Prioriza con la experiencia de vulnerabilidades de código abierto de Snyk

No siempre es fácil priorizar qué vulnerabilidades corregir en tu aplicación. ¿Es explotable? ¿Es alcanzable? ¿La actualización introducirá cambios incompatibles? ¿Hay otros equipos que usen esta biblioteca que debas tener en cuenta? ¿Cómo está el backlog si es necesario hacer otros cambios? 

Y eso es solo esta semana. La próxima semana, será lo mismo otra vez, con nuevos hallazgos, nuevas versiones y quizá incluso una nueva brecha de ciberseguridad.

Históricamente, la comunicación y la priorización entre los equipos de AppSec y los desarrolladores de aplicaciones se han centrado en vulnerabilidades individuales. Probablemente hayas escuchado (o incluso dicho) algo como esto:

«Snyk dice que esta biblioteca tiene una vulnerabilidad crítica. Deberíamos actualizar a la versión recomendada para corregirla».

Francamente, no es una mala manera de hablar sobre la seguridad de las aplicaciones. Los equipos deberían procurar eliminar las vulnerabilidades de alto riesgo de su código. La mayoría de las opciones de personalización, controles e informes de Snyk se basan en la evaluación de cada vulnerabilidad que detecta nuestra plataforma. Fomentamos este comportamiento.

Pero ¿y si hubiera otra manera de pensar en la corrección de vulnerabilidades?

Creemos que debería haberla. Por eso presentamos una nueva vista predeterminada para nuestra lista de vulnerabilidades, centrada en las bibliotecas y no en las vulnerabilidades individuales. Así es más fácil entender el valor y el impacto global de cada posible actualización.

¿Qué novedades hay en la interfaz de usuario de Snyk?

La nueva vista de la interfaz de usuario de Snyk agrupa todas las vulnerabilidades por dependencia y por las versiones que las corrigen. Ya no tendrás que conformarte con actualizar a la versión mínima posible. En su lugar, podrás analizar realmente los costos y beneficios de las vulnerabilidades que puedes corregir con cada actualización.

En nuestras pruebas internas, descubrimos que a los desarrolladores les resulta más gratificante resolver problemas desde esta vista. Como resultado, corrigen más problemas sin mucho esfuerzo adicional. Si pudieras resolver tres vulnerabilidades de gravedad media más con solo actualizar a la siguiente versión menor, ¿no lo considerarías al menos?

Este tipo de conversaciones simplemente no eran posibles con la vista anterior.

Esta nueva vista también permite comparar las actualizaciones de bibliotecas para maximizar el impacto de tu equipo de desarrollo. Por ejemplo, si dos bibliotecas tienen vulnerabilidades de gravedad similar, pero al actualizar una también corriges otros siete problemas que no se resolverían con la otra, ¿cuál corregirías? Antes, probablemente habría sido cuestión de suerte. Ahora, puedes tomar una decisión bien fundamentada y con una perspectiva integral.

Un flujo de trabajo de PR en evolución

Una vez que hayas decidido a qué versión quieres actualizar, Snyk hace que crear un PR específico sea más fácil que nunca. En la vista anterior, Snyk solo mostraba una lista completa de vulnerabilidades con casillas ya seleccionadas, por lo que era difícil entender y personalizar los cambios incluidos en el PR. La nueva vista te permite entender y personalizar fácilmente las actualizaciones que se aplicarán: con un clic confirmas la versión a la que quieres actualizar y, con un segundo clic, creas un PR de corrección que hace referencia a todas las vulnerabilidades que resuelve la actualización. Tener esta información directamente en el PR ofrece visibilidad crucial para otras personas de tu organización.

¡Pruébala!

Esta experiencia está disponible en todos los proyectos de Snyk que usan Maven, .NET, npm, Python, Ruby o Yarn. Para verla, solo tienes que ir a un proyecto de tu organización. Al abrirlo, verás la nueva vista que agrupa las dependencias.

¡Felices correcciones!