Həftə 11 · 23/23

Final: bütöv layihənin auditi

5 dəqiqəlik oxu

Evi təhvil almazdan əvvəl müfəttişlə gəzirsən: kran axırmı, qapı bağlanırmı, siyahı ilə. Bir otağı iki dəfə yoxlamırsan — siyahını izləyirsən.

Audit keçidlərlə gedir: bir keçiddə bir mövzu — arxitektura, təhlükəsizlik, məlumat, uğursuzluq halları, testlər. Hər tapıntı koda qarşı təsdiqlənir və hər düzəlişin bir qoruyucusu olur.

pass 1  architecture   -> who owns what
pass 2  security       -> who may do what
pass 3  data           -> what grows, what races
pass 4  failure modes  -> what the user sees when it breaks
pass 5  tests          -> what would catch it coming back

Beş keçid, beş fərqli sual. Hamısını bir dəfəyə soruşmaq səthi cavab gətirir.

Çox deyilən söz: Audit böyük şirkətlərin işidir.

Hər şey bir yerdə: xəritə, şərtnamə, sıfır etibar, uğursuzluq halları, məlumat, yoxlamalar, review. AI-ı komanda kimi idarə edirsən: bir keçid arxitektura üçün, biri təhlükəsizlik, biri məlumat, biri interfeys uğursuzluqları üçün. Qərarı sən verirsən, icranı AI edir.

Keçidlərlə audit

Bir keçid, bir mövzu: arxitektura, təhlükəsizlik, məlumat, uğursuzluq halları, testlər. Hamısını bir dəfəyə soruşmaq səthi cavab gətirir.

Hesabatdan əvvəl təsdiqlə

AI tapıntıları da iddiadır. Hər birini kodda təsdiqlət, təsdiqlənməyəni at. On yoxlanılmış tapıntı qırx təxmindən dəyərlidir.

Hər düzəlişə bir qoruyucu

Düzəldilən tapıntının geri qayıtmasını tutacaq bir yoxlama yaz. Yoxlaması olmayan düzəliş növbəti refactor-da itə bilər.

Diff oxuyanda soruş: Hər tapıntı üçün soruş: bunu kodda təsdiqlədinmi? Ciddiliyi nədir? Geri qayıtmasını nə tutacaq?

Terminlər

threat model: Kim hücum edə bilər, nəyi istəyir, hansı yolla — qurmazdan əvvəl düşünmək.
severity: Tapıntının ciddiliyi: nə qədər zərər verir və nə qədər asan istifadə olunur.
remediation plan: Tapıntıları ciddiliyə görə düzəltmək üçün kiçik, yoxlanılan addımlar.
verified finding: Kodda təsdiqlənmiş tapıntı. Təsdiq olunmayan təxmin hesabatdan çıxarılır.

İndi sən yoxla

1AI auditi 40 tapıntı qaytarır. İlk nə edirsən?

2Hansı tapıntı ən ciddidir?

Hazır prompt

İngiliscədir, çünki terminlər ingiliscədir. Tərcümə etsən də terminləri saxla.

prompt

We will audit this project in passes. This pass: <architecture | security | data | failure modes | tests>.

- Produce findings with file:line, severity, and a concrete failure scenario.
- Verify each finding against the code before reporting it;
  drop anything you cannot confirm.
- Then propose a remediation plan ordered by severity,
  in small, independently verifiable steps.

Öz kodunda

1Öz layihəndə beş keçid işlət: arxitektura, təhlükəsizlik, məlumat, uğursuzluq halları, testlər.
2Ən ciddi üç tapıntını düzəlt.
3Bir səhifəlik hesabat yaz: nə tapıldı, nə düzəldildi, indi hansı yoxlama onu qoruyur.

Bunu görəndə bitib: Düzəldilən hər tapıntının geri qayıtmasını tutacaq bir yoxlaması var.

Daha dərinə

security code audit checklist threat modeling STRIDE CVSS severity remediation plan

Oxumaq üçün