Los entornos tecnológicos modernos exigen pruebas modernas de seguridad de aplicaciones

Por más diligente que sea un equipo de desarrollo o por muchas comprobaciones de seguridad que realice en sus entornos de desarrollo, las vulnerabilidades llegarán a los sistemas de producción. La naturaleza compleja y en constante evolución de los entornos de producción actuales exige capacidades modernas de pruebas de seguridad de aplicaciones. El desafío de la seguridad y la calidad del software nos afecta a todos. Y sin software seguro, los equipos de seguridad no pueden proteger sus sistemas y datos.

En este artículo, explico cómo abordar el desarrollo de software seguro y cómo elegir las herramientas adecuadas para los desafíos actuales de seguridad del software.

Antes de explicar con precisión qué significan las pruebas modernas de seguridad de aplicaciones, primero debemos detallar por qué siempre aparecerán vulnerabilidades de seguridad en los entornos de producción. Por muy talentosos o cuidadosos que sean tus desarrolladores y equipos de pruebas de seguridad de aplicaciones, algunos defectos pasarán inadvertidos durante el desarrollo y la implementación. Además, los entornos de producción actuales cambian constantemente. Necesitas herramientas que se adapten y analicen a fondo las páginas y aplicaciones web.

Por qué las herramientas tradicionales fallan en los entornos modernos

Hubo un tiempo en que los sitios web y las aplicaciones empresariales se creaban e implementaban de formas muy distintas a las actuales. Por lo general, se diseñaban e implementaban en tres capas diferenciadas: presentación, aplicación y datos. Aunque ese modelo de tres capas no ha desaparecido, ha evolucionado considerablemente con el auge de la computación en la nube, los microservicios, las API y los contenedores. Estas tecnologías lo modernizaron para que las aplicaciones web y empresariales pudieran ser aún más dinámicas, escalables y resilientes, siempre que la seguridad de las aplicaciones se gestione correctamente.

En segundo lugar, el principal método de desarrollo de esa época se conocía como modelo en cascada. Como su nombre lo indica, las aplicaciones se desarrollaban por completo y luego se implementaban en pasos lineales y secuenciales, como el cauce de un río, para culminar en una implementación extensa. Las pruebas de seguridad, si se realizaban, se completaban hacia el final del proceso de desarrollo, cuando las aplicaciones ya estaban cerca de entrar en producción o incluso ya estaban allí.

Hoy, estas implementaciones «de gran impacto» se han reemplazado en gran medida por métodos de desarrollo y entrega continua de aplicaciones, e incluso, en algunos casos, por la implementación continua. En este modelo, las organizaciones implementan un producto mínimo viable que se actualiza de forma continua. Lo ideal es que las pruebas de seguridad y de otros aspectos de la aplicación también se realicen continuamente. Las pruebas deben continuar después de la implementación.

Sin pruebas continuas o, al menos, periódicas, surgen vulnerabilidades cuando se agregan nuevas funciones al software, se actualizan las API y se crean nuevas integraciones que pasan inadvertidas. Estos sistemas cambian todos los días.

¿Qué significa todo esto para la eficacia de las herramientas tradicionales de pruebas de seguridad? Mucho.

Los rastreadores web más antiguos se desarrollaron para aquella época, antes del auge de las API. La mayoría de los escáneres tradicionales ni siquiera pueden evaluar correctamente las aplicaciones de página única (SPA). Por ejemplo, me sorprende la frecuencia con la que recibimos comentarios de clientes y posibles clientes que evalúan Snyk API & Web y nos cuentan que los escaneos de Snyk API & Web pueden llegar a secciones de sus aplicaciones a las que ninguna otra herramienta de evaluación que probaron pudo acceder.

Un posible cliente que ahora es cliente estaba evaluando Snyk API & Web y distintas soluciones de la competencia cuando encontró una vulnerabilidad de alto riesgo en una de sus aplicaciones que nadie más podía ver. No lograban entenderlo. Nos escribieron para preguntarnos cómo lo habíamos hecho y quisieron reunirse con nosotros para entender qué permitió encontrarla. Tuvimos que investigar cómo habíamos detectado esa vulnerabilidad y demostrar que era real. También intentamos averiguar por qué nadie más la había encontrado. La conclusión fue la cobertura: nuestro rastreador encontró correctamente ese endpoint, mientras que los rastreadores de la competencia no lograron detectarlo.

Esta historia destaca la importancia de encontrar y usar una herramienta de pruebas dinámicas de seguridad de aplicaciones (DAST) diseñada para evaluar los entornos tecnológicos empresariales modernos y capaz de evaluar con precisión las aplicaciones web y las API.

Características de una solución DAST moderna

Esto es lo que puedes esperar de una solución DAST moderna que cumpla ese objetivo.

Independencia de la tecnología 

Un escáner DAST debe ser independiente de la tecnología; es decir, debe poder probar aplicaciones de forma eficaz, sin importar los lenguajes de programación o las tecnologías con los que se hayan creado. Esto es especialmente útil en los diversos y complejos entornos de aplicaciones actuales, donde suelen coexistir varios componentes desarrollados por distintos equipos con diferentes lenguajes.

Enfoque en la experiencia del desarrollador

El escáner DAST moderno está diseñado para desarrolladores. Funciona imitando a los hackers, muestra los problemas directamente y puede presentar pruebas de los exploits. Esto hace que las vulnerabilidades sean más concretas para los desarrolladores y les brinda instrucciones personalizadas para corregir los problemas según la pila tecnológica de la aplicación. Este enfoque en información útil y en minimizar los falsos positivos ahorra mucho tiempo y esfuerzo a los desarrolladores, mejora su productividad y refuerza la seguridad de sus aplicaciones.

Integración con las canalizaciones de CI/CD

Snyk API & Web promueve la integración de escáneres DAST en las canalizaciones de CI/CD. Esta integración es fundamental para incorporar la seguridad al proceso de desarrollo y convertir DevOps en DevSecOps. Al personalizar las pruebas y garantizar un entorno dedicado para ellas, DAST puede identificar riesgos y vulnerabilidades en tiempo real, lo que facilita un ciclo de vida de desarrollo más seguro y eficiente.

Detección integral de vulnerabilidades

El escáner DAST está diseñado para identificar una amplia variedad de vulnerabilidades y ofrecer informes detallados y orientación para corregirlas. Una cobertura integral garantiza que las aplicaciones y las API se prueben a fondo.

Reducción de falsos positivos

Una ventaja importante de DAST es su capacidad para reducir los falsos positivos en comparación con otras metodologías de pruebas. Esta precisión al identificar vulnerabilidades reales reduce la carga de los equipos de desarrollo y les permite enfocarse en resolver problemas de seguridad genuinos, en lugar de revisar alertas erróneas.

La filosofía de Snyk API & Web: creado para hoy, renovado para mañana

Cuando empezamos a crear Snyk API & Web, nos enfocamos principalmente en dos problemas. El primero era la cobertura y el segundo, resolver el desafío de los falsos positivos. Nos dimos cuenta de que la única manera de hacer un buen trabajo era crear algo desde cero.

Sabíamos que podíamos lograrlo. Teníamos mucha experiencia en el desarrollo de navegadores, JavaScript y otros lenguajes para páginas web. Aprovechamos esos conocimientos para crear un rastreador sin precedentes en el mercado, que ahora cuenta con el apoyo de la IA.

También tuvimos éxito porque nos enfocamos en resolver uno de los mayores problemas de los escáneres de aplicaciones web: los falsos positivos. Usamos muchas técnicas, desde el análisis heurístico hasta el desarrollo de métodos precisos para detectar vulnerabilidades específicas. También trabajamos para poder explotar de forma segura las vulnerabilidades que encontramos y reunir las pruebas necesarias de que un defecto específico es real. Por ejemplo, cuando detectamos una vulnerabilidad de inyección SQL, contamos con un módulo específico que la usa para conectarse a la base de datos y demostrar que es posible explotarla.

Por último, revisar un producto de evaluación de seguridad cuando sea necesario es fundamental para que siga siendo eficaz y relevante como herramienta de evaluación de aplicaciones web. Y eso es lo que hicimos. Tras unos años de uso, notamos nuevos problemas que afectarían a nuestro rastreador. En lugar de buscar soluciones sobre la base de esos problemas, reconstruimos desde cero una segunda versión del rastreador. Así corregimos lo que queríamos mejorar y pudimos incorporar todo lo que habíamos aprendido durante los primeros años.

Por desgracia, muchos proveedores tradicionales siguen arrastrando los problemas que surgieron cuando crearon sus productos. Con el tiempo, terminan enfrentándose a desafíos estructurales difíciles de resolver.

Para proteger las aplicaciones web modernas, las organizaciones deben elegir un escáner DAST actual y preparado para abordar los riesgos generados por la IA. Debe ser independiente de la tecnología, fácil de usar para desarrolladores e integrarse sin problemas con las canalizaciones de CI/CD. También debe ofrecer capacidades integrales de detección de vulnerabilidades y reducir los falsos positivos de forma eficaz. En conjunto, estas características mejoran las pruebas de seguridad y las hacen más eficaces y acordes con las prácticas de desarrollo modernas.

Pero no tienes que creerme. Sé que tengo un claro sesgo. Puedes ver por ti mismo cómo funciona Snyk API & Web y comprobar lo fácil que es usarlo, la precisión con la que detecta vulnerabilidades y la calidad de sus informes y recomendaciones para corregirlas.