta scan qilinadi.
SBOM yangi CVE chiqqanda qaysi mahsulot ta’sirlanganini tez topadi. Patch tayyor bo‘lmasa, feature o‘chirish, egress cheklash yoki WAF qoidasi vaqtinchalik mitigation bo‘lishi mumkin. Tuzatishdan keyin rescan va real exploit yo‘lining regression testi bajariladi.
Scanner ishonchsiz fayl va URLlarni tahlil qiladi, shu bois uning o‘zi sandbox, timeout va minimal credential bilan ishlaydi. CI tokenlari scan logiga tushmaydi. Natijalar shaxsiy ma’lumot, source yo‘li va zaiflik tafsilotlarini ochishi mumkin, access control va retention qo‘llanadi.
Amaliy nazorat
Scanner natijasi CVSS bilan birga exploit mavjudligi, reachability, internet exposure va asset qiymati bo‘yicha ustuvorlanadi. Security scanning bo‘yicha nazorat faqat bitta input filterga tayanmaydi. API erkin sintaksis o‘rniga aniq identifikator va typed parametr qabul qiladi, jarayon esa least privilege bilan ishlaydi. Normal holat bilan birga encoding, duplicate, timeout, parallel so‘rov va qisman nosozlik test qilinadi. Production telemetry xato turi, kechikish va rad etilgan urinishlarni ko‘rsatadi, maxfiy payloadni to‘liq jurnalga yozmaydi. O‘zgarish avval kichik doirada sinovdan o‘tib, regression kuzatilmagach kengaytiriladi. Incident runbook ta’sirlangan obyektlarni aniqlash, credential yoki holatni tiklash va sababni kod darajasida bartaraf etishni belgilaydi.
Topilma yopilganda faqat status o‘zgarmaydi: tuzatish commitiga, qayta skan natijasiga va mas’ul shaxsga bog‘lanadi. Riskni qabul qilish qarori muddatli bo‘lib, texnik asos va qayta ko‘rib chiqish sanasiga ega bo‘ladi.
Bog‘liq tushunchalar
SAST, DAST, SCA, Vulnerability management, SBOM, Secret scanning, Threat modeling