Ampliamos la seguridad para desarrolladores con pruebas dinámicas que priorizan a los desarrolladores

Hoy anunciamos la emocionante noticia de que Snyk adquirió Probely, un proveedor moderno de rápido crecimiento de pruebas de seguridad de API y pruebas dinámicas de seguridad de aplicaciones (DAST). Con esta incorporación, Snyk ofrece ahora una gama completa de soluciones de seguridad para el desarrollo y las aplicaciones, y sus clientes se benefician de inmediato de una mayor variedad de técnicas de pruebas fáciles de usar para los desarrolladores.

La creciente importancia que empresas de todo tipo y tamaño atribuyen a las aplicaciones accesibles desde la web ha consolidado aún más las pruebas de API y el «DAST moderno» como un pilar fundamental de los programas de seguridad de aplicaciones. La «economía de las API» y la era de la IA generativa han acentuado esta tendencia, de modo que la protección de las API expuestas como parte de la funcionalidad de los modelos de lenguaje de gran tamaño (LLM) seguirá impulsando la creciente demanda de pruebas de API y aplicaciones web.

Una extensión natural del portafolio de Snyk… sin dejar de priorizar a los desarrolladores

Como somos líderes consolidados en seguridad de aplicaciones, quizá no sorprenda que Snyk haya decidido entrar en los mercados de pruebas de seguridad de API y DAST. Sin embargo, te cuento que este paso se ha debatido durante mucho tiempo en Snyk y que, en muchas ocasiones, se determinó que no era la decisión adecuada para nosotros. Durante mucho tiempo, las soluciones dinámicas de pruebas de aplicaciones y API solían ubicarse «más a la derecha», mientras que Snyk siempre se ha enfocado, desde el punto de vista filosófico, en facilitar una mentalidad y un modelo de «desplazamiento a la izquierda». Nuestro compromiso con la seguridad para desarrolladores impulsó esta mentalidad, centrada en adelantar los controles dentro del ciclo de vida de desarrollo de software (SDLC) y, al mismo tiempo, garantizar un enfoque que priorice a los desarrolladores y minimice las interrupciones en su flujo de trabajo. Mediante alianzas e integraciones con proveedores de soluciones DAST, apoyamos a los clientes que con razón querían incluir esta categoría de pruebas en su programa de seguridad de aplicaciones (AppSec), pero en general veíamos una falta de alineación con nuestra misión y nuestra esencia.

Bueno, un par de cosas han cambiado esa perspectiva. Primero, surgió una nueva categoría de soluciones DAST modernas que, gracias a su integración con pipelines de CI/CD mediante la CLI, han logrado adelantar las pruebas en el proceso de desarrollo. El segundo factor es nuestra propia perspectiva sobre la relación entre DAST y la seguridad para desarrolladores. Históricamente, no considerábamos que DAST formara parte de este enfoque porque se veía principalmente como una herramienta de «desplazamiento a la derecha», que no estaba alineada con el requisito de priorizar a los desarrolladores. Sin embargo, en los últimos años hemos puesto más énfasis en la colaboración entre los equipos de desarrollo y seguridad como parte de la seguridad para desarrolladores. Desde esta perspectiva, una herramienta de pruebas dinámicas de seguridad que realmente pueda satisfacer los requisitos de un enfoque centrado en los desarrolladores encaja claramente con nuestra misión.

Otro factor importante, no solo para entrar en estos mercados, sino también para priorizar a Probely como objetivo de adquisición, es la tendencia mencionada de las API como impulsoras de la creación de nuevas aplicaciones basadas en LLM en la era de la IA generativa. A medida que los modelos de IA se vuelven más sofisticados y los desarrolladores los integran cada vez más en las aplicaciones, aumenta la dependencia de las API para acceder a los datos y procesarlos. Esta interconexión crea nuevos vectores de ataque para actores maliciosos, por lo que es fundamental proteger las API frente a posibles amenazas. Al incorporar pruebas de seguridad de API a nuestro portafolio, podemos ayudar mejor a los clientes a detectar amenazas basadas en LLM, proteger sus modelos y datos, y desarrollar aplicaciones con IA con confianza.

En conjunto, estos factores permiten integrar ahora las pruebas dinámicas de API y aplicaciones web de manera más completa en el modelo de seguridad para desarrolladores y ayudar a superar algunos de los desafíos de adopción del pasado, siempre que se utilice la tecnología adecuada.

DAST que realmente prioriza a los desarrolladores

Conocimos al equipo de Probely y exploramos su tecnología cuando buscábamos una solución propia de pruebas dinámicas de API y aplicaciones para nuestro equipo de seguridad de productos. Como parte de nuestra preparación para obtener la autorización FedRAMP, quisimos ir más allá del uso interno de Snyk, que nos ayudaba a eliminar problemas de seguridad de aplicaciones antes de la implementación, y atender las necesidades específicas de los auditores que exigían pruebas dinámicas. Estábamos evaluando herramientas DAST heredadas, pero decidimos analizar también Probely. De inmediato nos impresionaron la precisión de los resultados, la facilidad de uso de la herramienta y la reducción de falsos positivos que nuestro equipo de seguridad de productos tendría que gestionar.

Durante el proceso conocimos al equipo y, además de los resultados, quedó claro que las filosofías que han guiado su hoja de ruta de innovación dieron lugar a un proveedor de pruebas dinámicas de API y web que realmente prioriza a los desarrolladores.

Al reconocer que una solución con baja adopción aporta mucho menos valor, el equipo de Probely se propuso desde el primer día garantizar que su tecnología minimizara el impacto y las distracciones para los desarrolladores. Probely lo consigue de tres maneras fundamentales. Primero, al ofrecer una de las tasas de falsos positivos más bajas de la industria (alrededor del 0,1 %), se asegura de que los desarrolladores solo tengan que corregir problemas que representan un riesgo real para la seguridad de las aplicaciones. Segundo, Probely ofrece una implementación y una experiencia de usuario muy sencillas, que reducen la carga cognitiva de aprender a usar nuevas herramientas o pasar a las pruebas dinámicas. Por último, Probely sigue un modelo de desarrollo centrado en las API y habilita funciones mediante la CLI para admitir el análisis DAST automatizado en los pipelines de CI/CD. También creó una API muy robusta que simplifica las integraciones con distintas herramientas para desarrolladores, incluidas las soluciones de seguimiento de problemas, y se adapta aún más a los flujos de trabajo existentes.

Como parte de nuestro proceso de evaluación, recurrimos a nuestro socio de diseño de confianza, a clientes y a algunas de las instituciones financieras y empresas minoristas más grandes del mundo. Compartimos tiempo con clientes de Snyk y Probely y, a través de todas estas conversaciones sobre Probely y sus capacidades, supimos que habíamos encontrado una capacidad de seguridad de aplicaciones necesaria, ofrecida con sencillez y madurez empresarial, pero también con la sensibilidad hacia los desarrolladores de la que nos enorgullecemos.

Naturalmente, cuando adquieres una empresa de tecnología, incorporas mucho más que solo la tecnología. Aunque la tecnología de Probely nos entusiasmó por su valor actual y potencial a futuro, también nos entusiasmó por igual su equipo, y nos alegra darle la bienvenida a la familia de Snyk. Cabe destacar que ambos fundadores de Probely trabajaron en seguridad y usaron herramientas de seguridad como desarrolladores; esa experiencia los llevó a crear una solución de pruebas dinámicas que prioriza a los desarrolladores. Entienden que la seguridad de las aplicaciones es un «deporte de equipo» entre desarrollo y seguridad, y crearon su producto pensando en lo que les habría gustado usar al dirigir equipos de seguridad.

El siguiente paso hacia la gestión de riesgos de aplicaciones

Otra consideración importante al evaluar la oportunidad que representan los mercados de DAST y API ha sido cómo se ajustan a largo plazo a nuestra misión y a nuestro enfoque futuro. Según las conversaciones con los clientes, está claro que, al igual que con SAST y SCA, los problemas que detecta DAST terminan siendo responsabilidad de los desarrolladores, mientras que los equipos de seguridad los gestionan mediante políticas y, cada vez más, con un enfoque basado en el riesgo. Además, la seguridad de las API es claramente responsabilidad de la seguridad de aplicaciones. Por estos motivos, es difícil decir que estamos cumpliendo nuestra misión de «permitir que las organizaciones desarrollen rápido y se mantengan seguras» si no ofrecemos visibilidad y cobertura en estas áreas, cuya importancia crece enormemente.

Como probablemente sabes, el año pasado lanzamos funciones de ASPM como parte de Snyk Platform para priorizar según cada aplicación y el riesgo. La respuesta a esta nueva oferta ha sido extraordinaria, al igual que a su capacidad para ofrecer visibilidad consolidada sobre los activos y la cobertura de seguridad en todos los portafolios de aplicaciones. Las capacidades de descubrimiento y cobertura de Probely encajan perfectamente con esta evolución, ya que los equipos de seguridad de aplicaciones buscan visibilidad sobre los activos relevantes para el dominio DAST, incluidas las aplicaciones de una sola página, las API y los dominios web. Quieren saber qué activos existen y evaluar y monitorear los riesgos presentes en sus versiones de producción, igual que hacen antes de la implementación mediante SAST y SCA.

Esta adquisición también amplió nuestro portafolio para incluir la gestión de la superficie de ataque externa (EASM). Todos sabemos que para un programa de seguridad de aplicaciones es fundamental entender claramente cuál es la superficie de ataque. Pero es más fácil decirlo que hacerlo. Con el lanzamiento de Discovery a principios de este año, Probely puede ayudar a las organizaciones a encontrar, gestionar y priorizar su inventario de API y aplicaciones web para descubrir toda su superficie de ataque externa. Discovery lo consigue al detectar automáticamente, sin ser intrusivo, los servicios y las aplicaciones que se ejecutan en la infraestructura de los clientes.

Por su amplitud y su enfoque en desafíos cada vez más importantes, vemos un enorme potencial para agregar valor a nuestros clientes a medida que integramos gradualmente la tecnología de Probely en Snyk Platform y avanzamos en nuestro objetivo de ofrecer una priorización líder en la industria y permitir una gestión integral del riesgo de las aplicaciones.

Snyk + Probely = valor inmediato y un camino que continúa

Hoy comienza la integración de este nuevo conjunto de capacidades en nuestro portafolio, y nos entusiasma mucho empezar a compartir nuestros planes contigo. Ya vemos una gran sinergia y esperamos que crezca aún más con el tiempo. También queremos compartir nuestros planes y explorar cómo incorporar DAST a tu experiencia con Snyk aportará valor e impacto inmediatos a tus programas de seguridad de aplicaciones.

Si quieres conocer más sobre este emocionante paso para Snyk, te invito a registrarte en nuestro próximo seminario web, el 9 de diciembre a las 11:30 a. m., hora del este (ET). Lo presentaré junto con Nuno Loureiro, ex director ejecutivo de Probely. Hablaremos sobre lo que nos dicen los clientes acerca de la creciente importancia de las pruebas de seguridad de API, lo que implica crear un DAST «moderno» que también priorice de verdad a los desarrolladores, y la relación entre los desafíos cada vez mayores de la seguridad de aplicaciones web y API y el potencial de la priorización basada en riesgos.