Une alarme incendie est moins rassurante si vous ne la testez qu’une seule fois.
C’est à peu près comme ça que j’ai commencé à m’intéresser au travail de Dusk sur l’AEGIS. Le titre était la vague de remédiation, mais le détail plus discret que j’ai remarqué se trouve après les correctifs.
AEGIS a livré des correctifs pour 39 constats d’audit, dont 7 classés comme critiques.
Mais clôturer un constat n’est qu’un instant dans le travail d’un auditeur.
Dusk a aussi ajouté une couverture de non-régression basée sur les schémas de défaillance réellement découverts pendant l’audit. Pour les problèmes de frais et de remboursement liés à Phoenix, cela incluait des tests visant les tentatives d’inflation, les chemins de dépassement (overflow) et la manipulation des frais.
Je trouve cela plus utile que de considérer « résolu » comme statut final.
Un bug corrigé peut encore réapparaître plus tard à la faveur de la refactorisation, des changements de dépendances ou d’un autre chemin de code. Un test de non-régression conserve l’ancien cas d’échec à l’intérieur du processus de vérification.
Dusk a également regroupé le travail de suivi par cause racine, lorsque plusieurs constats étaient en réalité des symptômes différents du même problème sous-jacent.
C’est le niveau que je surveillerais en tant qu’auditeur.
Le rapport consigne ce qui n’allait pas.
L’artefact plus solide, c’est une suite de tests qui continue de demander si cela revient.
@Dusk $DUSK #dusk
C’est à peu près comme ça que j’ai commencé à m’intéresser au travail de Dusk sur l’AEGIS. Le titre était la vague de remédiation, mais le détail plus discret que j’ai remarqué se trouve après les correctifs.
AEGIS a livré des correctifs pour 39 constats d’audit, dont 7 classés comme critiques.
Mais clôturer un constat n’est qu’un instant dans le travail d’un auditeur.
Dusk a aussi ajouté une couverture de non-régression basée sur les schémas de défaillance réellement découverts pendant l’audit. Pour les problèmes de frais et de remboursement liés à Phoenix, cela incluait des tests visant les tentatives d’inflation, les chemins de dépassement (overflow) et la manipulation des frais.
Je trouve cela plus utile que de considérer « résolu » comme statut final.
Un bug corrigé peut encore réapparaître plus tard à la faveur de la refactorisation, des changements de dépendances ou d’un autre chemin de code. Un test de non-régression conserve l’ancien cas d’échec à l’intérieur du processus de vérification.
Dusk a également regroupé le travail de suivi par cause racine, lorsque plusieurs constats étaient en réalité des symptômes différents du même problème sous-jacent.
C’est le niveau que je surveillerais en tant qu’auditeur.
Le rapport consigne ce qui n’allait pas.
L’artefact plus solide, c’est une suite de tests qui continue de demander si cela revient.
@Dusk $DUSK #dusk