SEC11-BP04 Esecuzione di revisioni del codice

PDFRSS

Implementa le revisioni del codice per verificare la qualità e la sicurezza del software in fase di sviluppo. Le revisioni del codice prevedono che membri del team diversi da quelli che hanno originariamente scritto il codice esaminino il codice stesso per individuare potenziali problemi e vulnerabilità e l'aderenza agli standard e alle best practice in materia di codifica. Questo processo aiuta a individuare errori, incongruenze e difetti di sicurezza che potrebbero essere stati trascurati dallo sviluppatore originale. Utilizza strumenti automatici per facilitare la revisione del codice.

Risultato desiderato: le revisioni del codice vengono incluse durante la fase di sviluppo per aumentare la qualità del software in fase di scrittura. Le competenze dei membri meno esperti del team migliorano grazie ad apprendimenti identificati durante la revisione del codice. Vengono identificate le opportunità di automazione e il processo di revisione del codice viene supportato con strumenti e test automatizzati.

Anti-pattern comuni:

• Il codice non viene revisionato prima dell'implementazione.

• Scrittura e revisione del codice effettuate dalla stessa persona.

• Mancato utilizzo dell'automazione e degli strumenti per facilitare o orchestrare le revisioni del codice.

• Mancata formazione degli sviluppatori sulla sicurezza dell'applicazione prima di eseguire la revisione del codice.

Vantaggi dell'adozione di questa best practice:

• Migliore qualità del codice.

• Maggiore coerenza dello sviluppo del codice attraverso il riutilizzo di approcci comuni.

• Riduzione del numero di problemi riscontrati durante i test di penetrazione e nelle fasi successive.

• Migliore circolazione delle informazioni all'interno del team.

Livello di rischio associato se questa best practice non fosse adottata: medio

Guida all'implementazione

Le revisioni del codice aiutano a verificare la qualità e la sicurezza del software durante la fase di sviluppo. Le revisioni manuali prevedono che membri del team diversi da quelli che hanno originariamente scritto il codice esaminino il codice stesso per individuare potenziali problemi e vulnerabilità e l'aderenza agli standard e alle best practice in materia di codifica. Questo processo aiuta a individuare errori, incongruenze e difetti di sicurezza che potrebbero essere stati trascurati dallo sviluppatore originale.

Valuta la possibilità di utilizzare Sicurezza di Amazon CodeGuru per condurre revisioni automatiche del codice. Sicurezza di CodeGuru utilizza il machine learning e il ragionamento automatico per analizzare il codice e identificare potenziali vulnerabilità di sicurezza e problemi di codifica. Integra le revisioni automatiche del codice con i repository di codice e le pipeline di integrazione continua/distribuzione continua (CI/CD) esistenti.

Passaggi dell'implementazione

1. Stabilisci un processo di revisione del codice:

   • Definisci quando devono essere eseguite le revisioni del codice, ad esempio prima di unire il codice nel ramo principale o prima dell'implementazione in produzione.

   • Determina chi deve essere coinvolto nel processo di revisione del codice, ad esempio i membri del team, gli sviluppatori senior e gli esperti di sicurezza.

   • Decidi la metodologia di revisione del codice, inclusi il processo e gli strumenti da utilizzare.

2. Configura gli strumenti di revisione del codice:

   • Valuta e seleziona gli strumenti di revisione del codice più adatti alle esigenze del tuo team, come le richieste pull di GitHub o Sicurezza di CodeGuru.

   • Integra gli strumenti scelti con i tuoi repository di codice e le pipeline CI/CD esistenti.

   • Configura gli strumenti per applicare i requisiti di revisione del codice, come il numero minimo di revisori e le regole di approvazione.

3. Definisci checklist e linee guida per la revisione del codice:

   • Crea una checklist o elabora delle linee guida per la revisione del codice che descrivano gli elementi da esaminare. Prendi in considerazione fattori come la qualità del codice, le vulnerabilità di sicurezza, l'aderenza agli standard di codifica e le prestazioni.

   • Condividi la checklist o le linee guida con il team di sviluppo e verifica che tutti comprendano le aspettative.

4. Forma gli sviluppatori sulle best practice per la revisione del codice:

   • Offri una formazione al tuo team su come condurre revisioni del codice efficaci.

   • Educa il team in merito ai principi di sicurezza delle applicazioni e alle vulnerabilità comuni da individuare durante le revisioni.

   • Incoraggia la condivisione delle conoscenze e abbina sessioni di programmazione per migliorare le competenze dei membri del team meno esperti.

5. Implementa il processo di revisione del codice:

   • Integra la fase di revisione del codice nel flusso di lavoro di sviluppo, ad esempio creando una richiesta pull e assegnando i revisori.

   • Richiedi che le modifiche al codice siano sottoposte a una revisione del codice prima dell'unione o dell'implementazione.

   • Incoraggia una comunicazione aperta e la comunicazione di feedback costruttivi durante il processo di revisione.

6. Monitora e migliora i processi:

   • Verifica regolarmente l'efficacia del processo di revisione del codice e raccogli feedback dal team.

   • Identifica le opportunità di automazione o di miglioramento degli strumenti per semplificare il processo di revisione del codice.

   • Aggiorna e perfeziona continuamente la checklist o le linee guida per la revisione del codice in base agli apprendimenti e alle best practice di settore.

7. Sensibilizza sull'importanza della revisione del codice:

   • Sottolinea l'importanza delle revisioni del codice per mantenere la qualità e la sicurezza del codice a un livello elevato.

   • Celebra i successi e gli apprendimenti frutto del processo di revisione del codice.

   • Incoraggia lo sviluppo di un ambiente collaborativo e di supporto in cui gli sviluppatori si sentano a proprio agio nel fornire e ricevere feedback.

Risorse

Best practice correlate:

• SEC11-BP02 Automazione dei test lungo il ciclo di vita di sviluppo e test

Documenti correlati:

• DevOps Guidance: DL.CR.2 Perform peer review for code changes

• About pull requests in GitHub

Esempi correlati:

• Automate code reviews with Amazon CodeGuru Security

• Automating detection of security vulnerabilities and bugs in CI/CD pipelines using Amazon CodeGuru Security CLI

Video correlati:

• Continuous improvement of code quality with Amazon CodeGuru Security