Lees: Misser bij belastingdienst

Bron: Automatiseringsgids

In de hoop de cybercriminaliteit terug te dringen, heeft een internationale groep beveiligingsorganisaties en -bedrijven een lijst opgesteld van de vijfentwintig programmeerfouten die het grootste online beveiligingsrisico’s met zich meebrengen. Het gaat volgens de groep om fouten die programmeurs vaak niet begrijpen, waarover opleidingen meestal niet onderwijzen en die softwareontwikkelaars over het algemeen niet meenemen in hun testcyclus.

De groep beveiligingsorganisaties hoopt dat softwareklanten de lijst gebruiken om van softwareleveranciers te eisen dat door hen geleverde code deze fouten niet bevat. Daarnaast kan de lijst gebruikt worden door ontwikkelaars van testomgevingen, onderwijsinstellingen en bedrijven die software ontwikkelen. De lijst zal regelmatig worden geüpdate.

Gevaarlijke foutboodschappen

De vijfentwintig fouten zijn onderverdeeld in drie aandachtsgebieden: onveilige interactie tussen componenten, riskant beheer van databronnen en poreuse verdedigingslinies. Er vallen voor de hand liggende fouten onder zoals gebruik van ondeugdelijke cryptografische algoritmes, maar ook minder voor de hand liggende zoals foutboodschappen die per ongeluk programmeergeheimen in de openbaarheid brengen.

Onder de opstellers van de lijst bevinden zich beveiligingsexperts van onder andere beveiligingscoördinatiecentrum CERT, het SANS Institute (System, Audit, Network, Security) en van bedrijven als Microsoft, Oracle, Red Hat en Symantec.

Download pdf Top 25 meest gevaarlijke programmeerfouten

Ik ben betrokken bij diverse soa-test automation-projecten. In veel van deze projecten speelt er naast alle aspecten rond het testen nog iets anders een rol. Voordat je kan beginnen met testen heb je een testomgeving nodig. Dat begint natuurlijk met de nodige hardware en software. Van ijzer, OS tot en met (middleware) software, alles moet aanwezig, geïnstalleerd en geconfigureerd zijn voor je met testen kan beginnen.

Als de applicatie die je gaat testen nu monolithisch is, dan is het opzetten van een testomgeving een klus, maar over het algemeen goed te doen. Als je in een volledig gedistribueerde op soa-principes gebaseerde omgeving een testomgeving nodig hebt, dan is dat wel even een heel ander verhaal.

Lees verder SOA-ketentesten

Bron: Computable

Lees ook de volgende artikelen over SOA en Ketentesten:

Ketentesten, het spel van afhankelijkheden

Ketentest is cruciaal

Vroeg beginnen cruciaal bij ketentest

Goede testomgeving voor SOA’s ontbreekt

Hoewel door de meeste mensen ict als ondersteunend wordt gezien ten aanzien van bedrijfsprocessen, is ict de laatste jaren doorgedrongen tot de haarvaten van menig proces en is het vaak zelfs een bedrijfskritisch component geworden. Niet alleen voor de ondersteuning van het eigen proces, maar ook in de communicatie met partners waarmee samen een proces wordt uitgevoerd, een zogenaamd ketenproces. Hierdoor komen de afhankelijkheden tussen deze ketenpartners in het betreffende ketenproces steeds nadrukkelijker naar voren. De invloed van andere partijen op het proces van de eigen organisatie wordt steeds groter.

Door de steeds verder gaande toepassing van ict in ketenprocessen, worden ook steeds specifiekere en complexere eisen gesteld aan het testen van de ict-ondersteuning van deze ketenprocessen. Dit ketentesten begint idealiter al tijdens het (keten)procesontwerp en loopt door tijdens de ontwikkeling en oplevering van de ict-oplossing(en). Een belangrijke basis voor de uiteindelijke werking van het ketenproces is de tussen betrokken ketenpartners gemaakte set van afspraken ten aanzien van de te gebruiken communicatie-infrastructuurvoorzieningen, de te hanteren standaarden (zowel technisch als inhoudelijk) en de specificaties van de uitwisselingsprocessen alsmede de uit te wisselen berichten.

Voor volledig artikel klik hier.

Bron. Computable

James Whittaker was in Nederland om tijdens de Eurostar-conferentie een keynote te verzorgen. Het was voor Computable dè gelegenheid om met hem van gedachten te wisselen over softwareproductie en -kwaliteit.

Waarom verliet u drie jaar geleden de comfortabele positie van professor om bij Microsoft te gaan werken?
“Ik heb tien jaar gewerkt aan het Florida Institute of Technology. Daar heb ik me vooral beziggehouden met methoden om het testen van software te verbeteren. Voor Microsoft deed ik – samen met studenten – al veel consultingopdrachten op het vlak van beveiliging en testen. Als er een plek is om mijn ideeën zinvol in praktijk te brengen, dan is het wel bij Microsoft.”

Voor volledig artikel klik hier.

Bron. Computable

Voor meer informatie klik TestNet

Rotterdam, 23 oktober 2008 – Mede ingegeven door de kredietcrisis zijn bedrijven geneigd kosten te besparen. Bedrijven die nu een deel van hun bedrijfsactiviteiten vanwege kostenreductie uitbesteden aan een externe dienstverlener, verwachten dat zij die uitbesteding in 2009 gaan uitbreiden. Dit blijkt uit de onderzoeksresultaten van de ICT Barometer van Ernst & Young. Een zorgwekkend gegeven daarbij  is dat volgens het onderzoek maar liefst 21 procent van de onderzochte organisaties geen controle uitvoert op de projecten die zij uitbesteden.

Het ICT Barometeronderzoek van Ernst & Young geeft inzicht in de huidige stand van zaken met betrekking tot de outsourcings-activiteiten van bedrijven en is gebaseerd op de ervaringscijfers en inschattingen van 600 Nederlandse managers en professionals. Uit het onderzoek blijkt onder meer dat 26 procent van de ondervraagden verwacht dat op het terrein van beheer of onderhoud van software, de hoeveelheid uitbesteed werk zal toenemen, 67 procent verwacht hierin geen verandering. Wat betreft het betalingsverkeer verwacht 21 procent een toename en 76 procent schat in dat de hoeveelheid uitbestede activiteiten onveranderd blijft. Voor het beheer van de werkplek – desktop / laptop – wordt gerekend op een toename van de hoeveelheid uitbesteed werk van 22 procent terwijl 67 procent meent dat de hoeveelheid uitbesteed werk op dit gebied gelijk blijft.

Voor volledig artikel klik ICT Barometer

Bron: Ernst&Young

De ontwikkeling van een virtueel grenshek dat de grenzen tussen de Verenigde Staten en Mexico moet bewaken, is vertraagd door problemen met de software.

Oorzaak is een aantal technische problemen dat werd aangetroffen in de bijna 18 kilometer lange, ​door Boeing gebouwde project, zo heeft the Department of Homeland Security laten weten. Door deze problemen voldeed het Secure Border Initiative network, zoals het virtuele hek wordt genoemd, niet aan de eisen en behoeften van de Amerikaanse grensbewaking, meldt de Washington Post.

Programmeerfouten en -slordigheidjes blijven software plagen en daarmee de beveiliging in gevaar brengen. Ondanks vorderingen voor zowel betere afscherming als veiliger programmeren, blijven er veel bugs en gaten opduiken. Die nieuwe kwetsbaarheden zijn echter lang niet altijd nieuwe gaten, ook niet in nieuwe software.

Een actueel voorbeeld is het nu gedichte lek in de PDF Reader van Adobe. Dat lek komt voort uit een ander gat, dat in mei dit jaar al is ontdekt en onthuld. Dat is een gat in de de Reader-tegenhanger Foxit Reader van Foxit Software. Die gratis software is, in inmiddels oudere versies, kwetsbaar voor een buffer overflow.

Bijblijven dus

Beveiligingsexpert Damián Frizza van beveiligingsleverancier Core Security onderzocht dat oudere gat in de Foxit-applicatie. Adobe Reader heeft een andere beveiligingscontrole ingebouwd, die misbruik van dit PDF-gat kan voorkomen.

Dat blijkt goed te werken, maar Frizza ontdekte dat de manier waarop dat gebeurt weer een ander gat oplevert. Er blijkt een tweede buffer overflow plaats te vinden in de Adobe-software, die dan wel te misbruiken is om code naar keuze uit te voeren op een doel-pc.

De leveranciers, van beide PDF-applicaties, hebben al wel patches uitgebracht. De oplossing lijkt dus simpel: installeer altijd de nieuwste versies van programmatuur. Oh ja, en zorg dat je bijblijft. Dus installeer patches, altijd meteen.

Patches testen

Tenminste, zo snel mogelijk. Je moet software, dus nieuwe versies maar natuurlijk ook patches, wel eerst testen. De ene applicatie kan de andere immers bijten. Dus moet je soms juist bij een oudere versie blijven. Als je al de tijd hebt, of hebt genomen of krijgt, om goed te testen.

Daarnaast is er nog een probleem: het standaard-systeemimage. Veel beheerders gebruiken een image van een standaardinstallatie voor hun computerconfiguratie; besturingssysteem, applicaties en instellingen. Zo’n vast image is dus tegenwoordig eigenlijk niet meer vast. Óf het loopt per definitie achter de feiten aan, de patches dus. Images vallen wel te ‘injecteren’ met updates, maar daarvoor is geavanceerdere beheersoftware nodig. En het vooraf testen blijft ook nodig.

Voor hele artikel klik hier

Bron. Computable

Zeventig procent van de Europese ondernemingen heeft een soa-project lopen. Dat zegt analistenbureau Gartner, op basis van wereldwijd onderzoek onder tweehonderd ondernemingen met meer dan duizend werknemers, tussen mei en juli 2008.

De Europese cijfers staan in schril contrast tot die in de rest van de wereld. Op wereldwijd niveau daalt het enthousiasme voor soa. Gartner spreekt zelfs van een ‘dramatische daling’.

Groei stopt

Het aantal ondernemingen dat soa-projecten heeft lopen, ligt wereldwijd op drieenvijftig procent. Desondanks ziet Gartner de toekomst van soa negatief in, omdat het aantal grote ondernemingen dat geen Service Oriented Architecture (soa) wil doorvoeren wereldwijd verdriedubbeld is in vergelijking met een jaar geleden.

Voor volledig artikel klik hier

Bron. Computable