Encuesta sobre el estado de la seguridad del código abierto: 2020

En Snyk, la seguridad del código abierto nos apasiona. Desde 2017, cada año publicamos nuestro informe anual Estado de la seguridad del código abierto. En este informe, analizamos las tendencias actuales en seguridad del código abierto y cómo las organizaciones gestionan las vulnerabilidades en su software de código abierto y sus tecnologías nativas de la nube. Como parte de nuestra investigación, acudimos a la comunidad para conocer sus perspectivas mediante nuestra encuesta sobre el estado de la seguridad del código abierto. Hace poco lanzamos la encuesta de 2020 y queremos conocer tu opinión.

Tus respuestas a esta encuesta nos ayudan a comprender mejor los desafíos que enfrenta nuestra comunidad y orientan nuestra investigación. Junto con los datos que recopilamos y analizamos en nuestras plataformas y en las de nuestros socios, publicaremos nuevamente este informe gratuito para la comunidad. Este año ampliaremos nuestro enfoque para obtener más detalles sobre tecnologías nativas de la nube, como contenedores, herramientas de orquestación e infraestructura como código.

Seguridad del código abierto en 2019

En nuestro informe de 2019, analizamos en detalle las tendencias de distintos ecosistemas de desarrollo y sus implicaciones para la seguridad. Nuestra investigación arrojó muchos hallazgos importantes, pero algunos puntos clave destacaron especialmente. Estos son algunos de los principales descubrimientos de 2019 que planeamos seguir monitoreando en nuestro informe de 2020.

Vulnerabilidades conocidas

Uno de los datos clave que investigamos para nuestro informe de 2019 fue el volumen de vulnerabilidades de seguridad reportadas en varios ecosistemas. Al analizar las bibliotecas de aplicaciones en PyPi, Golang, npm, Maven Central y PHP Packagist, descubrimos que, entre 2017 y 2018, las vulnerabilidades aumentaron casi un 88 %. En particular, PHP registró un aumento significativo en el ritmo de las vulnerabilidades reportadas en 2018.

Al analizar las vulnerabilidades, no solo queremos conocer su número total, sino también su nivel de gravedad. Entre 2017 y 2018 observamos una tendencia algo alentadora: la proporción de vulnerabilidades reportadas de gravedad alta frente a las de gravedad media se inclinó hacia las de gravedad media, que representan un riesgo menor.

Seguridad de contenedores

Como parte de nuestro informe de 2019, empezamos a analizar algunas de las principales tendencias de vulnerabilidades en imágenes de contenedores. Revisamos las vulnerabilidades conocidas en las bibliotecas del sistema de algunas de las imágenes más populares de Docker Hub. Descubrimos que el número promedio de vulnerabilidades era bastante alto y que, en particular, las bibliotecas de Node.js incluidas en estas imágenes solían presentar muchas vulnerabilidades. Si hubo algo positivo, fue que el 44 % de las vulnerabilidades se podía corregir cambiando la imagen base por una versión menos vulnerable.

Tiempo de corrección

Otro elemento clave para comprender el estado general de la seguridad en el ecosistema de código abierto es saber cuánto tardan los mantenedores en abordar las vulnerabilidades reportadas y ofrecer una solución. Al analizar algunos de los paquetes más populares de npm, descubrimos que el tiempo de corrección oscilaba entre 289 y más de 2,000 días.

Planes para el informe de 2020

Los hallazgos de 2019 fueron muy interesantes y, en algunos casos, reveladores. Para el informe de este año, queremos seguir monitoreando las tendencias de muchos de los aspectos clave del informe de 2019, pero también planeamos ampliar nuestro análisis. En nuestra encuesta, incluimos más preguntas para comprender cómo las organizaciones fomentan una cultura DevSecOps y gestionan la seguridad del software de código abierto, los contenedores y la orquestación.

Desde la perspectiva de la investigación de datos, ampliaremos las lecciones aprendidas en el informe de 2019 para recopilar aún más información sobre vulnerabilidades en los distintos ecosistemas. Profundizaremos en los datos que, en última instancia, nos ayudarán a responder la pregunta: ¿está mejorando la seguridad del código abierto? Al combinar esta información con los resultados de la encuesta, obtendremos una visión completa del ecosistema de código abierto que ayudará tanto a los mantenedores como a las organizaciones a planificar mejor sus iniciativas de seguridad.

Para ayudarnos, responde la encuesta aquí.