Gebruik van AST in workflow- en beveiligingscodering

Informatic Digital » Middelen » Gebruik van AST in workflow- en beveiligingscodering

Wanneer we het hebben over AST in workflowcode , voegen we eigenlijk verschillende werelden samen die, hoewel ze ogenschijnlijk verschillend zijn, steeds meer met elkaar verweven raken: traditionele softwareontwikkeling , applicatiebeveiliging, procesautomatisering met RPA, codegeneratie met AI en, interessant genoeg, zelfs preventie van beroepsrisico's. Het draait allemaal om hoe we de workflows die complexe systemen aansturen, modelleren, analyseren, automatiseren en beveiligen.

Abstracte syntactische bomen (AST's) zijn een essentieel hulpmiddel geworden voor het begrijpen en transformeren van code, het automatiseren van audits, het genereren van tests, het versterken van de beveiliging en zelfs het grafisch weergeven van bedrijfsprocessen. Tegelijkertijd omvat de afkorting AST concepten zoals applicatiebeveiligingstesten en taakbeveiligingsanalyse, die wijzen op een ander onderliggend idee: het systematisch analyseren van workflows (softwarematig of menselijk) om fouten, risico's en mogelijkheden voor verbetering op te sporen.

AST als abstracte syntaxisboom in workflows en codegeneratie

Bij de ontwikkeling van maatwerksoftware maakt het gebruik van Abstracte Syntactische Bomen (AST's) het mogelijk om van ondoorzichtige code over te stappen naar visuele en begrijpelijke structuren die de logica van een workflow nauwkeurig beschrijven. Een AST splitst het programma op in knooppunten die bewerkingen, controlestructuren, functieaanroepen, gegevens en relaties daartussen vertegenwoordigen, waardoor de logica niet langer bestaat uit "losse regels code", maar een navigeerbare grafiek wordt.

Deze weergave is met name nuttig bij het beheren van kunstmatige intelligentie-agenten of gedistribueerde architecturen, waar workflows complex zijn en moeilijk mentaal te volgen. Door workflowcode om te zetten in een AST (Automatic Software Analysis), is het mogelijk diagrammen te genereren die op intuïtieve wijze beslissingsvertakkingen, componentafhankelijkheden, uitvoeringsvolgorde en kritieke procespunten weergeven, waardoor ontwikkeling, beoordeling en technische besluitvorming worden vergemakkelijkt.

Bedrijven die gespecialiseerd zijn in maatwerksoftware, zoals Q2BSTUDIO , gebruiken deze syntactische bomen om complexe workflows om te zetten in toegankelijke, visueel duidelijke en vooral functioneel bruikbare diagrammen. Het gaat niet alleen om "het tekenen van vakjes", maar om een ​​gestructureerd model dat gebruikt kan worden om algoritmen te verfijnen, knelpunten te identificeren, logische fouten op te sporen en de weg vrij te maken voor toekomstige optimalisaties.

Het grote voordeel van AST in deze context is dat het onafhankelijk is van de uiteindelijke programmeertaal . Vanuit dezelfde boomstructuur kan de workflow worden gecompileerd of getransformeerd naar verschillende talen of platforms (bijvoorbeeld verschillende cloudruntimes zoals AWS of Azure), met behoud van consistente bedrijfslogica. Dit maakt flexibelere, overdraagbare en onderhoudbare architecturen mogelijk, waarbij de kern van het proces abstract is gedefinieerd en de uitvoerbare code een gecontroleerde afleiding daarvan is.

Een ander belangrijk punt is het hergebruik van knooppunten binnen de AST . Het is mogelijk om logische blokken te definiëren (bijvoorbeeld invoervalidaties, gegevenstoegangspatronen of auditmechanismen) die hergebruikt worden als veilige en reeds gevalideerde componenten. Als deze knooppunten ook bekend zijn bij de codegenererende AI, kan deze ernaar verwijzen in plaats van ze helemaal opnieuw te bedenken, wat de veiligheid en consistentie van de gegenereerde software aanzienlijk verhoogt.

AST en AI-gestuurde featuregeneratie: beveiliging, validiteit en betrouwbaarheid

De opkomst van AI-modellen die code genereren, heeft een nieuw front geopend : hoe kunnen we functies die door een AI zijn geschreven vertrouwen zonder elke regel handmatig te controleren? Een goede oplossing is niet om direct "uitvoerbare code" op te vragen, maar om een ​​gestructureerde weergave van de logica te verkrijgen met behulp van een AST (Automatic Abstract Syntax Tree), die vervolgens door een betrouwbare tool wordt gevalideerd en omgezet in code.

Door met AST's (Abstract Syntax Trees) in plaats van gewone code te werken , genereert AI knooppunten, bewerkingen, controlestructuren en gegevensstromen die automatisch kunnen worden geanalyseerd: typen, uitvoeringspaden, parameterconsistentie, foutafhandeling, randvoorwaarden en andere eigenschappen worden gecontroleerd voordat ze de compiler of interpreter bereiken. Dit filter verkleint het risico op het uitvoeren van kwaadaardige of simpelweg onjuiste code aanzienlijk.

Q2BSTUDIO en andere organisaties die deze technieken onderzoeken, leggen bijzondere nadruk op het waarborgen dat door AI gegenereerde logica traceerbaar en verifieerbaar is. De AST (Automated System Analysis) fungeert als de "tussenliggende waarheid" waarop beveiligingsregels, kwaliteitsnormen, interne beleidsregels en impactanalyses worden toegepast. Zo past elke gegenereerde functie in een bibliotheek van beveiligde knooppunten, waarbij gebruik wordt gemaakt van eerder gecontroleerde elementen.

Deze aanpak opent ook de deur naar multifunctionele builds : vanuit dezelfde AST kan code in verschillende talen worden gegenereerd (bijvoorbeeld Python voor microservices, C# voor interne services of gespecialiseerde scripts voor cloud orchestrators). Voor bedrijven die in hybride of multi-cloudomgevingen werken, is dit bijzonder aantrekkelijk omdat het ervoor zorgt dat de bedrijfsprocessen consistent blijven, ongeacht de uiteindelijke stack.

Tot slot maakt het gebruik van herbruikbare knooppunten binnen de AST de constructie van gecertificeerde "logica-bibliotheken" mogelijk. In plaats van database-toegangspatronen, beveiligingsvalidaties of logboekregistraties te bedenken, construeert AI deze uit deze bouwstenen, waardoor zowel de beveiliging als de prestaties verbeteren en latere analyses in tools zoals Power BI of andere business intelligence-platformen worden vergemakkelijkt.

AST toegepast op intelligent testen in Python en maximale code coverage

De AST vormt ook de basis van geavanceerde geautomatiseerde testoplossingen , zoals bepaalde open-source toolkits voor Python die de codestructuur gebruiken om testsuites te genereren met een veel hogere dekking dan normaal gesproken wordt bereikt door ze handmatig te schrijven.

Dit type tool combineert drie belangrijke mogelijkheden : automatische generatie van unit tests voor een specifiek Python-bestand, gerichte fuzzing om kritieke functies bloot te stellen aan extreme en onjuiste invoer, en dekkingsgerichte testgeneratie, waarbij de AST grondig wordt geanalyseerd om alle mogelijke vertakkingen, lussen, voorwaarden en uitzonderingspaden te lokaliseren.

De kern van de tool is dat deze de AST (Analog Test Asset) van de Python-code opbouwt en op basis daarvan uitvoeringspaden identificeert die nog niet door tests worden gedekt. ​​Met deze informatie geeft de tool een AI-model (bijvoorbeeld Gemini) de opdracht om testcases te creëren die specifiek zijn ontworpen om elk pad te activeren. Vervolgens voert de tool de tests uit en meet de testdekking met tools zoals coverage.py, waarmee een geautomatiseerde cyclus van continue verbetering wordt voltooid.

Deze aanpak genereert niet alleen een eerste reeks tests ; het maakt iteratie en verbetering mogelijk. Als er na een eerste ronde nog routes zijn die niet getest zijn, worden deze opnieuw onderzocht met behulp van de AST (Advanced Test Assay) en worden er nieuwe testgevallen opgevraagd bij de AI. Hierdoor is het proces aanpasbaar aan zowel nieuwe code als bestaande codebases met weinig of geen eerdere tests.

Het project is opgezet als een MCP-server (Model Context Protocol) , waardoor het functioneert als een lokale service die vanuit de editor of de commandoregel kan worden aangeroepen. Het gebruik van BAML zorgt ervoor dat de gegenereerde testcode een nauwkeurig formaat volgt, gemakkelijk te analyseren is en de tools voor continue integratie die de code gebruiken niet verstoort.

AST als taakveiligheidsanalyse: veilige processen in de werkomgeving

Onder hetzelfde acroniem AST vinden we nog een veelgebruikt concept in de preventie van arbeidsrisico's: Job Safety Analysis (taakveiligheidsanalyse). Hoewel het op een ander niveau werkt dan code, deelt het met Abstracte Syntactische Bomen het idee om een ​​proces (in dit geval menselijke taken) op te delen in fasen, risico's te identificeren en beheersmaatregelen te definiëren vóór de uitvoering.

Een taakveiligheidsanalyse is een preventief proces dat voornamelijk wordt toegepast op activiteiten met een hoog risico, zoals werken op hoogte, het bedienen van complexe machines of het hanteren van gevaarlijke stoffen. De workflow wordt opgedeeld in stappen, waarbij voor elke stap specifieke gevaren worden geïdentificeerd, het risiconiveau wordt beoordeeld en beheersmaatregelen worden gespecificeerd (persoonlijke beschermingsmiddelen, signalering, noodinstructies, enz.).

De belangrijkste voordelen van werkveiligheidsbeoordelingen op de werkplek zijn onder andere een vermindering van ongevallen, een betere naleving van wet- en regelgeving, een verhoogde operationele efficiëntie en een versterkte veiligheidscultuur. Een duidelijke taakomschrijving vermindert improvisatie, voorkomt onderbrekingen door incidenten en verlaagt de kosten die gepaard gaan met letsel, boetes of productiestilstanden.

De gebruikelijke procedure voor het uitvoeren van een JSA (Job Safety Analysis) in de werkomgeving omvat: het nauwkeurig definiëren van de taak en de context ervan (omgeving, apparatuur, materialen), het verdelen ervan in fasen, het identificeren van gevaren en risico's in elke fase (vallen, blootstelling aan chemicaliën, beknelling, defecten aan apparatuur), het vaststellen van specifieke beheersmaatregelen, het communiceren en trainen van de betrokken werknemers, en het continu monitoren en opvolgen om de analyse aan te passen als de omstandigheden veranderen.

Om deze analyse echt effectief te laten zijn, is het raadzaam om risicomatrices, checklists en, in toenemende mate, digitale tools te gebruiken die de documentatie, monitoring en traceerbaarheid van de genomen maatregelen vergemakkelijken. Adviesbureaus zoals GMS Consulting integreren deze taakveiligheidsanalyses (JSA's) in managementsystemen zoals ISO 45001, waardoor organisaties interne en externe audits kunnen doorstaan ​​en een cyclus van continue verbetering op het gebied van arbeidsveiligheid en -gezondheid kunnen handhaven.

Applicatiebeveiligingstesten (AST): SAST, DAST, IAST, MAST en meer.

In de cybersecuritywereld verwijst AST meestal naar Application Security Testing , oftewel de verzameling technieken en tools die gericht zijn op het opsporen van kwetsbaarheden in moderne applicaties, aangepast aan agile methodologieën en de toenemende complexiteit van software.

AST-oplossingen vormen een hoeksteen van elk robuust applicatiebeveiligingsprogramma, omdat handmatige codebeoordelingen en traditionele testplannen traag zijn en niet goed schalen met de constante opkomst van nieuwe kwetsbaarheden. Bovendien schrijven talrijke regelgevingen en regelgevende kaders (zoals PCI-DSS) het gebruik van dergelijke tools expliciet voor.

Binnen applicatiebeveiligingstesten kunnen we tegenwoordig verschillende hoofdcategorieën onderscheiden : statische analyse (SAST), dynamische analyse (DAST), interactieve en hybride technieken (IAST), applicatiespecifieke testen voor mobiele apparaten (MAST) en andere complementaire diensten zoals SCA, RASP, applicatie-ontdekking, testen als een service of correlatie- en dekkingstools.

Statische AST (SAST) analyseert code in rust (broncode, bytecode of binair) tijdens de programmeer- en testfasen van de softwareontwikkelingscyclus. Het wordt beschouwd als een "white-box"-test omdat de analist toegang heeft tot zowel de code als het applicatieontwerp. Deze tools zoeken naar zwakke punten zoals numerieke fouten, problemen met invoervalidatie, racecondities, onveilige verwijzingen, overflows, enzovoort.

Dynamische AST (DAST)-technologie richt zich daarentegen op de draaiende applicatie , meestal in gecontroleerde test- of productieomgevingen. Gesimuleerde aanvallen worden van buitenaf uitgevoerd om problemen zoals injecties, authenticatiefouten, slecht sessiebeheer, interfacefouten of problemen met de afhandeling van reacties aan het licht te brengen. Het is een 'black box'-benadering, waarbij geen kennis van de interne code wordt verondersteld.

IAST-technologieën combineren het beste van SAST en DAST . De applicatie wordt voorzien van instrumentatie (bijvoorbeeld met een agent in de JVM of de .NET CLR) om het gedrag ervan van binnenuit te observeren terwijl dynamische tests worden uitgevoerd. Dit maakt het mogelijk om data- en uitvoeringsstromen te correleren, te begrijpen of een theoretische kwetsbaarheid daadwerkelijk exploiteerbaar is en valse positieven te verminderen door bevindingen direct te valideren.

MAST, oftewel Mobile Application Security Testing , past een mix van statische, dynamische en forensische analyses toe, specifiek op iOS- en Android-applicaties, inclusief hun backend-componenten. Deze oplossingen besteden bijzondere aandacht aan scenario's zoals gerootte of ontgrendelde apparaten, nep-wifi-netwerken, onjuist certificaatbeheer, lekken van gevoelige gegevens en andere kenmerken van de mobiele omgeving.

Aanvullende diensten: SCA, RASP, discovery, databases en ASTO-orkestratie.

Veel AST-aanbieders hebben hun aanbod uitgebreid met belangrijke aanvullende diensten om het gehele ecosysteem voor applicatiebeveiliging en cyberbeveiligingsrisicobeheer te bestrijken , van softwaresamenstelling tot databases en de orkestratie van alle tools.

Software Composition Analysis (SCA) richt zich op het identificeren van componenten van derden en open-sourcecomponenten die in een applicatie zijn opgenomen en het vergelijken ervan met bekende kwetsbaarheidsdatabases zoals de NIST NVD, CVE en commerciële repositories zoals VulnDB. Deze tools kunnen verouderde versies of versies met openstaande beveiligingspatches detecteren, maar ze identificeren doorgaans geen kwetsbaarheden in de code van de applicatie zelf.

RASP (Runtime Application Self-Protection) gaat een stap verder met instrumentatie en gebruikt technieken die vergelijkbaar zijn met IAST om de draaiende applicatie te monitoren en aanvallen in realtime te blokkeren. Daarmee concurreert het in sommige opzichten met traditionele WAF's. Veel teams beginnen met het activeren van instrumentatie uitsluitend voor diagnostische doeleinden (IAST-modus) en schakelen, zodra ze vertrouwen hebben in de resultaten, over naar de RASP-modus met effectieve aanvalsblokkering.

Ook relevant is de mogelijkheid om applicaties te ontdekken . Deze analyseert het web-ecosysteem van een organisatie en lokaliseert alle toegankelijke sites en services, inclusief die welke wellicht vergeten zijn maar nog steeds een potentieel toegangspunt vormen.

Op het niveau van de datalaag controleren tools voor databasebeveiligingsanalyse versies, patches, configuraties, wachtwoorden, toegangsbeleid en andere kwetsbaarheden, zowel voor data in rust als, in sommige producten, voor data in transit. Dit is cruciaal omdat veel exploiteerbare kwetsbaarheden voortkomen uit gebrekkig databasebeheer in plaats van fouten in de applicatiecode.

Het ASTaaS-model (Application Security Testing as a Service) besteedt een deel of het gehele beveiligingstestproces uit aan een gespecialiseerde aanbieder. Dit combineert statische en dynamische analyses, penetratietesten, API-evaluatie en risicoanalyse. Het is met name aantrekkelijk in cloudomgevingen, waar het opzetten en schalen van testomgevingen eenvoudiger is.

Om de stroom aan bevindingen van verschillende tools te verwerken, zijn er oplossingen voor correlatie van resultaten en dekkingsanalysatoren ontwikkeld. De eerste verenigen en prioriteren kwetsbaarheden die door verschillende oplossingen zoals SAST, DAST, IAST, MAST, enz. zijn gedetecteerd, terwijl de laatste meten welk percentage van de code of logische vertakkingen daadwerkelijk is getest. Dit helpt bij het vaststellen van acceptabele kwaliteitsdrempels en het opsporen van ontestbare code.

Tot slot stelt Application Security Testing Orchestration (ASTO) voor om al deze tools op een gecoördineerde manier te integreren binnen de softwareontwikkelingslevenscyclus (SDLC) en CI/CD-pipelines, met gecentraliseerd beheer van beleid, uitvoeringen en rapportage. Hoewel het nog steeds een vakgebied in ontwikkeling is, speelt het in op de behoefte om beveiligingstesten zoveel mogelijk te automatiseren zonder het leveringstempo te vertragen.

Beveiligingsgerichte statische broncodeanalyse: standaarden, technieken en uitdagingen

Statische broncodeanalyse met een focus op beveiliging is een steeds belangrijkere vereiste voor organisaties die zich willen conformeren aan veilige ontwikkelingsstandaarden en best practices. Frameworks zoals CLASP, OpenSAMM, Touchpoints en Microsoft SDL integreren deze fase expliciet in de ontwikkelingscyclus, waarmee het concept van "security by design" wordt versterkt.

Methodologieën zoals OWASP en frameworks voor een veilige SDLC bieden concrete richtlijnen voor het uitvoeren van statische analyse, het definiëren van beoordelingscriteria, het benutten van resultaten en het vergelijken van bevindingen met benchmarks zoals de OWASP Top 10 (XSS, SQL-injectie, bestandsinclusie, enz.). Bestaande SAST-tools – zowel commerciële als open-source – zijn sterk afhankelijk van compilertheorie, AST en informatiestroomanalyse om nuttige kennis uit code te halen.

Tot de elementaire technieken behoren geavanceerde grep (voor het zoeken naar patronen en mogelijke geheimen in platte tekst), verificatie van inspringing en structuur, dataflow-analyse om het leven van een variabele te volgen van definitie tot gebruik, constante propagatie om de impact van onveranderlijke waarden te evalueren, en alias- of pointeranalyse om indirecte verwijzingen in programmeertalen op laag niveau te begrijpen.

Op het niveau van classificatie van bevindingen is het nuttig om onderscheid te maken tussen bugs (afwijkingen tussen wat de programmeur bedoelde en wat de software daadwerkelijk doet), schendingen van best practices of taalregels (niet-ideale code) en kwetsbaarheden, opgevat als de subset van problemen met een impact op de beveiliging. Een stuk code kan zowel een bug als een schending zijn en toch niet exploiteerbaar zijn vanwege extra beveiligingslagen.

Een grote uitdaging is dat veel populaire SAST-tools (zoals PMD, SonarQube of FindBugs) zich meer richten op codekwaliteit dan op pure beveiliging, en dat hun volledige potentieel pas wordt benut wanneer ze vanaf het begin van het project worden geïntegreerd, wat niet altijd het geval is. In omgevingen waar bestaande code – vaak geschreven door derden – wordt gecontroleerd, schieten deze tools tekort, waardoor het nodig is om aangepaste analysetools te ontwikkelen die zijn afgestemd op de behoeften van het team.

Het proces voor het bouwen van een statische analysetool is doorgaans georganiseerd als een pijplijn: beginnend met de broncode (gegenereerde code, binaire bestanden of machinecode vallen hier niet onder), wordt een internalisatieproces uitgevoerd om een ​​abstract model te produceren dat trouw is aan de originele code (meestal een verrijkte AST), worden entiteits- en uitvoeringsmodellen afgeleid, worden analysetechnieken toegepast en tot slot worden rapporten gegenereerd. De kwaliteit van het gehele proces hangt cruciaal af van de internalisatiefase.

Internalisatie en generatie van AST: frontends, grammatica's en ambiguïteiten

De internalisatiefase heeft als doel de broncode om te zetten in een structuur die door de parser kan worden verwerkt, meestal een AST of een vergelijkbare grafiek. Dit kan worden bereikt met behulp van frontends van bestaande compilers (zoals GCC voor C, Mono voor .NET of Eclipse JDT voor Java), die beproefde en efficiënte structuren bieden.

Het gebruik van deze frontends kent echter nadelen . Veel ervan zijn ontworpen om te integreren met een IDE, vereisen het aanmaken van extra projecten en configuraties, en genereren modellen die meer gericht zijn op gebruikersinteractie dan op grootschalige analyses. Bovendien werken ze vaak met voorbewerkte code (bijvoorbeeld C met opgeloste macro's), wat kan leiden tot inconsistenties met de originele broncode bij het rapporteren van fouten.

Als deze opties ontoereikend zijn , is het noodzakelijk om terug te grijpen naar klassieke compilertheorietechnieken: het construeren van grammatica's, het definiëren van parsers met tools zoals ANTLR, Bison of Flex, of zelfs het programmeren van parsercombinatoren of PEG-gebaseerde oplossingen. Dit vereist een diepgaand begrip van de syntaxis en semantiek van de te verwerken taal.

Veelvoorkomende problemen in deze fase zijn onder andere syntactische ambiguïteiten (uitdrukkingen die de grammatica op meerdere geldige manieren kan interpreteren), contextafhankelijke of semantische ambiguïteiten (bijvoorbeeld het onderscheiden of een fragment een vermenigvuldiging of een pointerdeclaratie voorstelt) en referentieresolutie (weten welke variabele, welk type of welk lid in elk gebruik daadwerkelijk wordt aangeroepen).

In complexe talen zoals C++ of in gemengde omgevingen —bijvoorbeeld ASPX met C#, Android met Java/Dalvik— vermenigvuldigen deze ambiguïteiten zich. Zelfs geavanceerde IDE's vertonen fouten in de kleuring of symboolherkenning bij lastige fragmenten, wat de moeilijkheidsgraad illustreert voor degenen die hun eigen analysetools ontwikkelen.

De conclusie is dat er geen magische oplossingen bestaan : je moet de grammatica, de semantiek, het geheugenmodel van de taal en de regels voor naamresolutie beheersen, en een zeer duidelijk doel voor ogen hebben voor de analyse. Het is namelijk gemakkelijk om te verdwalen in implementatiedetails die geen toegevoegde waarde hebben voor de audit of de beoogde use case.

Geavanceerde analysetechnieken: informatiestromen en uitvoeringsmodellen

Zodra robuuste interne modellen (AST, geheugen- en uitvoeringsmodellen) aanwezig zijn , begint de eigenlijke analysefase. Dataflowanalyse is hierbij cruciaal; hierbij wordt onderzocht hoe informatie zich door de applicatie verspreidt, van onbetrouwbare bronnen (gebruikersinvoer, bestanden, sockets, enz.) naar potentieel gevaarlijke bestemmingen ( SQL-query's , systeemopdrachten, niet-geëscapte HTML-weergave, enz.).

Flow-analyse maakt het mogelijk om alle mogelijke uitvoeringspaden te bestuderen die een invoer verbinden met een kwetsbaar punt, zowel voorwaarts als achterwaarts. Dit is essentieel voor technieken voor het opsporen van kwetsbaarheden. Het vereist een nauwkeurig begrip van het geheugenmodel van de programmeertaal en de impliciete propagatiemechanismen (pass by value of reference, closures, onveranderlijke objecten, threads, enz.).

Het is ook noodzakelijk om het gedrag van externe bibliotheken te modelleren of mee te nemen in de analyses , aangezien een groot deel van de bedrijfslogica en de in- en uitgangspunten zich daarin bevinden. Als hiermee geen rekening wordt gehouden, kunnen de analyses een groot aantal valse positieven of, erger nog, valse negatieven opleveren die onopgemerkt blijven.

Een illustratief voorbeeld is de analyse van een applicatie die kwetsbaar is voor SQL-injectie : de code lijkt misschien eenvoudig, maar door middel van taint-analyse kan worden waargenomen hoe een door de gebruiker ingestelde parameter zich door verschillende functies verspreidt totdat deze de queryconstructie bereikt, die vervolgens wordt uitgevoerd zonder de juiste parameterisering. Zonder een gedetailleerd stroom- en geheugenmodel zijn deze afhankelijkheden moeilijk automatisch te ontdekken.

Een ander, complexer geval betreft gedeelde statische variabelen, callbacks of gebeurtenissen , waarbij de waarde die een bestemming bereikt afhankelijk is van eerdere uitvoeringen of minder voor de hand liggende paden. In dit geval stelt het uitvoeringsmodel – dat toestanden, overgangen en contexten weergeeft – in combinatie met de abstracte syntactische boom (AST) ons in staat de puzzelstukjes samen te voegen en betrouwbare conclusies te trekken over de beveiliging van de code.

Hoewel deze technieken extra uitdagingen met zich meebrengen , zoals analyse van meerdere talen of nauwkeurige evaluatie van uitdrukkingen in zeer dynamische omgevingen, leveren ze een resultaat van hoge kwaliteit op: minder interpretatiefouten, snellere processen zodra de infrastructuur is opgezet en een gestandaardiseerd raamwerk dat kan worden aangepast aan verschillende projecten en technologieën.

Automatisering van workflows met RPA bij AST (Aragonese Telematics Services)

Naast codeanalyse worden ook workflows binnen de overheid geoptimaliseerd door middel van Robotic Process Automation (RPA)-technologieën. Een illustratief voorbeeld hiervan is Aragonesa de Servicios Telemáticos (AST), een overheidsinstantie die ICT-diensten levert aan de regering van Aragón en fungeert als telecommunicatieaanbieder voor de autonome regio.

AST beheert een breed scala aan digitale diensten – documentbeheer, elektronische handtekeningen, betalingsgateways, business intelligence, ruimtelijke data-infrastructuren, applicatiehosting, werkstations, connectiviteit en diensten met toegevoegde waarde – en stuitte op een kritiek knelpunt: het handmatige proces van factuurcreatie, dat in zeer geconcentreerde periodes veel tijd en middelen in beslag nam.

Om deze uitdaging aan te gaan, werd Hiberus ingeschakeld , die een op RPA gebaseerde oplossing met UiPath voorstelde. De aanpak volgde een gestructureerde volgorde: het opzetten van een gespecialiseerd Agile Center (RPA-consultants, architecten, ontwikkelaars, testers), procesconsulting om automatiseerbare data, systemen en workflows te identificeren, het ontwikkelen van een PDD-document met de functionele definitie, en van daaruit het bouwen van de omgeving en het ontwikkelen van de oplossing.

De automatisering omvatte integratie met het digitale handtekeningplatform van het bedrijf , een belangrijk systeem voor het ondertekenen van facturen, en voegde zelfs een waarschuwingssysteem toe dat de oorspronkelijke tool miste. Ontwikkelings- en productieomgevingen werden geïmplementeerd en een specifiek testplan werd uitgevoerd gericht op pre-productiesystemen, waardoor AST de robot kon valideren zonder de dagelijkse werkzaamheden te beïnvloeden.

Na validatie werd de oplossing in productie genomen , waarbij gebruik werd gemaakt van de sterke punten van UiPath: de mogelijkheid om complexe processen met een hoog volume te automatiseren, de lage programmeervereisten, de eenvoudige horizontale schaalbaarheid, de ontwikkelsnelheid, het ingebouwde notificatiesysteem en de mogelijkheid om uitvoeringen te stoppen als er problemen worden gedetecteerd.

Het project werd afgerond met een gedetailleerde training voor AST-medewerkers , gezamenlijk opgestelde gebruikershandleidingen en praktijksessies om ervoor te zorgen dat managers de tool zelfstandig konden bedienen, instellingen konden aanpassen en de resultaten konden begrijpen zonder voortdurend afhankelijk te zijn van de leverancier.

De kwantitatieve resultaten waren zeer significant : in een periode van twee maanden werden meer dan 500 facturen gegenereerd, 60% meer dan in het voorgaande jaar, en de tijd per factuur daalde van 10 minuten naar ongeveer 2 minuten, wat neerkomt op een reductie van 80% in de gemiddelde verwerkingstijd. Op middellange termijn wordt een besparing van honderden uren handarbeid verwacht, naast kwalitatieve voordelen zoals het elimineren van menselijke fouten, een grotere flexibiliteit bij het opnieuw indienen van facturen, een verhoogde productiviteit en een betere afstemming op de factureringsdoelstellingen.

Vanuit strategisch oogpunt sluit deze RPA-pilot aan op het plan van AST om robotprocesautomatisering en geautomatiseerde administratieve procedures binnen de Aragonese overheid te introduceren. Bovendien heeft het gediend om de bedrijfsregels in het facturatieproces te herzien en te verduidelijken, de informatie-uitwisseling tussen belanghebbenden te verbeteren en nieuwe processen te identificeren die in volgende fasen geautomatiseerd zouden kunnen worden.

Al met al laat dit geheel zien hoe het concept van AST , in al zijn betekenissen, centraal staat bij het verbeteren van workflows: het modelleren van programmalogica met behulp van abstracte syntactische bomen voor intelligente ontwikkeling en testen, het onderzoeken van applicatiebeveiliging met gespecialiseerde toolkits, het opsplitsen van werktaken om risico's te elimineren, of het aansturen van robots die repetitieve taken uitvoeren zodat mensen zich kunnen concentreren op activiteiten met een hogere toegevoegde waarde.