Jelajahi dokumentasi
Tahapan Tinjauan Defensif
Linmas membagi tinjauan keamanan defensif menjadi lima tahap untuk membatasi pertumbuhan konteks, memfokuskan analisis spesialis, dan menyediakan bukti yang dapat diperiksa sebelum kode digabungkan atau di-deploy. Reproduksibilitas bergantung pada mode eksekusi dan input yang direkam.
Lulus tinjauan atau pemeriksaan kebijakan Linmas adalah bukti analisis defensif, bukan persetujuan otomatis atau sertifikasi keamanan. Pengembang yang bertanggung jawab harus meninjau dan menyetujui setiap perubahan produksi.
1. Tentukan Cakupan
Tentukan batas perubahan yang diperiksa secara tepat. Tinjauan Linmas menggunakan artefak konkret:
- Commit Git atau diff pull request tertentu, misalnya
patch.diff); - Satu templat infrastruktur cloud (Terraform, CloudFormation, manifest Kubernetes);
- Handler rute API atau kueri basis data yang terarah.
Input yang terbatas mengurangi konteks tidak relevan, tetapi tidak mencegah halusinasi atau menjamin temuan benar. Positif palsu, kerentanan yang terlewat, dan konteks yang hilang tetap mungkin terjadi. Verifikasi temuan dan perbaikan secara independen.
2. Pilih Skill
Pilih skill khusus yang sesuai dengan bidang tujuan:
- Risiko belum jelas / lintas bidang: Mulai dengan
linmas-security-domain-routeruntuk mengenali masalah utama. - Kode aplikasi / perubahan API: Gunakan
linmas-secure-code-reviewer. - Arsitektur sistem dan autentikasi: Gunakan
linmas-secure-systems-architect. - IAM dan infrastruktur: Gunakan
linmas-cloud-hardening-architect. - Kesiapan operasional: Gunakan
linmas-security-operations-lead.
3. Tinjau
Skill mengevaluasi input sesuai cakupan berdasarkan prinsip defensif, model ancaman, dan pengaturan aman. Keluaran dinormalisasi menjadi temuan terstruktur yang memuat:
- Judul dan kategori risiko: Klasifikasi kerentanan yang jelas, seperti injeksi SQL, SSRF, atau peran IAM terlalu permisif;
- Keparahan dan dampak: Alasan temuan penting dan tindakan yang mungkin dilakukan penyerang;
- Evaluasi kebijakan: Perbandingan dengan ambang batas kebijakan yang ditentukan, misalnya
baseline-appsec).
4. Perbaiki
Linmas memberikan rekomendasi perbaikan pada tingkat kode yang bisa diterapkan, bukan sekadar saran umum. Rekomendasi mencakup potongan kode atau konfigurasi yang diperlukan untuk mengatasi kerentanan.
5. Verifikasi
Setiap perbaikan harus menyertakan langkah verifikasi konkret:
- Uji unit regresi atau uji integrasi yang memastikan perilaku aman;
- Pengulangan tinjauan Linmas pada patch yang diperbaiki untuk memastikan keputusan kebijakan berubah menjadi
PASS.