Penggunaan AST dalam pengkodean alur kerja dan keamanan

Informatec Digital » Sumber daya » Penggunaan AST dalam pengkodean alur kerja dan keamanan

Ketika kita berbicara tentang AST dalam kode alur kerja , sebenarnya kita menggabungkan beberapa dunia yang, meskipun tampak berbeda, semakin saling terkait: rekayasa perangkat lunak tradisional , keamanan aplikasi, otomatisasi proses dengan RPA, pembuatan kode dengan AI, dan, yang menarik, bahkan pencegahan risiko pekerjaan. Semuanya berputar di sekitar bagaimana kita memodelkan, menganalisis, mengotomatisasi, dan mengamankan alur kerja yang mengatur sistem kompleks.

Abstract Syntax Trees (AST) telah menjadi alat kunci untuk memahami dan mentransformasi kode, mengotomatiskan audit, menghasilkan pengujian, memperkuat keamanan, dan bahkan merepresentasikan alur kerja bisnis secara grafis. Pada saat yang sama, akronim AST mencakup konsep-konsep seperti Pengujian Keamanan Aplikasi dan Analisis Keamanan Pekerjaan, yang mengarah pada ide mendasar lainnya: mengambil alur kerja (perangkat lunak atau manusia) dan menganalisisnya secara sistematis untuk mendeteksi kekurangan, risiko, dan peluang untuk perbaikan.

AST sebagai Pohon Sintaksis Abstrak dalam alur kerja dan pembuatan kode.

Dalam pengembangan perangkat lunak kustom, penggunaan Abstract Syntax Trees (AST) memungkinkan Anda beralih dari kode yang buram ke struktur visual dan mudah dipahami yang secara akurat menggambarkan logika alur kerja. AST memecah program menjadi node yang mewakili operasi, struktur kontrol, panggilan fungsi, data, dan hubungan di antara mereka, sehingga logika tersebut tidak lagi berupa "baris kode yang terpisah" tetapi menjadi grafik yang dapat dinavigasi.

Representasi ini sangat berguna saat mengelola agen kecerdasan buatan atau arsitektur terdistribusi, di mana alur kerja rumit dan sulit diikuti secara mental. Dengan mengubah kode alur kerja menjadi AST (Automatic Software Analysis), dimungkinkan untuk menghasilkan diagram yang secara intuitif menunjukkan cabang keputusan, ketergantungan komponen, urutan eksekusi, dan titik proses kritis, sehingga memfasilitasi pengembangan, peninjauan, dan pengambilan keputusan teknis.

Perusahaan yang mengkhususkan diri dalam perangkat lunak kustom, seperti Q2BSTUDIO , memanfaatkan pohon sintaksis ini untuk mengubah alur kerja yang kompleks menjadi diagram yang mudah diakses, jelas secara visual, dan yang terpenting, bermanfaat secara fungsional. Ini bukan hanya tentang "menggambar kotak," tetapi tentang memiliki model terstruktur yang dapat digunakan untuk menyempurnakan algoritma, mengidentifikasi hambatan, menemukan kesalahan logika, dan membuka jalan bagi optimasi di masa mendatang.

Keunggulan utama AST dalam konteks ini adalah independensinya terhadap bahasa pemrograman akhir . Dari pohon yang sama, alur dapat dikompilasi atau ditransformasikan ke berbagai bahasa atau platform (misalnya, runtime cloud yang berbeda seperti AWS atau Azure), sambil mempertahankan logika bisnis yang konsisten. Hal ini memungkinkan arsitektur yang lebih fleksibel, portabel, dan mudah dipelihara, di mana inti proses didefinisikan secara abstrak dan kode yang dapat dieksekusi merupakan turunan yang terkontrol.

Poin penting lainnya adalah penggunaan kembali node di dalam AST . Dimungkinkan untuk mendefinisikan blok logika (misalnya, validasi input, pola akses data, atau mekanisme audit) yang digunakan kembali sebagai komponen yang aman dan telah divalidasi. Jika node-node ini juga dikenal oleh AI penghasil kode, AI tersebut dapat merujuknya alih-alih menciptakannya dari awal, sehingga sangat meningkatkan keamanan dan konsistensi perangkat lunak yang dihasilkan.

Pembuatan fitur berbasis AST dan AI: keamanan, validitas, dan kepercayaan.

Munculnya model AI yang menghasilkan kode telah membuka babak baru : bagaimana kita dapat mempercayai fungsi yang ditulis oleh AI tanpa meninjau setiap baris secara manual? Solusi yang tepat bukanlah dengan meminta "kode yang dapat dieksekusi" secara langsung, melainkan representasi terstruktur dari logika menggunakan AST (Automatic Support Tool), yang kemudian divalidasi dan diubah menjadi kode oleh alat yang terpercaya.

Dengan menggunakan AST (Abstract Syntax Tree) alih-alih kode biasa , AI menghasilkan node, operasi, struktur kontrol, dan aliran data yang dapat dianalisis secara otomatis: tipe, jalur eksekusi, konsistensi parameter, penanganan kesalahan, kondisi batas, dan properti lainnya diperiksa sebelum mencapai kompiler atau interpreter. Filter ini secara drastis mengurangi risiko mengeksekusi kode berbahaya atau kode yang salah.

Q2BSTUDIO dan organisasi lain yang mengeksplorasi teknik ini memberikan penekanan khusus pada memastikan bahwa logika yang dihasilkan AI dapat dilacak dan diverifikasi. AST (Analisis Sistem Otomatis) menjadi "kebenaran perantara" yang menjadi dasar penerapan aturan keamanan, standar kualitas, kebijakan internal, dan analisis dampak. Dengan demikian, setiap fungsi yang dihasilkan sesuai dengan pustaka node yang aman, dengan memanfaatkan elemen-elemen yang telah diaudit sebelumnya.

Pendekatan ini juga membuka pintu bagi pengembangan multi-guna : dari AST yang sama, kode dapat dihasilkan dalam berbagai bahasa (misalnya, Python untuk layanan mikro, C# untuk layanan internal, atau skrip khusus untuk orchestrator cloud). Bagi perusahaan yang bekerja di lingkungan hybrid atau multi-cloud, ini sangat menarik karena memastikan alur bisnis tetap konsisten terlepas dari tumpukan teknologi akhir yang digunakan.

Terakhir, penggunaan node yang dapat digunakan kembali dalam AST memungkinkan pembangunan "pustaka logika" yang tersertifikasi. Alih-alih menciptakan pola akses basis data, validasi keamanan, atau jejak pencatatan, AI membangunnya dari blok bangunan ini, meningkatkan keamanan dan kinerja serta memfasilitasi analitik selanjutnya dalam alat seperti Power BI atau platform intelijen bisnis lainnya.

AST diterapkan pada pengujian cerdas di Python dan cakupan kode maksimum.

AST juga merupakan dasar dari solusi pengujian otomatis tingkat lanjut , seperti beberapa toolkit sumber terbuka untuk Python yang menggunakan struktur kode untuk menghasilkan rangkaian pengujian dengan cakupan yang jauh lebih tinggi daripada yang biasanya dicapai dengan menuliskannya secara manual.

Jenis alat ini menggabungkan tiga kemampuan utama : pembuatan unit test otomatis untuk file Python tertentu, fuzzing terpandu untuk menguji fungsi-fungsi kritis dengan input ekstrem dan tidak valid, dan pembuatan test berorientasi cakupan, di mana AST dianalisis secara menyeluruh untuk menemukan semua kemungkinan percabangan, loop, kondisi, dan jalur pengecualian.

Kuncinya adalah alat ini membangun AST (Analog Test Asset) kode Python dan, dari situ, mengidentifikasi jalur eksekusi yang belum tercakup oleh pengujian. Dengan informasi ini, alat tersebut menugaskan model AI (misalnya, Gemini) untuk membuat kasus uji yang dirancang khusus untuk mengaktifkan setiap jalur. Kemudian, alat tersebut menjalankan pengujian dan mengukur cakupannya dengan alat seperti coverage.py, sehingga menutup siklus peningkatan berkelanjutan yang otomatis.

Pendekatan ini tidak hanya menghasilkan serangkaian pengujian awal ; tetapi juga memungkinkan iterasi dan peningkatan. Jika, setelah putaran pertama, masih ada rute yang belum diuji, rute tersebut diperiksa ulang menggunakan AST (Advanced Test Assay) dan kasus baru diminta dari AI. Hal ini membuat proses tersebut dapat disesuaikan baik untuk kode baru maupun basis kode lama dengan sedikit atau tanpa pengujian sebelumnya.

Proyek ini diatur sebagai server MCP (Model Context Protocol) , sehingga berfungsi sebagai layanan lokal yang dapat dipanggil dari editor atau baris perintah. Penggunaan BAML memastikan bahwa kode pengujian yang dihasilkan sesuai dengan format yang tepat, mudah dianalisis, dan tidak mengganggu alat integrasi berkelanjutan yang menggunakannya.

AST sebagai Analisis Keselamatan Kerja: alur kerja yang aman di lingkungan kerja.

Di bawah akronim yang sama, AST, kita menemukan konsep lain yang banyak digunakan dalam pencegahan risiko kerja: Analisis Keselamatan Kerja (Job Safety Analysis). Meskipun beroperasi pada tingkat yang berbeda dari kode, konsep ini memiliki kesamaan dengan Abstract Syntax Trees dalam hal memecah alur (dalam hal ini, tugas manusia) menjadi beberapa tahapan, mengidentifikasi risiko, dan menetapkan kontrol sebelum eksekusi.

Analisis Keselamatan Kerja adalah proses pencegahan yang diterapkan terutama pada aktivitas berisiko tinggi, seperti bekerja di ketinggian, mengoperasikan mesin kompleks, atau menangani zat berbahaya. Alur kerja dipecah menjadi beberapa langkah, dan untuk setiap langkah, bahaya spesifik diidentifikasi, tingkat risiko dinilai, dan langkah-langkah pengendalian ditentukan (APD, rambu-rambu, instruksi darurat, dll.).

Manfaat utama dari penilaian keselamatan kerja di tempat kerja meliputi pengurangan kecelakaan, peningkatan kepatuhan terhadap peraturan, peningkatan efisiensi operasional, dan penguatan budaya keselamatan. Pembagian tugas yang jelas mengurangi improvisasi, mencegah gangguan akibat insiden, dan menurunkan biaya yang terkait dengan cedera, denda, atau penghentian produksi.

Prosedur umum untuk melakukan Analisis Keselamatan Kerja (JSA) di lingkungan kerja meliputi: mendefinisikan tugas dan konteksnya secara akurat (lingkungan, peralatan, material), membaginya menjadi beberapa tahapan, mengidentifikasi bahaya dan risiko pada setiap tahapan (jatuh, paparan bahan kimia, terjebak, kegagalan peralatan), menetapkan langkah-langkah pengendalian spesifik, mengkomunikasikan dan melatih pekerja yang terlibat, serta melakukan pemantauan dan tindak lanjut berkelanjutan untuk menyesuaikan analisis jika kondisi berubah.

Agar analisis ini benar-benar efektif, disarankan untuk menggunakan matriks risiko, daftar periksa, dan, semakin banyak, alat digital yang memfasilitasi dokumentasi, pemantauan, dan ketertelusuran tindakan yang diambil. Perusahaan konsultan seperti GMS Consulting mengintegrasikan Analisis Keselamatan Kerja (Job Safety Analyses/JSA) ini ke dalam sistem manajemen seperti ISO 45001, membantu organisasi untuk lulus audit internal dan eksternal serta mempertahankan siklus peningkatan berkelanjutan dalam keselamatan dan kesehatan kerja.

Pengujian Keamanan Aplikasi (AST): SAST, DAST, IAST, MAST, dan lainnya

Dalam bidang keamanan siber, AST biasanya merujuk pada Pengujian Keamanan Aplikasi , yaitu serangkaian teknik dan alat yang bertujuan untuk mendeteksi kerentanan dalam aplikasi modern, beradaptasi dengan metodologi tangkas dan kompleksitas perangkat lunak yang semakin meningkat.

Solusi AST merupakan landasan dari setiap program AppSec yang tangguh karena tinjauan kode manual dan rencana pengujian tradisional lambat dan tidak dapat diskalakan dengan baik terhadap munculnya kerentanan baru secara terus-menerus. Selain itu, banyak peraturan dan kerangka kerja regulasi (seperti PCI-DSS, dan lain-lain) secara eksplisit mewajibkan penggunaan alat-alat tersebut.

Dalam pengujian keamanan aplikasi saat ini, kita dapat membedakan beberapa kategori utama : analisis statis (SAST), analisis dinamis (DAST), teknik interaktif dan hibrida (IAST), pengujian khusus aplikasi seluler (MAST), dan layanan pelengkap lainnya seperti SCA, RASP, penemuan aplikasi, pengujian sebagai layanan, atau alat korelasi dan cakupan.

Teknologi Static AST (SAST) menganalisis kode dalam keadaan diam (kode sumber, bytecode, atau biner) selama fase pemrograman dan pengujian siklus pengembangan perangkat lunak. Ini dianggap sebagai pengujian "kotak putih" karena analis memiliki akses ke kode dan desain aplikasi. Alat-alat ini mencari kelemahan seperti kesalahan numerik, masalah validasi input, kondisi persaingan (race condition), referensi yang tidak aman, luapan (overflow), dan sebagainya.

Teknologi Dynamic AST (DAST), di sisi lain, berfokus pada aplikasi yang sedang berjalan , biasanya dalam lingkungan pengujian atau produksi yang terkontrol. Serangan simulasi diluncurkan dari luar untuk mengungkap masalah seperti injeksi, kegagalan otentikasi, manajemen sesi yang buruk, kesalahan antarmuka, atau masalah penanganan respons. Ini adalah pendekatan "kotak hitam", di mana tidak diasumsikan adanya pengetahuan tentang kode internal.

Teknologi IAST menggabungkan yang terbaik dari SAST dan DAST . Aplikasi diinstrumentasi (misalnya, dengan agen di JVM atau .NET CLR) untuk mengamati perilakunya dari dalam saat pengujian dinamis dijalankan. Hal ini memungkinkan korelasi data dan alur eksekusi, memahami apakah kerentanan teoretis benar-benar dapat dieksploitasi, dan mengurangi false positive dengan memvalidasi temuan secara langsung.

MAST, atau Mobile Application Security Testing , menerapkan kombinasi analisis statis, dinamis, dan forensik khusus untuk aplikasi iOS dan Android, termasuk komponen backend-nya. Solusi ini memberikan perhatian khusus pada skenario seperti perangkat yang di-root atau tidak terkunci, jaringan Wi-Fi palsu, manajemen sertifikat yang tidak tepat, kebocoran data sensitif, dan karakteristik lain dari lingkungan seluler.

Layanan tambahan: SCA, RASP, penemuan, basis data, dan orkestrasi ASTO.

Banyak penyedia AST telah memperluas penawaran mereka dengan layanan pelengkap utama untuk mencakup seluruh ekosistem keamanan aplikasi dan manajemen risiko keamanan siber , mulai dari komposisi perangkat lunak hingga basis data dan orkestrasi semua alat.

Analisis Komposisi Perangkat Lunak (Software Composition Analysis/SCA) berfokus pada identifikasi komponen pihak ketiga dan sumber terbuka yang termasuk dalam suatu aplikasi dan membandingkannya dengan basis data kerentanan yang dikenal seperti NIST NVD, CVE, dan repositori komersial seperti VulnDB. Alat-alat ini dapat mendeteksi versi yang sudah usang atau yang memiliki tambalan keamanan yang tertunda, tetapi biasanya tidak mengidentifikasi kerentanan dalam kode aplikasi itu sendiri.

RASP (Runtime Application Self-Protection) membawa instrumentasi selangkah lebih maju, menggunakan teknik yang mirip dengan IAST untuk memantau aplikasi yang sedang berjalan dan memblokir serangan secara real-time, bersaing dalam beberapa hal dengan WAF tradisional. Banyak tim memulai dengan mengaktifkan instrumentasi hanya untuk tujuan diagnostik (mode IAST) dan, setelah mereka yakin dengan hasilnya, mereka beralih ke mode RASP dengan pemblokiran serangan yang efektif.

Hal lain yang relevan adalah kemampuan penemuan aplikasi , yang menganalisis ekosistem web suatu organisasi dan menemukan semua situs dan layanan yang terekspos, termasuk yang telah dilupakan tetapi tetap menjadi titik masuk potensial.

Pada tingkat lapisan data , alat analisis keamanan basis data meninjau versi, patch, konfigurasi, kata sandi, kebijakan akses, dan kerentanan lainnya, baik untuk data yang tersimpan maupun, pada beberapa produk, untuk data yang sedang ditransmisikan. Hal ini sangat penting karena banyak kerentanan yang dapat dieksploitasi berasal dari tata kelola basis data yang buruk, bukan dari kekurangan dalam kode aplikasi.

Model ASTaaS (Application Security Testing as a Service) mengalihdayakan sebagian atau seluruh proses pengujian keamanan kepada penyedia khusus, yang menggabungkan analisis statis dan dinamis, pengujian penetrasi, evaluasi API, dan analisis risiko. Model ini sangat menarik di lingkungan cloud, di mana pengaturan dan penskalaan lingkungan pengujian lebih sederhana.

Untuk mengatasi banyaknya temuan dari berbagai alat, muncul solusi korelasi hasil dan penganalisis cakupan. Yang pertama menyatukan dan memprioritaskan kerentanan yang terdeteksi oleh berbagai solusi seperti SAST, DAST, IAST, MAST, dll., sedangkan yang kedua mengukur persentase kode atau cabang logis yang sebenarnya telah diuji, membantu menetapkan ambang batas kualitas yang dapat diterima dan mendeteksi kode yang tidak dapat diuji.

Terakhir, Application Security Testing Orchestration (ASTO) mengusulkan pengintegrasian semua alat ini secara terkoordinasi dalam siklus pengembangan perangkat lunak (SDLC) dan pipeline CI/CD, dengan manajemen terpusat untuk kebijakan, eksekusi, dan pelaporan. Meskipun masih merupakan bidang yang terus berkembang, ASTO menjawab kebutuhan untuk mengotomatisasi pengujian keamanan sebanyak mungkin tanpa memperlambat laju pengiriman.

Analisis kode sumber statis berorientasi keamanan: standar, teknik, dan tantangan.

Analisis kode sumber statis dengan fokus pada keamanan merupakan kebutuhan yang semakin meningkat bagi organisasi yang berupaya menyesuaikan diri dengan standar dan praktik terbaik pengembangan yang aman. Kerangka kerja seperti CLASP, OpenSAMM, Touchpoints, dan Microsoft SDL secara eksplisit mengintegrasikan tahap ini ke dalam siklus hidup pengembangan, memperkuat konsep "keamanan sejak tahap desain".

Metodologi seperti OWASP dan kerangka kerja SDLC yang aman memberikan panduan konkret untuk melakukan analisis statis, mendefinisikan kriteria peninjauan, memanfaatkan hasil, dan memetakan temuan terhadap tolok ukur seperti OWASP Top 10 (XSS, SQL Injection, File Inclusion, dll.). Alat SAST yang ada—baik komersial maupun sumber terbuka—sangat bergantung pada teori kompilator, AST, dan analisis aliran informasi untuk mengekstrak pengetahuan yang berguna dari kode.

Di antara teknik-teknik dasar, kita dapat menyebutkan grep tingkat lanjut (pencarian pola dan kemungkinan rahasia dalam teks biasa), indentasi dan verifikasi struktur, analisis aliran data untuk mengikuti siklus hidup suatu variabel dari definisinya hingga penggunaannya, propagasi konstanta untuk mengevaluasi dampak nilai yang tidak dapat diubah, dan analisis alias atau pointer untuk memahami referensi tidak langsung dalam bahasa tingkat rendah.

Pada tingkat klasifikasi temuan , berguna untuk membedakan antara bug (penyimpangan antara apa yang dimaksudkan oleh programmer dan apa yang sebenarnya dilakukan oleh perangkat lunak), pelanggaran praktik terbaik atau aturan bahasa (kode yang tidak ideal), dan kerentanan, yang dipahami sebagai subset masalah yang berdampak pada keamanan. Sepotong kode dapat berupa bug dan pelanggaran sekaligus, namun tetap tidak dapat dieksploitasi karena lapisan keamanan tambahan.

Tantangan utama adalah bahwa banyak alat SAST populer (seperti PMD, SonarQube, atau FindBugs) lebih berfokus pada kualitas kode daripada keamanan murni, dan potensi penuhnya terwujud ketika diintegrasikan sejak awal proyek, yang tidak selalu terjadi. Di lingkungan di mana kode yang sudah ada—seringkali ditulis oleh pihak ketiga—sedang diaudit, alat-alat ini dapat kurang memadai, sehingga perlu membangun penganalisis khusus yang disesuaikan dengan kebutuhan tim.

Proses pembuatan penganalisis statis biasanya diorganisasikan sebagai sebuah alur kerja (pipeline): dimulai dengan kode sumber (kode yang dihasilkan, biner, atau kode mesin tidak termasuk dalam kategori ini), proses internalisasi dilakukan untuk menghasilkan model abstrak yang sesuai dengan kode asli (umumnya AST yang diperkaya), model entitas dan eksekusi diturunkan, teknik analisis diterapkan, dan akhirnya, laporan dihasilkan. Kualitas keseluruhan proses sangat bergantung pada fase internalisasi.

Internalisasi dan generasi AST: frontend, tata bahasa, dan ambiguitas

Tahap internalisasi bertujuan untuk menerjemahkan kode sumber ke dalam struktur yang dapat dikelola oleh parser, biasanya berupa AST atau grafik serupa. Hal ini dapat dicapai dengan menggunakan frontend dari compiler yang sudah ada (seperti GCC untuk C, Mono untuk .NET, atau Eclipse JDT untuk Java), yang menyediakan struktur yang terbukti efisien.

Namun, mengandalkan frontend ini memiliki beberapa kekurangan . Banyak yang dirancang untuk berintegrasi dengan IDE, memerlukan pembuatan proyek dan konfigurasi tambahan, dan menghasilkan model yang berorientasi pada interaksi pengguna daripada analisis skala besar. Selain itu, mereka sering beroperasi pada kode yang telah diproses sebelumnya (misalnya, C dengan makro yang telah diselesaikan), yang dapat menimbulkan perbedaan dengan kode sumber asli saat melaporkan kesalahan.

Ketika opsi-opsi ini tidak mencukupi , maka perlu menggunakan teknik teori kompilator klasik: membangun tata bahasa, mendefinisikan parser dengan alat seperti ANTLR, Bison, atau Flex, atau bahkan memprogram kombinator parser atau solusi berbasis PEG. Hal ini membutuhkan pemahaman mendalam tentang sintaksis dan semantik bahasa yang diproses.

Masalah umum pada tahap ini meliputi ambiguitas sintaksis (ekspresi yang dapat diinterpretasikan oleh tata bahasa dalam beberapa cara yang valid), ambiguitas yang bergantung pada konteks atau semantik (misalnya, membedakan apakah suatu fragmen mewakili perkalian atau deklarasi penunjuk), dan resolusi referensi (mengetahui dalam setiap penggunaan variabel, tipe, atau anggota mana yang sebenarnya dirujuk).

Dalam bahasa pemrograman yang kompleks seperti C++ atau dalam lingkungan campuran —misalnya, ASPX dengan C#, Android dengan Java/Dalvik—ambiguitas ini berlipat ganda. Bahkan IDE canggih pun menunjukkan kesalahan pewarnaan atau pengenalan simbol pada fragmen yang sulit, yang menggambarkan tingkat kesulitan bagi mereka yang membangun alat analisis mereka sendiri.

Kesimpulannya adalah tidak ada solusi ajaib : Anda perlu menguasai tata bahasa, semantik, model memori bahasa, aturan resolusi nama, dan memiliki tujuan yang sangat jelas untuk analisis, karena mudah tersesat dalam detail implementasi yang tidak menambah nilai pada audit atau kasus penggunaan yang sedang diupayakan.

Teknik analisis tingkat lanjut: aliran informasi dan model eksekusi

Setelah model internal yang kuat (AST, model memori dan eksekusi) tersedia , fase analisis sebenarnya dimulai. Analisis aliran data sangat penting di sini, mempelajari bagaimana informasi menyebar melalui aplikasi dari sumber yang tidak tepercaya (input pengguna, file, soket, dll.) ke tujuan yang berpotensi berbahaya ( kueri SQL , perintah sistem, rendering HTML yang tidak di-escape, dll.).

Analisis alur memungkinkan Anda mempelajari semua kemungkinan jalur eksekusi yang menghubungkan input ke titik rentan, baik maju maupun mundur, yang sangat penting untuk teknik analisis taint. Hal ini membutuhkan pemahaman yang tepat tentang model memori bahasa dan mekanisme propagasi implisit (pass by value atau reference, closure, objek yang tidak dapat diubah, thread, dll.).

Selain itu, perlu juga untuk memodelkan atau menyertakan perilaku pustaka pihak ketiga , karena sebagian besar logika bisnis dan titik masuk/keluar berada di dalamnya. Jika hal ini tidak diperhitungkan, analisis dapat menghasilkan sejumlah besar positif palsu atau, lebih buruk lagi, negatif palsu yang tidak terdeteksi.

Contoh ilustratifnya adalah analisis aplikasi yang rentan terhadap SQL Injection : kode mungkin tampak sederhana, tetapi melalui analisis taint, dapat diamati bagaimana parameter yang dikontrol pengguna menyebar melalui beberapa fungsi hingga mencapai konstruksi kueri, yang dieksekusi tanpa parameterisasi yang tepat. Tanpa model alur dan memori yang detail, ketergantungan ini sulit ditemukan secara otomatis.

Kasus lain yang lebih kompleks melibatkan variabel statis bersama, fungsi callback, atau event , di mana nilai yang mencapai sink bergantung pada eksekusi sebelumnya atau jalur yang kurang jelas. Di sini, model eksekusi—yang mewakili status, transisi, dan konteks—dikombinasikan dengan AST (Abstract Syntax Tree) memungkinkan kita untuk menyusun potongan-potongan teka-teki dan menarik kesimpulan yang andal tentang keamanan kode.

Meskipun teknik-teknik ini menghadirkan tantangan tambahan , seperti analisis lintas bahasa atau evaluasi ekspresi yang akurat dalam lingkungan yang sangat dinamis, teknik-teknik ini memberikan kualitas yang sangat baik pada hasilnya: lebih sedikit kesalahan interpretasi, proses yang lebih cepat setelah infrastruktur dibangun, dan kerangka kerja standar yang dapat diadaptasi ke berbagai proyek dan teknologi.

Otomatisasi alur kerja dengan RPA di AST (Aragonese Telematics Services)

Selain analisis kode, alur kerja juga dioptimalkan di Administrasi Publik melalui teknologi Otomasi Proses Robotik (RPA). Contoh kasus yang menggambarkan hal ini adalah Aragonesa de Servicios Telemáticos (AST), sebuah entitas publik yang menyediakan layanan TIK kepada Pemerintah Aragon dan bertindak sebagai operator telekomunikasi untuk komunitas otonom tersebut.

AST mengelola beragam layanan digital —manajemen dokumen, tanda tangan elektronik, gerbang pembayaran, BI, infrastruktur data spasial, hosting aplikasi, workstation, konektivitas, dan layanan bernilai tambah— dan menghadapi hambatan kritis: proses pembuatan faktur secara manual, yang menghabiskan banyak waktu dan sumber daya dalam periode yang sangat singkat.

Untuk mengatasi tantangan ini, Hiberus dilibatkan , dengan menawarkan solusi berbasis RPA menggunakan UiPath. Pendekatan ini mengikuti urutan terstruktur: pembentukan Pusat Agile khusus (konsultan RPA, arsitek, pengembang, penguji), konsultasi proses untuk mengidentifikasi data, sistem, dan alur kerja yang dapat diotomatisasi, pengembangan dokumen PDD dengan definisi fungsional, dan dari sana, membangun lingkungan dan mengembangkan solusi.

Otomatisasi tersebut mencakup integrasi dengan platform tanda tangan digital perusahaan , sebuah sistem kunci untuk penandatanganan faktur, bahkan menambahkan sistem peringatan yang tidak dimiliki oleh alat aslinya. Lingkungan pengembangan dan produksi dikerahkan, dan rencana pengujian khusus dijalankan yang menargetkan sistem pra-produksi, memungkinkan AST untuk memvalidasi robot tanpa memengaruhi operasi hariannya.

Setelah divalidasi, solusi tersebut diimplementasikan dalam produksi , dengan memanfaatkan kekuatan UiPath: kemampuan untuk mengotomatisasi proses yang kompleks dan bervolume tinggi, persyaratan pemrograman yang rendah, kemudahan penskalaan horizontal, kecepatan pengembangan, sistem notifikasi bawaan, dan kemampuan untuk menghentikan eksekusi jika ada masalah yang terdeteksi.

Proyek ini diselesaikan dengan pelatihan terperinci untuk staf AST , panduan pengguna yang disiapkan bersama, dan sesi praktik untuk memastikan bahwa para manajer dapat mengoperasikan alat tersebut secara mandiri, menyesuaikan pengaturan, dan memahami hasilnya tanpa terus-menerus bergantung pada vendor.

Hasil kuantitatifnya sangat signifikan : dalam periode dua bulan, lebih dari 500 faktur dihasilkan, 60% lebih banyak daripada tahun sebelumnya, dan waktu per faktur turun dari 10 menit menjadi sekitar 2 menit, yang mewakili pengurangan 80% dalam waktu pemrosesan rata-rata. Dalam jangka menengah, penghematan ratusan jam kerja manual diproyeksikan, di samping manfaat kualitatif seperti penghapusan kesalahan manusia, peningkatan kelincahan dalam pengajuan ulang faktur, peningkatan produktivitas, dan keselarasan yang lebih baik dengan tujuan penagihan.

Dari perspektif strategis , proyek percontohan RPA ini selaras dengan rencana AST untuk memperkenalkan otomatisasi proses robotik dan prosedur administratif otomatis di dalam Administrasi Aragon. Lebih lanjut, proyek ini telah berfungsi untuk meninjau dan mengklarifikasi aturan bisnis dalam proses penagihan, meningkatkan berbagi informasi di antara para pemangku kepentingan, dan mengidentifikasi proses baru yang dapat diotomatisasi pada fase selanjutnya.

Secara keseluruhan, gambaran ini menunjukkan bagaimana konsep AST , dalam berbagai maknanya, merupakan inti dari peningkatan alur kerja: memodelkan logika program menggunakan pohon sintaks abstrak untuk pengembangan dan pengujian yang cerdas, memeriksa keamanan aplikasi dengan perangkat khusus, memecah tugas kerja untuk menghilangkan risiko, atau mengatur robot yang menangani tugas-tugas berulang sehingga orang dapat fokus pada aktivitas yang bernilai lebih tinggi.