Resumen del cuarto trimestre de 2020: ejecución remota de código en iOS, SAST para desarrolladores y más
31 de diciembre de 2020
0 minutos de lecturaEn esta cuarta entrega del resumen anual del blog de Snyk, repasaremos algunos de los anuncios y noticias más importantes que publicamos en el blog durante octubre, noviembre y diciembre, con los que cerramos un año lleno de contenido. Antes destacamos tres publicaciones de cada trimestre, con temas que van desde las prácticas recomendadas de Angular hasta dos rondas de financiamiento y una adquisición. ¡Vaya año! Empezaremos con una publicación que adelantamos en la entrega anterior.
TAMBIÉN TE PUEDE INTERESAR: Resumen del primer trimestre de 2020: informe del ecosistema JVM, perspectivas de DevSecOps y más
Octubre de 2020: SourMint: ejecución remota de código en iOS, hallazgos en Android y respuesta de la comunidad
Como mencionamos en la publicación del tercer trimestre, hubo dos divulgaciones a raíz de que detectamos actividad sospechosa del SDK de Sourmint en las plataformas iOS y Android. Al principio, nuestra primera publicación del blog, en agosto, solo detallaba el comportamiento malicioso que detectamos en la versión para iOS del SDK, relacionado principalmente con el fraude publicitario y las filtraciones de datos. Sin embargo, en octubre divulgamos nuevos hallazgos que demostraban que era posible ejecutar código de forma remota en iOS mediante banners publicitarios o por parte de Mintegral. Además, también se descubrió que el SDK para Android contenía código malicioso que podía filtrar datos sensibles. Esto se muestra en el siguiente video:
El blog cubrió las notables reacciones de la comunidad, entre ellas la decisión de algunas plataformas de monetización, como MoPub, de incluir a Mintegral como una red obsoleta y recomendar que se “elimine de todos los segmentos de inventario y grupos de anuncios”. Singular, un proveedor de medición móvil (MMP), analizó el comportamiento y encontró indicios de actividad de secuestro de clics en algunas redes basadas en SDK. También comparó la tasa de actividad sospechosa antes y después de nuestra publicación.
Octubre de 2020: Presentamos SAST para desarrolladores con Snyk Code
En la publicación anterior, adelantamos el nuevo producto SAST de Snyk, diseñado primero para desarrolladores y llamado Snyk Code. Sin embargo, cuando anunciamos la adquisición, aunque muchos acertaron al deducir que ese era nuestro propósito, todavía no lo habíamos hecho público por completo. En nuestro primer evento SnykCon, durante el discurso inaugural, Guy Podjarny habló del nuevo producto como un padre orgulloso. “¿Qué es SAST?”, te preguntarás. Bueno, para el desarrollador promedio quizá no sea un término conocido. SAST significa pruebas de seguridad estáticas de aplicaciones y es un tipo de prueba que permite identificar vulnerabilidades en el código de tu aplicación. Se diferencia de las pruebas de análisis de composición de software, o SCA, que detectan vulnerabilidades conocidas en las dependencias que usa tu aplicación. Analizar tanto el código de tu aplicación como sus dependencias es un enfoque complementario que brinda una cobertura de seguridad mucho mejor para toda la aplicación.
Sin embargo, no deberíamos limitarnos a estas pruebas, sobre todo si tenemos en cuenta la arquitectura y el desarrollo de las aplicaciones modernas. Si estás creando una aplicación nativa de la nube, lo más probable es que también escribas Dockerfiles, que describen el contenedor donde se implementará tu aplicación, así como infraestructura como código para implementar y configurar su entorno. El desarrollador que escribe y mantiene este código y esta configuración debe tener todo esto en cuenta. Una verdadera plataforma de aplicaciones nativas de la nube debe probar no solo el código de la aplicación y sus dependencias, sino también las dependencias de los contenedores y las configuraciones predeterminadas inseguras en los scripts de infraestructura como código. Si te resulta familiar esta descripción de tus entornos de desarrollo, te recomendamos que conozcas las herramientas de Snyk, que cubren tus necesidades de seguridad en todos estos aspectos de las aplicaciones nativas de la nube.
TAMBIÉN TE PUEDE INTERESAR: Resumen del tercer trimestre de 2020: Snyk y DeepCode, prácticas recomendadas de seguridad para Angular y más
Octubre de 2020: resúmenes del día 1 y el día 2 de SnykCon
Las últimas publicaciones que destacaremos en el resumen de 2020 tratan sobre nuestro evento SnykCon. De hecho, son resúmenes del evento que aparecen en este blog, otro resumen en sí. En SnykCon hubo muchos anuncios excelentes; algunos ya los mencionamos, incluido, por supuesto, el anuncio del producto Snyk Code. Hubo un anuncio que, creo, nos hizo sentir a muchos muy orgullosos de ser parte de Snyk: anunciamos que habíamos obtenido la certificación CarbonNeutral® conforme a The CarbonNeutral Protocol, la principal guía internacional de sostenibilidad. Mediante una combinación de iniciativas para mejorar la eficiencia de la organización, proyectos externos de reducción de emisiones e inversiones en energía renovable, trabajaremos para compensar nuestra huella de carbono de 2400 toneladas métricas. Este es un momento crucial: no basta con hablar en serio de estos problemas que nos afectan a todos; también hay que actuar. Me alegra trabajar en una empresa que no solo se toma esto en serio, sino que además cuenta con la certificación oficial CarbonNeutral.
También se habían agregado muchas funciones nuevas y excelentes al producto. Una que me llamó la atención y que siempre despierta mucho interés entre los desarrolladores es la posibilidad de detectar Dockerfiles directamente en repositorios de código fuente, como GitHub. Este es un paso muy importante para fomentar la adopción de las pruebas de seguridad entre los desarrolladores, ya que permite integrar los análisis y las pruebas de seguridad en sus herramientas y facilita el acceso a ellos.
Otro anuncio estratégico y muy importante, presentado conjuntamente por Peter McKay, CEO de Snyk, y Scott Johnston, CEO de Docker, fue la alianza entre ambas compañías. Anunciaron que Snyk es ahora el proveedor exclusivo de información de seguridad para las imágenes oficiales de Docker y otros programas futuros de certificación de contenido. Johnston explicó que la información de seguridad de Snyk es un punto de control esencial para ayudar a los desarrolladores a verificar que las imágenes estén bien mantenidas y sean seguras.
En SnykCon se grabó mucho más contenido excelente, así que te recomiendo que veas los videos disponibles en el sitio de Snyk.
Como en publicaciones anteriores, hay varios temas que no llegaron a formar parte de los momentos destacados que seleccionamos, pero eso no significa que no valga la pena conocerlos. Entre ellos está la integración de Snyk en la popular plataforma generadora de aplicaciones JHipster. También lanzamos una comunidad de desarrolladores de Snyk con un diseño renovado, disponible en https://community.snyk.io. Después de nuestra guía rápida de prácticas recomendadas de seguridad para Angular, también publicamos una para el framework React. Y, por último, aunque no menos importante, actualizamos nuestra popular guía rápida de Snyk CLI con novedades que incluyen la compatibilidad con contenedores.
Con esto, te deseamos un fin de año seguro y feliz. ¡No te pierdas más contenido excelente en el blog de Snyk en 2021!
