Conferencia CodeSecDays y una cobertura de seguridad más completa con GitGuardian

Como los secretos están presentes en la mayoría de los incidentes de seguridad, Snyk se entusiasma por ser socio de GitGuardian para ayudar a los equipos de desarrollo y seguridad a ampliar sus programas de seguridad y reducir aún más la superficie de ataque de las aplicaciones en cada etapa del ciclo de vida del código a la nube.

Hace poco participamos en la primera conferencia digital de GitGuardian, CodeSecDays, junto con líderes de seguridad de Chainguard, Doppler, Kondukto y otras empresas, quienes compartieron sus perspectivas sobre la firma de software, la seguridad de código abierto y la gestión de secretos. 

Los panelistas imaginan un mundo donde se resuelvan los problemas de seguridad de la cadena de suministro de software 

Una de las sesiones más populares fue el panel moderado por Rachel Stephens, analista de RedMonk. Sonya Moisset, Senior Security Advocate en Snyk, destacó la importancia de eliminar los silos entre los equipos de desarrollo y seguridad de las organizaciones para crear cadenas de suministro de software más seguras. Comentó que es importante explicar cómo las nuevas herramientas de seguridad se integran en los flujos de trabajo y los pipelines de los equipos de desarrollo para reducir las barreras y los obstáculos.  También recalcó que incorporar a los desarrolladores de manera eficaz desde el principio ayuda a impulsar una mayor adopción de las nuevas herramientas. 

Nic Manoogian, ingeniero sénior de software en Doppler, hizo hincapié en facilitarles las cosas a los desarrolladores. Dijo que todas las empresas contratan a personas inteligentes y hábiles con las computadoras. Así que, si les pones obstáculos, encontrarán una manera de evitarlos.  Todos los ingenieros de Doppler reciben capacitación en seguridad, y el equipo de seguridad también entiende que el trabajo del lado del desarrollo debe salir adelante. Considera que los equipos de desarrollo y seguridad pueden tener una relación simbiótica.

Debemos hacer que aprender sobre seguridad sea divertido y ofrecer incentivos a los desarrolladores. La gamificación, los hackatones y las sesiones para corregir errores, donde solucionas vulnerabilidades en un sprint, ayudan a generar conciencia y a corregir problemas en las empresas.”

- Sonya Moisset, Senior Security Advocate en Snyk

Los panelistas también hablaron sobre cómo crear programas de capacitación en seguridad eficaces, cómo sacar el máximo provecho de las herramientas de seguridad y cuáles son los pasos más importantes para mejorar la postura de seguridad de una empresa. 

Para comenzar a proteger la cadena de suministro de software, Kayssar Daher, ingeniero sénior de seguridad en GitGuardian, recomendó empezar poco a poco. Por ejemplo, configurar un registro para los paquetes de Python y analizar si presentan problemas de seguridad. Sonya sugirió trabajar con uno o dos equipos antes de ampliar el programa a cientos de equipos, mientras que Eddie Zane, Staff Developer Relations en Chainguard, dijo que otro buen punto de partida es hacer un inventario de las dependencias que se usan.

“Asisto a muchos eventos. Durante el último año, he visto empresas que jamás habría asociado con el espacio de la cadena de suministro de software. Parece que mucha gente vende una casilla de verificación. Tenemos nuevas regulaciones y órdenes ejecutivas, pero no hay una solución mágica para este problema.”

- Eddie Zane, Staff Developer Relations en Chainguard

Aunque la inteligencia artificial se usa cada vez más en los flujos de trabajo de desarrollo, Sonya señala que debemos tener en cuenta que el código generado por IA también puede incluir vulnerabilidades, al igual que el código que escribimos dentro de una organización. Por eso, es esencial aplicar las mismas herramientas y flujos de trabajo para analizar el código generado por IA y comprobar que no tenga vulnerabilidades de seguridad.  

El iceberg: tu superficie de ataque acaba de crecer

La charla individual de Sonya abordó cómo mitigar los riesgos en tus proyectos de código abierto. Describió los principales desafíos de ciberseguridad, las herramientas del marketplace de GitHub que puedes aprovechar para proteger tu pipeline y las prácticas recomendadas para reforzar la seguridad de tu software de código abierto. Usó la analogía del «iceberg» para describir las capas de una aplicación moderna, como el código de la aplicación, las bibliotecas de código abierto, los contenedores y la infraestructura como código. Aunque solo vemos la punta sobre el agua, las aplicaciones modernas tienen muchas capas que no son visibles de inmediato, pero son esenciales para su funcionamiento. 

La analogía del iceberg resalta la complejidad de las aplicaciones modernas y la importancia de adoptar un enfoque integral para protegerlas. Para garantizar la seguridad de una aplicación, debes tener en cuenta y proteger todas estas capas, incluido el código propietario, las bibliotecas de código abierto, los contenedores y la infraestructura como código.

En su charla, Sonya comienza con algunos de los ataques más comunes contra el software de código abierto, como el typosquatting y la inserción de código malicioso en el software. La accesibilidad del software de código abierto también lo hace vulnerable a los ataques a la cadena de suministro. En el caso de las iniciativas de código abierto, los actores maliciosos pueden introducir vulnerabilidades en el software que se produce, lo que les facilita propagar nuevas amenazas a las empresas que lo usan.

Protege tu pipeline en cada etapa del SDLC

Para combatir estos y otros tipos de ataques, aprovechar las aplicaciones y acciones de seguridad disponibles en GitHub Marketplace ayuda a proteger tu pipeline en cada etapa del ciclo de vida del desarrollo de software. Sonya recomienda que los encargados del mantenimiento y los colaboradores consideren crear un pipeline básico que incluya:

• Una herramienta de análisis de composición de software que se enfoque en identificar el código de código abierto en una base de código, para que los encargados del mantenimiento y los colaboradores puedan gestionar su exposición a problemas de seguridad y cumplimiento de licencias.

• Una herramienta para evitar la dispersión de secretos, es decir, la distribución no deseada de secretos como claves de API y credenciales entre varios sistemas.

• Una herramienta de análisis estático de código, un método de depuración que examina el código fuente antes de ejecutar un programa y lo compara con un conjunto de reglas de codificación.

Luego explora estrategias eficaces para gestionar secretos, como cifrar información confidencial, y cómo usar el análisis estático de código en distintas etapas del ciclo de vida del desarrollo de software, desde las primeras fases de diseño y desarrollo hasta las pruebas y la implementación. Para profundizar en este tema, consulta la «Guía de seguridad del software de código abierto: prácticas recomendadas para proteger tus proyectos» de Sonya.

Si compartes el objetivo de CodeSecDays y te imaginas un mundo sin vulnerabilidades de seguridad, explora aquí la lista completa de videos del evento.  

Comienza a usar Snyk y GitGuardian

Para obtener más información sobre cómo GitGuardian y Snyk pueden ayudarte a desarrollar con mayor seguridad, escríbenos a tapp@snyk.io o programa una demostración con nuestro equipo.