Retrospectiva do 4º trimestre de 2020 — execução remota de código no iOS, SAST para desenvolvedores e mais

Nesta quarta parte da retrospectiva anual do Snyk Blog, vamos abordar alguns dos principais anúncios e notícias publicados no blog em outubro, novembro e dezembro, encerrando um ano de conteúdo. Já destacamos três artigos de cada trimestre, que vão de boas práticas para Angular a duas rodadas de investimento e uma aquisição — este ano já foi e tanto! Vamos começar com um artigo que mencionamos de passagem na publicação anterior.

VEJA TAMBÉM: Retrospectiva do 1º trimestre de 2020 — relatório do ecossistema JVM, insights sobre DevSecOps e mais

Outubro de 2020: SourMint: execução remota de código no iOS, descobertas no Android e resposta da comunidade

Como mencionamos no artigo sobre o terceiro trimestre, fizemos duas divulgações após detectar atividades suspeitas do SDK Sourmint nas plataformas iOS e Android. Inicialmente, nosso primeiro artigo sobre o assunto, publicado em agosto, detalhava apenas o comportamento malicioso que encontramos na versão do SDK para iOS, relacionado principalmente a fraudes em anúncios e vazamento de dados. Em outubro, porém, divulgamos novas descobertas que mostraram que era possível executar código remotamente no iOS, em um ataque que poderia ser explorado por banners de anúncios ou pela própria Mintegral. Além disso, também encontramos código malicioso no SDK para Android, capaz de vazar dados confidenciais. O vídeo abaixo demonstra esse comportamento:

Play Video: Malicious Mintegral SDK Leaks Data on Android

O artigo abordou as reações da comunidade, incluindo a de algumas plataformas de monetização. A MoPub, por exemplo, passou a listar a Mintegral como uma rede obsoleta e sugeriu que ela fosse “removida de todos os segmentos de inventário e itens de linha”. A Singular, provedora de mensuração mobile (MMP), analisou o comportamento e encontrou indícios de sequestro de cliques em algumas redes baseadas em SDK, além de comparar a taxa de atividades suspeitas antes e depois da nossa publicação.

Outubro de 2020: anúncio do SAST para desenvolvedores com Snyk Code

No artigo anterior, demos uma pista sobre o novo produto SAST da Snyk, pensado para desenvolvedores: o Snyk Code. Porém, quando anunciamos a aquisição, embora muita gente tenha acertado que esse era nosso objetivo, ainda não tínhamos divulgado todos os detalhes. Isso mudou no evento inaugural SnykCon: durante a palestra de abertura, Guy Podjarny falou sobre o novo produto como um pai orgulhoso. “O que é SAST?”, você pode perguntar. Para a maioria dos desenvolvedores, talvez esse não seja um termo familiar ou usado com frequência. SAST é a sigla em inglês para teste estático de segurança de aplicações e identifica vulnerabilidades no código da sua aplicação. É diferente da análise de composição de software (SCA), que encontra vulnerabilidades conhecidas nas dependências usadas pela aplicação. Analisar tanto o código quanto as dependências da aplicação é uma abordagem complementar que oferece uma cobertura de segurança muito melhor para a aplicação como um todo.

Mas não devemos nos limitar a esses testes, especialmente quando pensamos na arquitetura e no desenvolvimento de aplicações modernas. Se você está criando uma aplicação nativa da nuvem, provavelmente também escreve Dockerfiles, que descrevem o contêiner em que ela será implantada, além de arquivos de infraestrutura como código necessários para implantar e configurar o ambiente. Quem desenvolve e mantém esse código e essas configurações precisa levar tudo isso em conta. Uma plataforma de aplicações nativas da nuvem completa testa não apenas o código e as dependências da aplicação, mas também as dependências dos contêineres e as configurações inseguras nos scripts de infraestrutura como código. Se isso descreve seu ambiente de desenvolvimento, conheça as ferramentas da Snyk, que atendem às necessidades de segurança de todos esses aspectos das suas aplicações nativas da nuvem.

VEJA TAMBÉM: Retrospectiva do 3º trimestre de 2020 — Snyk e DeepCode, boas práticas de segurança para Angular e mais

Outubro de 2020: retrospectivas do dia 1 e do dia 2 da SnykCon

Os últimos artigos que vamos destacar na retrospectiva de 2020 falam sobre nosso evento SnykCon. Na verdade, são retrospectivas citadas neste artigo, que também é uma retrospectiva. A SnykCon trouxe vários anúncios excelentes, alguns já mencionados, como o lançamento do Snyk Code. Um anúncio em particular deixou muitos de nós muito orgulhosos de trabalhar na Snyk: alcançamos o status CarbonNeutral® seguindo o The CarbonNeutral Protocol, uma referência internacional para a sustentabilidade. Com uma combinação de iniciativas de eficiência organizacional, projetos externos de redução de emissões e investimentos em energia renovável, vamos compensar nossa pegada de carbono de 2.400 toneladas métricas. Este é um momento importante não só para falar seriamente sobre problemas que afetam a todos nós, mas também para agir. Fico feliz em trabalhar em uma empresa que leva essa questão a sério e é oficialmente uma organização CarbonNeutral!

Vários recursos novos foram adicionados recentemente ao produto. Um que chamou minha atenção e sempre desperta o interesse dos desenvolvedores é a capacidade de detectar Dockerfiles diretamente em repositórios de código-fonte, como o GitHub. Esse é um passo muito importante para ampliar a adoção de testes de segurança entre desenvolvedores, tornando a análise e os testes de segurança acessíveis e integrados às ferramentas que eles usam.

Outro anúncio estratégico e importante, feito em conjunto pelo CEO da Snyk, Peter McKay, e pelo CEO da Docker, Scott Johnston, foi a parceria entre as duas empresas. Eles anunciaram que a Snyk agora é a provedora exclusiva de insights de segurança para imagens oficiais do Docker e outros programas futuros de certificação de conteúdo. Johnston explicou que os insights de segurança da Snyk são uma etapa essencial para ajudar os desenvolvedores a verificar se as imagens estão atualizadas e seguras.

Há muito mais conteúdo excelente gravado durante a SnykCon. Recomendo que você confira os vídeos disponíveis no site da Snyk.

Como nos artigos anteriores, há várias publicações que não entraram nos destaques que selecionamos, mas isso não significa que você não deva conferi-las! Entre elas, está o suporte da Snyk na popular plataforma geradora de aplicações JHipster. Também lançamos uma versão caprichada da comunidade de desenvolvedores da Snyk, disponível em https://community.snyk.io. Depois do nosso guia de bolso de boas práticas de segurança para Angular, não podíamos deixar de criar um para o framework React também! E, por último, mas não menos importante, atualizamos nosso popular guia de bolso da Snyk CLI com novidades, incluindo suporte a contêineres.

E, com isso, desejamos a você um fim de ano seguro e feliz. Fique de olho no Snyk Blog: em 2021 teremos mais conteúdo excelente!