Beveiligingscontroles zijn het nuttigst wanneer ze begrijpen hoe een applicatie werkelijk werkt. Nieuwe frameworkfuncties en aangepaste bouwprocessen veranderen de manier waarop gegevens door software stromen. Een scanner die die patronen niet herkent, kan relevante risico’s missen of juist meldingen geven die weinig met een echt probleem te maken hebben.
De op 19 augustus verschenen CodeQL-versie 2.26.3 breidt de modellering van JavaScript, TypeScript en Vue uit. Daarnaast zijn verschillende controles voor GitHub Actions verfijnd. Daarmee krijgt niet alleen applicatiecode aandacht, maar ook de automatisering waarmee teams code testen, bouwen en klaarzetten voor publicatie.
Voor een ontwikkelteam is dat een goede reden om beveiligingsanalyse onderdeel van het reguliere onderhoud te maken. Een scanner aanzetten en vervolgens jarenlang dezelfde instellingen gebruiken, is geen vervanging voor beoordeling. Controleer of de gebruikte frameworks worden ondersteund, of eigen regels nog passen en of meldingen begrijpelijk bij de juiste mensen terechtkomen.
Onze aanbeveling is om updates van analysetools eerst op een representatief project te beoordelen. Bekijk zowel nieuwe bevindingen als verdwenen waarschuwingen en leg uitzonderingen kort vast. Zo blijft zichtbaar waarom een melding wel of niet wordt opgepakt. De combinatie van actuele hulpmiddelen en inhoudelijke beoordeling maakt codeanalyse bruikbaar in het dagelijkse ontwikkelwerk.