SnykLaunch Oct 2024: experiencia mejorada de PR, mayor visibilidad, seguridad con IA y gestión integral de riesgos

Después de casi una década en el mercado, hemos tenido la oportunidad de ver cómo la industria del desarrollo de software ha cambiado drásticamente. Los desarrolladores trabajan con más componentes que nunca y dependen de tecnologías como recursos de terceros y asistentes de programación con IA para lanzar software sofisticado con plazos ajustados. Aunque llevamos una década hablando de la relación entre desarrollo y seguridad, la conversación sobre DevSecOps ha cambiado bastante.

Por un lado, los equipos de desarrollo necesitan soluciones que funcionen sin problemas en entornos cada vez más complejos. Este nivel de accesibilidad para los desarrolladores debe ir más allá de la capacitación en plataformas o de interfaces de seguridad fáciles de usar; debe ofrecerles maneras de protegerse sin obligarlos a salir de sus flujos de trabajo actuales.

Los equipos de seguridad también deben considerar cómo proteger tecnologías emergentes, como el código generado por IA. El enorme volumen de código generado por IA y sus vulnerabilidades específicas requieren nuevas técnicas. Además, los equipos de seguridad necesitan una visibilidad integral para conocer el estado de seguridad de estos componentes y priorizar las actividades más importantes según el riesgo real para el negocio. Priorizar las vulnerabilidades de forma aislada y con puntuaciones genéricas (por ejemplo, CVSS) ya no funciona cuando hay tantos factores en juego.

Las últimas versiones de los productos de Snyk abordan estos desafíos con nuevas formas de obtener una visión integral de AppSec, priorizar los riesgos, abordar las inquietudes relacionadas con el código generado por IA e integrarse directamente en los flujos de trabajo de los desarrolladores. Sigue leyendo para conocer estas interesantes novedades y ver la presentación completa de DevSecCon a pedido.

Experiencia del desarrollador

La seguridad centrada en los desarrolladores ha sido un pilar de la experiencia de Snyk desde el primer día. Creemos que brindarles a los desarrolladores las herramientas para corregir problemas de seguridad desde sus flujos de trabajo actuales es esencial para las organizaciones de hoy. Cualquier otra opción solo agrega trabajo y dificulta las tareas de los equipos de desarrollo y seguridad. Hoy seguimos construyendo sobre esta idea central con funciones mejoradas para ofrecer una experiencia aún mejor a los desarrolladores. Nuestras novedades incluyen:

Resúmenes de problemas en los comentarios de pull request

Los pull request son un punto estratégico de control en las prácticas de desarrollo seguro. Desde hace un tiempo, ofrecemos pruebas de seguridad en los pull request. Las mejoras en esta área buscan ahorrar tiempo y reducir los cambios de contexto para los desarrolladores. Los PR incluirán aún más información y opciones de acción directamente en el pull request. Para empezar, se mostrarán resúmenes de los problemas de seguridad por gravedad en la plataforma de gestión de configuración de software (SCM).

Plantillas de PR personalizables

Además, ahora puedes personalizar el título y la descripción del PR, así como el mensaje del commit. Cuando Snyk corrige o actualiza tus proyectos de Open Source y Container, crea automáticamente pull request en tu repositorio. Ahora puedes adaptar fácilmente estos PR para que coincidan con los estándares y las preferencias específicas de tu equipo.

¿Qué puedes personalizar?

title

Agregar un prefijo único, como “SNYK:”

commit_message

Personalizar el formato del mensaje del commit para que coincida con las convenciones de tu equipo.

description

Agregar más contexto, enlaces a documentación relevante o incluso una lista de tareas.

Puedes personalizar las plantillas de PR mediante nuestra API o un archivo YAML simple. Los pull request son fundamentales en los flujos de trabajo de los desarrolladores y un punto clave de colaboración con muchos equipos ajenos al desarrollo. Por eso, la información compartida debe estar estandarizada y ser fácil de entender. Las nuevas plantillas de PR personalizables de Snyk permiten adaptar los pull request generados por Snyk a los estándares, las prácticas y las preferencias de comunicación específicas de tu organización. Puedes especificar el título y la descripción, qué detalles de seguridad compartir e incluso la información del ticket de JIRA, para que todo coincida con lo que tus desarrolladores esperan ver en sus PR.

Mayor visibilidad

También estamos mejorando la visibilidad que tienen los líderes de seguridad sobre la postura de riesgo de su organización. Snyk amplió sus funciones de informes y análisis con el lanzamiento de Snyk Analytics. Ofrece las herramientas de análisis de datos y el marco necesarios para medir eficazmente el estado de tu programa de seguridad de aplicaciones en toda la organización y comprender qué estrategias tendrán el mayor impacto en la mejora de la postura de riesgo general. Snyk Analytics ofrece lo siguiente:

• Análisis de desarrolladores para comprender el comportamiento de desplazamiento a la izquierda en todos los equipos

• Análisis de problemas para comprender rápidamente tu exposición general al riesgo y el progreso en su resolución o prevención, mediante el análisis detallado de las métricas más importantes sobre problemas críticos y de gravedad alta

• Análisis de aplicaciones para examinar tendencias de seguridad, como el estado de los problemas abiertos, la cobertura de controles, los metadatos de los repositorios y los activos importados

Como parte del lanzamiento de Snyk Analytics, también presentamos la integración con Snowflake AI Data Cloud, que ayuda a los equipos a incorporar análisis exclusivos de seguridad para desarrolladores de Snyk en los paneles de inteligencia de negocios. Esta nueva integración permite consultar datos de Snyk listos para el análisis junto con los datos de seguridad existentes de otras fuentes en Snowflake, lo que te proporciona el contexto necesario para tomar decisiones integrales y estratégicas.

IA en todas partes

La IA ya es una parte clave de los ciclos de desarrollo actuales y seguirá siendo cada vez más común. Por eso, los desarrolladores necesitan herramientas de seguridad que se adapten a la velocidad y al volumen con que el código generado por IA llega a los repositorios. Si la seguridad los ralentiza, se pierde el propósito de usar IA: acelerar el desarrollo de software y ahorrar tiempo valioso. Mejoramos continuamente nuestras soluciones de seguridad con IA, con lanzamientos recientes como:

Snyk Agent Fix de Snyk Code (ahora disponible de forma general)

Ahora, todos los usuarios de Snyk pueden usar la IA para corregir código generado por IA, lo que permite a los desarrolladores proteger su código generado por IA a máxima velocidad. Nuestro motor DeepCode AI integra varios modelos de IA entrenados con datos específicos de seguridad y aportes de expertos de los principales investigadores de seguridad para seguir el ritmo de las tecnologías emergentes sin inconvenientes. Ofrece una precisión superior al 80 % y se ejecuta con solo dos clics en el IDE.

reachability con IA

También usamos IA para ofrecer reachability precisa. Snyk analiza tu base de código mediante flujos de datos e identifica el 7 % de los problemas a los que llama tu aplicación en vivo, ya sea de forma directa o transitiva. Al centrar los esfuerzos en las vulnerabilidades en producción, ayudamos a los equipos de seguridad a enfocarse en los problemas más importantes y reducir el ruido.

Gestión integral del riesgo de las aplicaciones

A principios de este año, ampliamos aún más nuestro enfoque integral de seguridad para la gestión de riesgos con el lanzamiento de AppRisk Pro. Nuestra perspectiva basada en riesgos permite priorizar de forma más inteligente, para que los equipos se enfoquen en las correcciones más importantes y reduzcan el ruido. En lugar de ofrecer información aislada sobre vulnerabilidades, reunimos todo el contexto de una aplicación, incluida su arquitectura, importancia para el negocio y entorno de ejecución.

Entre las actualizaciones de nuestro enfoque para habilitar la gestión integral del riesgo de las aplicaciones se incluyen:

Puntuación de riesgo

Tiene sentido incluir reachability como un aspecto del riesgo. Sin embargo, enfocarse demasiado en reachability podría hacer que los equipos se centren en problemas que no representan amenazas reales o que pasen por alto problemas de alto riesgo. En definitiva, los equipos necesitan un contexto más amplio de la aplicación, que incluya factores como la arquitectura, el valor para el negocio y el estado en tiempo de ejecución. La puntuación de riesgo de Snyk reúne todas estas dimensiones en un solo valor y ofrece información sobre el riesgo según la probabilidad de explotación y el posible impacto.

Snyk mejoró su puntuación de riesgo para ofrecer a las organizaciones un enfoque más integral y estratégico para gestionar los riesgos de seguridad de las aplicaciones. Una parte central de esta actualización es la integración del análisis de reachability con tecnología de DeepCode AI y otros factores de riesgo para calcular la puntuación de riesgo de Snyk. Esta función identifica funciones vulnerables en paquetes de código abierto que podrían ser explotadas por el código de una aplicación, incluso si se las referencia de manera indirecta. Al ampliar la cobertura de reachability al 90 % de las vulnerabilidades altas y críticas, Snyk permite a las organizaciones abordar de forma proactiva posibles amenazas de seguridad. Combinar reachability con otros factores de riesgo, como las puntuaciones de EPSS, la popularidad de los paquetes y varios más, facilita identificar qué problemas representan el mayor riesgo.

AppRisk Essentials

Hace poco ampliamos Snyk AppRisk Essentials y sus funciones de descubrimiento de aplicaciones y gestión de cobertura para incluirlas sin costo adicional para todos los clientes de Snyk Enterprise. Estas herramientas permiten a los equipos tener una mejor visibilidad de los activos que usan para crear sus aplicaciones y emplear políticas para gestionar automáticamente los activos y su cobertura con Snyk.

Integraciones en todo el ecosistema de DevSecOps

También estamos ampliando considerablemente las funciones de nuestra solución de gestión de la postura de seguridad de las aplicaciones (ASPM), Snyk AppRisk. Todos los usuarios de AppRisk Pro ahora tienen acceso a nuevas integraciones de terceros, entre ellas:

• Sistemas de SCM, como GitHub, Bitbucket, Azure DevOps y GitLab

• Plataformas internas para desarrolladores (IDP) y catálogos de servicios, como Backstage, ServiceNow CMDB, Atlassian Compass, Harness y OpsLevel

• Herramientas de observabilidad, como Dynatrace y Datadog

• Soluciones de seguridad en la nube y en tiempo de ejecución, como Sysdig, Orca, SentinelOne y Crowdstrike.

Estas nuevas asociaciones permitirán a los usuarios trabajar con una visión aún más completa del contexto de las aplicaciones y gestionar los riesgos de seguridad con mayor precisión y eficiencia.

Mira las últimas presentaciones de DevSecCon

El equipo de Snyk está entusiasmado con las novedades en priorización basada en riesgos, seguridad de IA y flujos de trabajo centrados en los desarrolladores. Nos enorgullece seguir ayudando a los equipos a desarrollar con rapidez y mantener la seguridad.

Conoce más sobre estas mejoras al ver la presentación completa de DevSecCon a pedido.