सुरक्षा कोड समीक्षा कितनी लोकप्रिय हैं?

Question

रियल दुनिया, कितने यहाँ में गहराई से सुरक्षा कोड समीक्षा से गुजरना? जो लोग करते हैं, कितनी बार - एक बार तिमाही में, एक बार संस्करण, एक बार नीला चंद्रमा? जो नहीं करते - क्यों नहीं? (छोटे या शौक प्रोग्रामर का जिक्र नहीं - यह नहीं कि मैं उन्हें छोटा कर रहा हूं, इसकी बस मुझे उम्मीद नहीं है ;-))।

एक सुरक्षा सलाहकार के रूप में, मैं आमतौर पर सुरक्षा समीक्षा करने के लिए बुलाया जाता हूं, हालांकि यह आमतौर पर केवल सुरक्षा-संवेदनशील संगठनों (जैसे बड़े बैंक, सॉफ्टवेयर विक्रेता, सैन्य, आदि) के लिए होता है, या नियामक आवश्यकताओं का परिणाम (जैसे पीसीआई-डीएसएस)।
अब, कुछ समूहों (जैसे माइक्रोसॉफ्ट, इंटेल, आरएसए, आदि के रूप में सबसे बड़ी कंपनियों में उन लोगों को छोड़कर) वास्तव में समीक्षा, का आनंद लें, भले ही यह वास्तव में एक सकारात्मक अनुभव होना चाहिए। ऐसा लगता है कि यह ज्यादातर सलाहकारों को लाने के लिए संसाधनों, समय, और निश्चित रूप से नकदी के कथित उच्च निवेश की वजह से है।

ठीक है, तो यह सिर्फ कथित नहीं कर रहा है, यह काफी वास्तविक है: यह आमतौर पर स्वीकार किया जाता है कि एक भी समीक्षक प्रति घंटे 50-100 एलओसी के बीच कवर कर सकते हैं। गुणा करने के लिए हालांकि हम प्रबंधित किया है कि - अधिकतम बाहर प्रति लगभग 1000 एलओसी पर हम कर सकते हैं - के बाद से हम सिर्फ विशिष्ट सुरक्षा के मुद्दों की तलाश कर रहे हैं (और ग्राहकों को कम लागत के लिए कड़ी मेहनत कर रहे हैं दबाने) और हम जोखिम के अनुसार गुंजाइश को कम कर सकते हैं घंटे। किसी भी मध्यम से बड़ी प्रणाली के लिए, यह अभी भी सैकड़ों महंगा परामर्शदाता घंटे है, बिलकुल भी नहीं।

आम सुझाव विकल्प स्वत: स्रोत कोड स्कैनर, आला मज़बूत, औंस प्रयोगशालाओं, आदि है हालांकि, लाइसेंसिंग लागत के अलावा, इस दूर है कुशल से - आम तौर पर हम इन उपकरणों 100 हजारों में परिणाम उत्पन्न करने के लिए एक साथ मिल जाए, झूठी सकारात्मक (और डुप्लिकेट) की बहुत अधिक (70-90%) दर। तो आप अभी भी परिणामों पर जा रहे समय के बड़े हिस्से खर्च कर रहे हैं, और इन उपकरणों में संभावित भेद्यता (जैसे तर्क दोष, व्यापार तर्क, आदि) का एक बड़ा सेट शामिल नहीं है

उस ने कहा, (और एक बड़ा अस्वीकरण चाहिए यहां जाएं :) मैं पिछले कुछ महीनों में एक उपकरण विक्रेताओं के साथ एक सेवा विकसित करने के लिए काम कर रहा हूं जो यह बहुत कुशलतापूर्वक करेगा - उदाहरण के लिए लगभग एक हफ्ते के काम में 500 के एलओसी को कवर करने में सक्षम हो, और फिर भी वास्तविक, वास्तविक सटीक और पूर्ण परिणाम प्रदान करें - लगभग शून्य झूठी सकारात्मक और लगभग कोई भी गलत झूठी नकारात्मक नहीं।

आप में से जो लोग एससीआर करना चाहिए, लेकिन नहीं कर रहे हैं - यह आप अन्यथा समझाने के लिए पर्याप्त होगा? या क्या आपको कुछ और वापस पकड़ रहा है? या यह सिर्फ आपके लिए कोई मुद्दा नहीं है?

---

स्पष्ट करने के लिए, मैं सिर्फ अपनी खुद की सुरक्षा-सुसमाचार एजेंडे से परे कुछ वास्तविक दुनिया परिप्रेक्ष्य पाने के लिए कोशिश कर रहा, मेरे या मेरी सेवा को बढ़ावा देने की कोशिश नहीं कर रहा हूँ। मैं उन मुद्दों को देखना चाहता हूं क्योंकि अन्य प्रोग्रामर उन्हें देखते हैं ...

और स्पष्टीकरण, मैं नहीं पूछ रहा हूं कि कोड समीक्षा कैसे करें, कौन से विकल्प हैं आदि। मुझे इस क्षेत्र में बहुत विशेषज्ञता है, और यह यह विशेषज्ञता है कि मैं अपने ग्राहकों को बेचता हूं। मेरा सवाल यह है कि अगर आईएफ कोड समीक्षा गैर-लोकप्रिय हैं, तो वे क्यों दिखते हैं, क्यों यह विशिष्ट गतिविधि उतनी लोकप्रिय नहीं है जितनी होनी चाहिए, और हम इसे बदलने के बारे में कैसे जा सकते हैं। (कार्यप्रणाली की पसंद, उपकरण, आदि के अप्रासंगिक)

---

इसके अलावा, के रूप में Corneliu और अन्य लोगों ने बताया, सुरक्षा कोड समीक्षा अकेले नहीं एकमात्र संरक्षण और एक प्रणाली की सुरक्षा के सत्यापन के रूप में लिया जाना चाहिए, बल्कि होना चाहिए एक पूर्ण, समग्र एसडीएलसी (सुरक्षित विकास जीवन चक्र) ढांचे का एक तत्व। हालांकि, न ही इसे भुलाया जाना चाहिए। तो मेरा सवाल वास्तव में उस तत्व पर ध्यान केंद्रित कर रहा है, चाहे पूर्ण एसडीएलसी के संदर्भ में या अकेले घुमावदार और पैच से एक कदम आगे।

Answer 1

बाहरी कोड समीक्षा के समय और लागत के बारे में आपका बिंदु महत्वपूर्ण है। मेरी कंपनी ने एक विस्तृत टूल-सहायता कोड समीक्षा करने के लिए कुछ साल पहले सिगिटल से अनुबंध किया था। सुरक्षा विश्लेषक ने फोर्टिफ़ाई का इस्तेमाल किया और मैन्युअल कोड समीक्षा को पूरा करने में सप्ताह बिताए। समय और लागत, और विश्लेषण का समर्थन करने, प्रश्नों का उत्तर देने और परिणामों की व्याख्या करने के लिए लिया गया समय, हम नियमित आधार पर बनाए रखने से अधिक थे। हम ओडब्ल्यूएएसपी से सुरक्षा दिशानिर्देशों और सिग्टल द्वारा तैयार चेकलिस्ट का उपयोग करके अपनी खुद की कोड समीक्षा करते हैं।और हम अपने निरंतर एकीकरण वातावरण में स्थिर विश्लेषण उपकरण (कवरिटी, फाइंडबग) का उपयोग करते हैं, प्रत्येक रिलीज को आईबीएम वॉचफायर एप्सकेन (या जो भी आईबीएम आज कॉल करता है) के साथ चेक किया जाता है और हम फाउंडस्टोन के साथ नियमित पेन परीक्षण निर्धारित करते हैं। पेन परीक्षण पैसे का एक अच्छा उपयोग है, और स्थैतिक विश्लेषण उपकरण उच्च कोड गुणवत्ता सुनिश्चित करने में मदद करते हैं।

यदि कोई सस्ती, तेज़ और प्रभावी सुरक्षा कोड समीक्षा पेशकश थी, तो हाँ एक बाजार होगा। मैं वित्तीय सॉफ्टवेयर का निर्माण करता हूं: मेरे ग्राहक वेराकोड या इसी तरह के विश्लेषण के लिए विदेशों में सॉफ्टवेयर भेजने के विचार के लिए पागल नहीं हैं।

Answer 2

ईमानदारी से कहूं तो, शायद ही कभी अगर कभी उन्हें है।

व्यवसाय के रूप में के रूप में ज्यादा है कि सुरक्षा महत्वपूर्ण यह हमेशा उन चीजों (ज्यादा परीक्षण की तरह) है कि नई सुविधाओं में हो रही के पक्ष में एक हिट ले जा रहा समाप्त होता है, परिवर्तन आदि

जबकि हर किसी में से एक है के बारे में पता है जानता है कि यह उन चीजों के बारे में जाने का गलत तरीका है जो मुझे संदेह है कि जब तक सुरक्षा सुरक्षा भेद्यता से आवेदन खराब नहीं हो जाता तब तक बहुत कुछ बदल जाएगा। इतने क्रूर होने के लिए खेद है।

Answer 3

मैं ऑस्ट्रेलिया से हूं और मुझे यह कहना है कि सुरक्षा समीक्षा यहां (शायद) अधिक लोकप्रिय हैं।
पिछले दो परियोजनाओं में मैंने काम किया है, हमारे पास औपचारिक सुरक्षा समीक्षा थी। मेरे पास निकट भविष्य में एक और समीक्षा गठबंधन है लेकिन मेरे परिप्रेक्ष्य से डिजाइन द्वारा "सुरक्षा समीक्षा" गलत है।

जो लोग सुरक्षा समीक्षा करते हैं उन्हें सिर्फ एक सस्ते चांदी-बुलेट की तलाश है ताकि उन्हें यह बताने के लिए कि कोड पूरी तरह से बस्ट नहीं किया गया है और एक आवेदन हमले का मौका "उत्पादन के पहले 10 घंटों में होगा" ।

• एक सुरक्षा परिप्रेक्ष्य से एक वास्तुकला की समीक्षा जब वास्तुकला स्थान पर रखा गया है:

  मैं एक सुरक्षा समीक्षा के साथ शुरू होता है।

• फिर आप थ्रेट मॉडलिंग पर आर्किटेक्ट + व्यवसाय के साथ काम करते हैं और संभावित मुद्दों को समझने और कमजोरियों को समझने के लिए समझते हैं।
• फिर आप इन कमजोरियों को एक आर्किटेक्चर स्तर पर जगह में रखने के लिए एक दृष्टिकोण तैयार करते हैं और जितना संभव हो उतना सुरक्षा कोड से व्यवसाय-स्तरीय डेवलपर्स को अलग करने का प्रयास करते हैं।
• अगला मैं टीम के साथ पूर्ण सुरक्षा विकास जीवन चक्र करूँगा और उन्हें उचित सुरक्षित-कोडिंग दिशानिर्देश सिखाऊंगा। उन सभी प्रकार के हमलों को दिखाएं जो आपके आवेदन पर हो सकते हैं जो आपके द्वारा बनाए गए खतरे मॉडल के आधार पर हो। उन्हें कोड और सुरक्षा कैसे करें दिखाएं।
• टीम को गहराई से रक्षा के बारे में सिखाएं और अपनी पहेली के प्रत्येक टुकड़े को सुरक्षित कैसे करें
• उन्हें सुरक्षित रूप से तैनात करने के तरीके, उन्हें कम से कम आवश्यक सुरक्षा के साथ अलग-अलग टुकड़ों को कैसे डिजाइन किया जाए, सिखाएं।
• उन्हें सिखाएं कि उनके कोड की सुरक्षा कोड समीक्षा कैसे करें और उन्हें एक-दूसरे को बेहतर कोड लिखने के लिए उत्तेजित करें।

यह आपको दो सप्ताह का अच्छा लगेगा। शायद तीन।

फिर, आप नियमित रूप से वापस आते हैं और आंशिक समीक्षा करते हैं, खतरे के मॉडल को अद्यतन करते हैं, और संभावित मुद्दों पर अधिक मार्गदर्शन प्रदान करते हैं जिन्हें वे पेश कर सकते हैं।

इसके साथ आपके पास अंतिम कोड समीक्षा करने के लिए प्रोजेक्ट के अंत में एक बेहतर मौका है और आपके पास अच्छा भरोसा है कि आपके पास अच्छा और सुरक्षित है।

ओह, और आप इसे एक व्यापार में बेच सकते हैं "मुझे आपके कोड बेस को देखने के लिए एक महीने की आवश्यकता है और मैं आपको बता दूंगा कि आपका ऐप कितना परेशान है"। आप एक महीने के लिए छुट्टियों में जा सकते हैं और वापस आकर उन्हें बता सकते हैं कि सभी अच्छे साथी हैं और उन्हें पता नहीं है कि आपने क्या किया।

मेरा 2 सेंट,

कॉर्नेलियू।

Answer 4

यह निर्भर करता है कि संगठन और ऐप कितना महत्वपूर्ण है।

आप प्रक्रिया को स्वचालित करने वाले वेराकोड और फोर्टिफ़ाई (विपरीत शैलियों) को देखना चाह सकते हैं। दोनों सभ्य संगठनों और सभ्य ग्राहक सूची दोनों के साथ।

इसका उपयोग एक एप्लीकेशन सुरक्षा पेन टेस्ट के साथ किया जाएगा। यदि आप इंटरनेट पर संरक्षित संसाधन के लिए लॉगऑन प्रस्तुत कर रहे हैं तो आप शायद ऑथ मॉड्यूल बनाने वाले कोड के माध्यम से भागना चाहते हैं। आपको इसे कुछ हद तक स्वचालित करने की आवश्यकता है - छोटे अनुप्रयोगों में 100K लाइन कोड और अधिक हो सकते हैं। क्या आप मैन्युअल रूप से इस सब से बैठेंगे? यह बहुत उबाऊ लगता है?

आपको भी उनके मूल्य जोड़ने पर विचार करने की आवश्यकता है। यदि आप बुनियादी ढांचे हैं तो आश्चर्यजनक रूप से खुले हैं तो कोड समीक्षा चलाने में थोड़ा सा बिंदु है। सभी दरवाजे खुले होने पर खिड़कियों को घर की जांच क्यों करें?

एक बैंक में मैंने अपने परियोजना जीवन चक्र के हिस्से के रूप में (सुरक्षा परामर्श/वास्तुकार/सामान्य कुत्तों में) के साथ काम किया, प्रत्येक परियोजना उनके कोड समीक्षा उपकरण (इस विशेष उदाहरण में फोर्टिफाइ) की लागत का निर्माण करेगी। हालांकि उनके कुछ अनुप्रयोगों को तोड़ दिया गया था और खराब आईआईएस कॉन्फ़िगरेशन के कारण 5 मिनट से भी कम समय में स्वामित्व में थे।

कोड समीक्षा - देव चक्र में किस बिंदु पर यह किया जाएगा? यह एक Agile परिप्रेक्ष्य से थोड़ा और दिलचस्प हो जाता है।

मज़बूत (या इसी तरह उपकरण) किसी भी उद्यम अनुप्रयोग के खिलाफ चल रहा है हमेशा कमजोरियों का एक शेड लोड मिलेगा

Noelie ड्यूनी

Answer 5

। इनमें से कितने सैद्धांतिक हैं, इनमें से कितने वास्तविक व्यवसाय जोखिम को प्रभावित कर रहे हैं? आप क्या वर्गीकृत करते हैं और & झूठी सकारात्मकताओं को काटते हुए कैसे वर्गीकृत करते हैं? आप फोर्टिफ़ाई के खिलाफ क्या चलते हैं?

यह वह दृष्टिकोण है जो मैं आम तौर पर एंटरप्राइज़ वाइड एप्लिकेशन/आर्किटेक्चर में सुरक्षा परिप्रेक्ष्य से लेता हूं ...। सबसे पहले आवेदन के लिए 'उपयोग' मामलों और इंटरफेस/घटकों/युग्मन को अपने आवेदन में और बाहर समझें। उपयोगकर्ता को & सिस्टम इंटरफेस में तोड़ें उपयोगकर्ता - आप ऐप यानी ब्राउज़र/मोटी क्लाइंट, विशेषाधिकार के स्तर सिस्टम - एमक्यू, टिबको इंटरफेस, किसी भी प्रबंधन/व्यवस्थापक, ओरेकल टीएनएस श्रोता जैसी चीजों के लिए उपयोग के मामलों को देख रहे हैं , ओडीबीसी, एडीओ, मालिकाना इंटरफेस और इतने पर।

यदि आप बॉन्ड/विकल्पों में काम कर रहे एक ट्रेडिंग एप्लिकेशन हैं तो आप किसमें रुचि रखते हैं?

1) अपने प्रोफ़ाइल 3) किसी दूसरे उपयोगकर्ता के डेटा तक पहुंच के लिए एक अधिकृत उपयोगकर्ता के लिए क्षमता के भीतर अनुमतियों को पार करने के एक अधिकृत उपयोगकर्ता के लिए क्षमता किसी भी निजी आवेदन डेटा 2 उपयोग करने के लिए) एक अनाम उपयोगकर्ता के लिए क्षमता 4) एक अधिकृत उपयोगकर्ता के लिए अलग-अलग उपयोगकर्ताओं के प्रसंस्करण परिणामों तक पहुंचने की क्षमता 5) किसी अधिकृत उपयोगकर्ता को एप्लिकेशन या आंतरिक आर्किटेक्चर के किसी भी घटक तक पहुंच प्राप्त करने की क्षमता

तो यह लॉगऑन द्वारा संचालित किया जाएगा मॉड्यूल और घटक जो मॉड्यूल सफल ऑथ के बाद कॉल करता है। आप मुख्य रूप से इनपुट सत्यापन & कोड के आसपास कोड जांच करने में रुचि रखते हैं।

बिल्कुल कोई मूल्य कोड जांच घटक नहीं है, डीएलएस जिनके पास आप किसी अन्य घटक के माध्यम से प्रत्यक्ष या परोक्ष रूप से पहुंच योग्य नहीं हैं।

और यह मानता है कि मंच आधारभूत संरचना पैसे पर है।

Answer 6

मुझे यकीन नहीं है कि यह उस प्रकार का उत्तर है जिसे आप ढूंढ रहे थे, लेकिन उम्मीद है कि यह आपके लिए उपयोगी हो सकता है।

मेरे पास कुछ विचार हैं। सबसे पहले, मैं सुरक्षा को अत्यधिक महत्व देता हूं और सोचता हूं कि सुरक्षा कोड समीक्षा एक अच्छा विचार है, लेकिन मैं देख सकता हूं कि वे उद्योग के आधार पर सभी मामलों में क्यों लोकप्रिय नहीं हो सकते हैं। यह शुद्ध अटकलें है, लेकिन कई कंपनियां सार्वजनिक बीटा करती हैं और इसलिए वे उन सत्रों से प्राप्त फीडबैक पर भरोसा करते हैं। वे सुरक्षा को कुछ ऐसा रूप में देख सकते हैं जिसे इसे बेहतर रूप से बेहतर किया जाना चाहिए और इसलिए शुरुआत में वे इस पर कम जोर देते हैं, विश्वास करते हैं कि कुछ स्मार्ट परीक्षकों को बग मिलेगी और बीटा लेबल उन्हें किसी भी उत्तरदायित्व से बचाएगा। जाहिर है कि यह सभी कंपनियों नहीं है, लेकिन कुछ समान लाइनों के साथ सोच रहे हैं।

यदि आप वास्तव में अपने बाजार का विस्तार करना चाहते हैं, तो आप इसे एक अलग प्रकाश में पिच करने पर विचार कर सकते हैं। संभावित जोखिम प्रबंधन के रूप में सुरक्षा समीक्षा को हाइलाइट करने के अलावा, उन्हें तकनीकी ऋण, वेतन, प्रतिष्ठा और कानूनी मुद्दों के संबंध में समय-समय पर लागत-बचत के संदर्भ में देखा जा सकता है।

उदाहरण के लिए, मैं एक अनुबंध विवाद पर कानून की अदालत में मुझे प्रतिनिधित्व करने के बजाय बुलेट प्रूफ अनुबंध लिखने के लिए एक वकील का भुगतान करना चाहता हूं। यह जोखिम प्रबंधन का एक रूप है, लेकिन मैं इसे एक निवेश के रूप में भी देखता हूं और समय के साथ एक बड़ी बचत करता हूं। न केवल मैं कानूनी रूप से अधिक सुरक्षित हूं, बल्कि मेरे और एक ग्राहक के बीच एक परिभाषित रिश्ते जैसे अंतरंग भी हैं, जहां दोनों पक्षों द्वारा निर्धारित सीमाएं और उम्मीदें पूरी की जा सकती हैं। उन सीमाओं के साथ, आप वास्तव में उन चीजों पर ध्यान केंद्रित करने के लिए स्वतंत्र हैं जिन पर आपको ध्यान केंद्रित करने की आवश्यकता है।

यदि आप बचत और मन की शांति के मामले में समान रूप से सुरक्षा पेश कर सकते हैं, तो आप पाएंगे कि सुरक्षा सलाहकारों को भर्ती करने के बारे में निर्णय लेने वाले लोग (पढ़ना प्रबंधन) आपकी सेवाओं के लिए अधिक खुले होंगे क्योंकि आप हैं एक सकारात्मक तरीके से अपनी निचली लाइन को प्रभावित करना। इसे इस तरह से प्रस्तुत करें कि आप उन्हें लागत से कहीं ज्यादा बचाएं।

Answer 7

चूंकि आप बाजार-शोध कर रहे हैं, मैं योगदान देना चाहता हूं।

मैं अन्य कंपनियों के लिए इतना एससीआर कर रहा हूं (आम तौर पर जैसा कि आपने कहा था, बैंक, बड़े ई-कॉमर्स ऐप्स, महत्वपूर्ण घटक और अन्य वित्तीय सामान)। झूठी सकारात्मक और मनी-वार बड़े लोगों का उपयोग नहीं करते हैं: फोर्टिफ़ाई, औंस लैब्स।

यदि आप उस बाजार में कम झूठी सकारात्मक और सभ्य मूल्य टैग के साथ एक नया उपकरण लाने की योजना बना रहे हैं (क्योंकि फोर्टिफ़ाई और औंस हास्यास्पद हैं-चूंकि वे बाजार पर प्रभाव डालते हैं-) मैं और कई अन्य लोग इसे प्राप्त कर सकते हैं । एमएस वीएसएनईटी क्षेत्र में एक ही बाजार खोद रहा है, इसलिए कुछ डेवलपर इस तरह से जा सकते हैं और एमएस वहां किसी भी अन्य प्रतिद्वंद्वी को कुचल सकता है (साथ ही बाजार में कुछ सार्वजनिक ध्यान ला सकता है)। आपको इसके बारे में सावधान रहना चाहिए।

आपके प्रश्न का सीधा जवाब नहीं है, लेकिन मुझे उम्मीद है कि यह मदद करता है और यदि आप इसे जारी करते हैं तो मुझे पोस्ट रखें।

Answer 8

सुरक्षा पेशेवरों को 100% मैन्युअल रूप से कोड की समीक्षा नहीं करनी चाहिए। मुझे उम्मीद है कि आपके पास औंस लैब्स या समकक्ष की एक प्रति है और केवल झूठी-सकारात्मक, ट्यूनिंग नियमों आदि को खत्म करने की समीक्षा कर रहे हैं

Answer 9

मैं गैलरी नामक एक ओपन सोर्स प्रोजेक्ट में भाग लेता हूं। जब हमने किसी भी रिलीज के लिए रिलीज उम्मीदवार 1 को मारा, तो हम सुरक्षा समीक्षा करने के लिए बाहरी टीम को किराए पर लेते हैं। लक्ष्य अत्यधिक प्रशिक्षित आंखों का एक नया सेट प्राप्त करना है जो उन्हें उत्पाद में क्रिप्ट किए गए किसी भी गुप्त सुरक्षा मुद्दों पर केंद्रित करते हैं। किसी भी सामान्य रिलीज में, हमने पाया है कि सुरक्षा समीक्षा (महंगे होने पर) मुद्दों और कमजोरियों के वर्गों को बदल देती है जो हमारे ठेठ डेवलपर्स खुला नहीं होते। भले ही हम एक उचित सुरक्षा जागरूक विकास टीम हैं, फिर भी हमेशा नए हमले वाले वैक्टर होते हैं जिन्हें हम अनजान हैं जिन्हें हमें संबोधित करना है।

इस प्रकार हमारे पास गैलरी 2.x उत्पादों के लिए 3 पूर्ण सुरक्षा समीक्षा है, और गैलरी 3.x उत्पाद के लिए 1 सुरक्षा समीक्षा है (उस स्थिति में हमने अल्फा में रहते हुए समीक्षा की थी क्योंकि हम इसके बारे में प्रतिक्रिया चाहते थे जितनी जल्दी हो सके भेद्यता)।

स्वचालित (पढ़ें: स्थिर विश्लेषण) उपकरण अच्छा होगा। स्वचालित पेन-परीक्षण उपकरण भी अच्छे हैं। लेकिन हम मानते हैं कि कोड की जांच करने और सूक्ष्म भेद्यता की तलाश करने के लिए प्रक्रिया में मानव होने में बहुत अधिक मूल्य है जो हमें यात्रा करता है।