Ein Entwicklungsteam bringt ein neues, öffentlich zugängliches Webprodukt auf den Markt. Der Chief Information Security Officer hat darum gebeten, das Produkt vor Angreifern zu schützen, die fehlerhafte oder ungültige Eingaben verwenden, um das System zu destabilisieren. Welche der folgenden Praktiken sollte das Entwicklungsteam implementieren?

Fuzzing ist die effektivste Methode, um Schwachstellen zu finden, die durch fehlerhafte oder unerwartete Eingaben entstehen. Dabei werden große Mengen zufälliger, ungültiger oder unerwarteter Daten an eine Anwendung gesendet, um zu sehen, wie sie reagiert und ob sie abstürzt oder sich abnormal verhält. Dies hilft, Pufferüberläufe, Formatstring-Schwachstellen und andere Eingabevalidierungsfehler zu identifizieren, die Angreifer ausnutzen könnten. Continuous Deployment (kontinuierliche Bereitstellung) ist ein Prozess zur Automatisierung der Softwarebereitstellung, aber keine Testmethode für Eingabeschwachstellen. Statische Code-Analyse untersucht den Quellcode auf potenzielle Fehler, erkennt aber nicht immer dynamische Laufzeitfehler, die durch unerwartete Eingaben ausgelöst werden. Manuelle Peer-Reviews sind nützlich, um Logikfehler und Designprobleme zu finden, aber sie sind ineffizient und unzuverlässig, um alle möglichen ungültigen Eingabeszenarien abzudecken.