DETECT AND FIX

Ne laissez pas de portes ouvertes dans le code

Security Champion / Auditeur

La revue de code augmentée par la YAG-Suite: une approche "best effort" + des fonctionnalités dédiées aux auditeurs

La technologie innovante de YAGAAN extrait de nombreuses caractéristiques du code ayant un impact sur la sécurité et contextualise les analyses pour proposer aux security champions des fonctionnalités inédites de qualification automatique des alertes, de personnalisation des règles de détection et d'aide à la décision.

Les auditeurs, traditionnels oubliés des outils d'analyse de code, bénéficient avec la YAG-Suite de fonctionnalités uniques de découverte, d'exploration ciblée et d'assistance aux investigations complexes pour avoir une vision exhaustive des zones de code à risque et ne pas avoir de "trous dans la raquette". Les développeurs en reprise de TMA y trouveront également leur bonheur !

Gagnez du temps dans la découverte de l'application par la cartographie des symptômes relatifs à la sécurité

La YAG-Suite ne se contente pas de détecter les vulnérabilités de l'application, elle recherche également les caractéristiques du code qui ont une influence sur la sécurité de l'application. Ces symptômes contribuent à la découverte de vulnérabilités mais également à la caractérisation des contextes d'exploitation et des risques associés.

Vous avez ainsi accès à une vision résumée du comportement de l'application vous permettant d'appréhender rapidement les thématiques à investiguer lors de la revue de la sécurité du code.

Vous pouvez également cartographier des sélection de symptômes dans l'application via l'Audit Center et utiliser les fonctionnalités de navigation dans le code pour augmenter votre revue de code par les informations sémantiques détectées automatiquement par la YAG-Suite.

Produisez rapidement un plan d'action basé sur l'analyse des risques

Dans l'Audit Center, les vulnérabilités sont qualifiées automatiquement en confrontant le contexte de chaque alerte à une base de connaissance centralisée. La qualification obtenue permet notamment d'évaluer l'état le plus probable de chacune des métriques CVSS v3 afin d'établir un premier niveau d'évaluation de risque par un score CVSS propre à chacune des alertes. Vous pouvez ensuite affiner l'évaluation du risque par apprentissage et extraire simplement un plan d'action priorisé.

Identifiez rapidement les points d'entrée vulnérables de l'application

Avec les capacités de code mining de l'Audit Center, vous pouvez identifier où se trouvent les points d'entrée de l'application et obtenir très facilement les potentielles vulnérabilités dans le code appelé.

Les capacités uniques de requêtage du graphe d'appel de l'Audit Center associées au filtrage par des requêtes dédiées simples, vous permettent d'extraire très rapidement les points d'entrées vulnérables et de produire des simulations d'attaque concrètes à valider sur l'application déployée.

Le code mining pour assister les investigations ciblées

L'Audit Center dispose de fonctionnalités avancées pour simplifier les étapes d'investigations manuelles. Vous pouvez obtenir rapidement une cartographie requêtable des caractéristiques de l'application.

Il est même possible de suivre et de filtrer l'influence de n'importe quelle donnée dans l'intégralité de l'application.

Exemple d'un détecteur éditable graphiquement.

Adaptez le scan aux spécificités de l'application

Le référentiel des règles analysées lors d'un scan est facilement personnalisable et ne requiert pas d'appréhender un SDK complexe d'écriture de règles. Il existe différents types de détecteur vous permettant d'ajouter très simplement le support de frameworks spécifique à une application, d'exprimer des conventions de nommage, ou même de créer vos propres détecteurs de vulnérabilités.