Statična analiza izvorne kode v agilnih razvojnih metodologijah

MILOSHESKA, BISERA (author), Mahnič, Viljan (mentor)

To magistrsko delo raziskuje statično analizo kode za varnostno testiranje v praktičnem in agilnem kontekstu. Proučevali smo primer norveškega podjetja Telenor Digital. Cilj dela je študija izzivov pri vpeljavi orodij za statično analizo kode, predvsem z vidika razvojnikov, ki razvijajo programsko opremo po agilni metodologiji. Poleg tega študija raziskuje tudi orodja za statično analizo kode ob uporabi kompleta orodij za varnostno testiranje (NIST Juliet Test Suite). Orodja smo primerjali glede na natančnost in glede na število pravilno klasificiranih pozitivnih primerov (true positive rate), ter število pravilno klasificiranih pozitivnih primerov, pri katerih ni hkrati tudi nepravilno klasificiran pozitiven primer v neranljivem delu kode (discrimination rate) v istem testnem primeru. Na koncu smo v Telenorju izvedli naknadno evalvacijo vpeljanega orodja za statično analizo, katere rezultati so bolje izpostavili izzive pri vpeljavi orodij za statično analizo kode za namen varnostne revizije v agilnem razvoju. Zanimali so nas najpomembnejši dejavniki za vpeljavo določenega orodja in kakšne kompromise so ekipe pripravljene sprejeti ob uporabi tega orodja. Z namenom da bi podprli uporabo takih orodij, smo tudi proučili pomembne metrike za evalvacijo le teh.

• Language: English
• Keywords: varnost v agilnih metodologij, statična analiza za varnostno testiranje, neodvisna evalvacija orodij za statično analizo
• Work type: Master's thesis/paper
• Organization: FRI - Faculty of Computer and Information Science
• Year: 2016
• PID: 20.500.12556/RUL-91337
• Publication date in RUL: 28.03.2017

Secondary language

• Language: Slovenian
• Title: Static source code analysis in agile development methodologies

Abstract

This study investigates static code analysis for security audit in an industrial and agile settings. The case study is Telenor Digital, located in Norway. The study aims to understand the challenges for implementing a static code analysis tool from agile developers perspective. The study investigated static code analysis tools on a benchmark security test suite (NIST Juliet Test Suite) in order to make an informed decision by comparing the tools on the basis of their true positive rate and discrimination rate. Lastly, a post-evaluation of the implemented static analysis tool at Telenor was performed. The results of this work shed more light on what are the challenges for implementing a static code analysis tool for security audit in an agile settings. The findings also identify the most important factors for adopting a particular tool, the trade-offs the teams are willing to make to adopt this kind of tool and the relevant metrics for tools evaluation in order to support adoption of such tools.

• Keywords: security in agile methodologies, static analysis for security testing, independent evaluation of static analysis tools