Descripción

El proceso se compone fundamentalmente de dos fases, en la inicial se examina toda la aplicación utilizando una o varias herramientas de análisis estático. Dichas herramientas tienen el propósito de simular la ejecución del código e identificar las eventuales vulnerabilidades. Este enfoque tiene ventajas sustanciales en comparación con la prueba de la aplicación por sí sola, ya que hay un conocimiento completo del comportamiento de la aplicación.

En la siguiente fase se analiza manualmente el código concentrándose en las partes más significativas y expuestas de la aplicación. El análisis es ejecutado por un equipo heterogéneo de auditores altamente cualificados para detectar incluso las vulnerabilidades más complejas y menos evidentes.

Esta segunda fase es obligatoria: las herramientas automáticas son incapaces de identificar correctamente algunas vulnerabilidades debido a la complejidad intrínseca de la tarea.

Output

El Report es un documento sencillo y detallado que resume los resultados de la actividad y se divide en tres áreas diferentes, como se ha descrito anteriormente:

Executive summary
Se coloca al principio del Report y no tiene más de una página. Consiste en una visión general no técnica, destinada al Management.

Vulnerability Details
Consiste en una parte técnica que describe en detalle las vulnerabilidades descubiertas y su impacto. Está dedicado al Security Manager.