เพิ่มความปลอดภัยแอพ

โดย...พงศ์วุฒิ ไพรไพศาลกิจ

การพัฒนา Application ในองค์กรทุกวันนี้ดูเหมือนว่าเป็นเรื่องที่ปกติไปแล้ว ซึ่งหากมองกันแบบผิวเผินก็คงจะไม่ได้มีอะไรที่น่าเป็นห่วงมากนัก แต่ในทางกลับกันจะพบได้ว่า 80% ของการเจาะระบบจะเริ่มต้นจากการเข้าถึงข้อมูลจากช่องโหว่ของ Application ที่เป็นการเขียนขึ้นเองแทบจะทั้งสิ้น

แน่นอนว่าผู้พัฒนาระบบเกือบจะ 100% ไม่ถนัดในการเขียน Application ที่มีการใส่ระบบรักษาความปลอดภัยหรือระบบป้องกันลงไปใน Coding ของระบบงาน ทำให้ Application ที่มาจากการพัฒนาเองส่วนใหญ่ถูกมองว่าไม่ปลอดภัย

อย่างไรก็ตาม มีหลายองค์กรที่มองว่าเรื่องของความปลอดภัยเป็นเรื่องของทีมรักษาความปลอดภัยของข้อมูลเป็นผู้ดูแลเพียงเท่านั้น ซึ่งหากมองมุมของคนไอทีอย่างเราๆ จะรู้ได้เลยว่าผู้ดูแลระบบรักษาความปลอดภัยขององค์กรก็จะไม่ถนัดในงานเขียน Application เช่นเดียวกัน

ดังนั้น วิธีการแก้ไขที่ถูกต้องที่สุดคงต้องเริ่มจากนักพัฒนาระบบเริ่มหันมาใส่ใจในเรื่องของความปลอดภัยให้กับ Application ที่ทำการพัฒนาให้กับองค์กรเพื่อที่จะลดช่องโหว่ในทาง Programing ให้มากที่สุด และหน้าที่ที่เหลือก็จะตกเป็นของผู้ดูแลระบบรักษาความปลอดภัยต่อไป

ดังนั้น หากนักพัฒนาระบบจะมีเครื่องมือที่จะมาช่วยให้ระบบ หรือ Application ที่ถูกพัฒนาขึ้นมาในองค์กรมีความปลอดภัยมากยิ่งขึ้นก็จะดีไม่น้อย ซึ่งวันนี้ผมก็จะมีเครื่องมือดีๆที่จะมาแนะนำให้กับนักพัฒนาระบบรู้จักกันดังนี้

ในกลุ่มเครื่องมือที่ใช้ในการวิเคราะห์ Coding ที่ดีที่สุดตัวหนึ่งคงหนีไม่พ้น Codiscope ซึ่งหากเป็นกลุ่มนักพัฒนาที่ใช้ภาษา JAVA ในการพัฒนาด้วยแล้วยิ่งเป็นตัวที่เครื่องมือตัวนี้ทำได้ดี ซึ่ง Codiscope นั้น จะช่วยทำการค้นหาส่วนของ Coding ที่มีความสุ่มเสี่ยงที่อาจจะเกิดเป็นช่องว่าง หรือช่องโหว่ให้เกิดการโจมตี โดยหลังจากที่ทำการตรวจสอบ Coding แล้วจะมีรายงานที่แจ้งให้รู้ได้ว่า Coding ในบรรทัดใด ที่อาจจะทำให้เกิดความสุ่มเสี่ยงและจะแนะนำวิธีการแก้ไขโดยมีการบอก Best Practice ให้ทำการแก้ไข หรือหากเป็น Bug ที่จะต้องมีการติดตั้ง Patches เพิ่มเพื่ออุดรูโหว่ก็จะมีแนะนำให้ด้วยเช่นกัน

Flawfinder ถือว่าเป็นเครื่องมืออีกตัวที่นิยมมากสำหรับการสร้างรายงานความปลอดภัยให้กับ Application ที่ถูกพัฒนาขึ้นมาใช้งานในองค์กรได้กันแบบฟรีๆ เนื่องจากเครื่องมือตัวนี้เป็นซอฟต์แวร์ที่อยู่ในกลุ่ม Opensource ซึ่งทำให้ Flawfinder เป็นเครื่องมืออีกหนึ่งตัวที่น่าจับตามอง ยิ่งถ้าหาก Application ตัวนั้นถูกพัฒนามาจากภาษา C หรือ C++ จะยิ่งทำให้เครื่องมือตัวนี้ทำงานได้อย่างดี และ Flawfinder สามารถทำงานได้ทั้ง Application ที่ถูกพัฒนาบน Windows หรือ Linux ก็ได้