Repaso del tercer trimestre de 2020: Snyk y DeepCode, prácticas recomendadas de seguridad para Angular y más
30 de diciembre de 2020
0 minutos de lecturaYa llegamos a julio, agosto y septiembre en nuestra serie de publicaciones, en la que repasamos el año y destacamos algunos de los momentos más importantes de cada trimestre. Antes escribimos sobre el primer y el segundo trimestre, y repasamos una ronda de financiación para Snyk, así como el ecosistema JVM y los informes sobre el estado de la seguridad del código abierto. En el tercer trimestre, destacamos algunas de las noticias clave que marcaron esos meses, incluida otra ronda de financiación, el anuncio de una biblioteca maliciosa importante y una adquisición. ¡Qué trimestre!
TAMBIÉN TE PUEDE INTERESAR: Repaso del primer trimestre de 2020 — Informe sobre el ecosistema JVM, perspectivas de DevSecOps y más
Agosto de 2020: SourMint: código malicioso, fraude publicitario y filtración de datos en iOS
En agosto, Alyssa Miller publicó un artículo en el blog para anunciar la investigación que el equipo de investigación de seguridad de Snyk llevó a cabo incansablemente para descubrir comportamientos maliciosos de Mintegral, una empresa china de publicidad móvil. Danny Grander y Kirill Efimov lideraron esta investigación, que demostró que el código malicioso podía espiar la actividad de los usuarios al registrar las solicitudes basadas en URL que se hacían desde la aplicación. Además, este SDK reportaba de forma fraudulenta los clics de los usuarios en anuncios, robando posibles ingresos a las redes publicitarias de la competencia y, en algunos casos, al desarrollador o editor de la aplicación. A continuación, se muestra una demostración de este código malicioso en acción:
Al momento de escribir esta publicación, el equipo solo había encontrado código malicioso en la versión para iOS del SDK de Mintegral. Sin embargo, más adelante se descubrió que también había código malicioso en la distribución para Android, lo que provocó más filtraciones de datos. También se descubrió que la distribución para iOS incluía una vulnerabilidad de ejecución remota de código, detallada en un artículo del blog escrito por Danny y Alyssa. El equipo volvió a demostrar esta ejecución remota de código en un video que puedes ver a continuación:
TAMBIÉN TE PUEDE INTERESAR: Repaso del segundo trimestre de 2020: Informe sobre el estado de la seguridad del código abierto, DevSecOps Hub y más
Septiembre de 2020: Snyk recauda 200 millones de dólares para modernizar la industria de la seguridad
En septiembre, Peter McKay, CEO de Snyk, anunció el cierre de nuestra más reciente ronda de financiación: una inversión de 200 millones de dólares. Hay un par de aspectos importantes que destacar de esta ronda. Primero, ¡vaya, es mucho dinero! Y nos da la flexibilidad y la oportunidad de acelerar nuestra visión de priorizar a los desarrolladores y ofrecer seguridad para aplicaciones nativas de la nube. Segundo, es un testimonio del arduo trabajo de todas las personas de Snyk que, durante los años más difíciles e inesperados de nuestras vidas, logramos aumentar los ingresos un 275 %, incrementar el personal un 100 % y alcanzar una valoración de más de 2600 millones de dólares. Estas cifras me parecen sencillamente impresionantes. Cuando me uní a Snyk, hace casi tres años, recuerdo que pensé que la empresa tenía un gran potencial, pero no imaginaba que crecería tan rápido, maduraría con tanta velocidad y se convertiría en el líder del mercado que vemos hoy. Ahora miro a Snyk y a su potencial, y me cuesta expresar con palabras el impulso, la mentalidad y la visión del equipo. Por cierto, estamos contratando y definitivamente deberías considerar unirte a la familia Snyk para ser parte de nuestro recorrido.
Septiembre de 2020: Aceleramos nuestra visión centrada en los desarrolladores con DeepCode
También en septiembre, Peter McKay anunció un acuerdo para adquirir DeepCode, una empresa derivada de ETH Zúrich fundada por destacados investigadores en aprendizaje automático y lenguajes de programación. Cuando se hizo el anuncio, explicamos cómo el motor de IA de DeepCode ayudaría a Snyk a aumentar la velocidad y alcanzar un nuevo nivel de precisión para detectar y corregir vulnerabilidades, mientras aprende continuamente de la Snyk Vulnerability Database para volverse más inteligente. Esta historia también tenía otra sorpresa, que no anunciamos hasta la primera conferencia SnykCon, en octubre: el anuncio de un nuevo producto SAST. Pero tendrás que esperar a la próxima publicación, donde repasaremos las publicaciones de octubre, noviembre y diciembre, para conocer los detalles. ¡NO ARRUINEMOS LA SORPRESA!
Antes de la adquisición, DeepCode se enfocaba más en el análisis de la calidad del código, que utiliza un motor de análisis de código con reglas de control de calidad. Es importante destacar que esta tecnología analiza el código entre 10 y 50 veces más rápido que las alternativas, lo que permite flujos de trabajo en tiempo real durante el proceso de desarrollo. Es una gran mejora y un paso adelante, ya que en la primera publicación de esta serie vimos que uno de cada dos desarrolladores (48 %) considera que la seguridad es una gran limitación para entregar software rápidamente. Todo lo que acelere este proceso e integre la seguridad sin fricciones en el flujo de trabajo y el pipeline de desarrollo representa un gran avance.
Una vez más, había muchas publicaciones entre las que podíamos elegir y queríamos incluir más. Sin embargo, no queríamos que este artículo se convirtiera en un informe, así que aquí tienes algunas menciones destacadas que no queríamos dejar fuera. Brian Vermeer hizo un gran trabajo creando insignias de seguridad de Snyk para que los responsables de mantenimiento las agreguen con orgullo a sus repositorios o sitios web, y así mostrar a su comunidad que se preocupan por la seguridad y trabajan arduamente para reducir los riesgos. También se publicó un nuevo informe ESG que destacó varios de los problemas de seguridad que Snyk busca abordar, como la adopción por parte de los desarrolladores y la mitigación de problemas. Las organizaciones grandes suelen tener extensas listas de vulnerabilidades y deben priorizarlas para enfocarse primero en las amenazas más importantes y reducir los riesgos lo mejor posible. Daniel Berman escribió una excelente guía rápida para priorizar tu lista de vulnerabilidades, que considera muchos factores, como la gravedad, la posibilidad de explotación y el reachability del código vulnerable. Por último, aunque no por eso menos importante, Liran Tal publicó una de nuestras guías rápidas más populares sobre prácticas recomendadas de seguridad para Angular, con seis prácticas recomendadas de seguridad para crear aplicaciones de Angular.
¡Gracias por leer! La próxima vez repasaremos las publicaciones que lanzamos en el cuarto y último trimestre de 2020.
