Segurança de aplicações com foco em ativos: o que é e como ela pode ajudar

A maioria das estratégias de segurança de aplicações se concentra em reduzir o número de vulnerabilidades: identificar problemas de segurança ao longo do ciclo de vida de desenvolvimento de software (SDLC) e corrigi-los. Mas, em um ambiente de software complexo, é difícil saber se cada uma dessas vulnerabilidades representa de fato um risco para a organização ou se é apenas um alerta redundante ou falso. Por exemplo, uma configuração incorreta na nuvem em um ambiente sandbox pode não importar para os negócios no longo prazo, pois não tem relação com aplicações de missão crítica e está isolada por outras camadas de segurança. Cada problema de segurança precisa de contexto para que seja possível entender o risco que representa para a organização. Isso levou a novas abordagens de segurança e também a novas ferramentas que as viabilizam, na forma de ASPM.

Uma abordagem com foco em ativos considera a segurança pela perspectiva dos negócios e protege todos os ativos de acordo com a finalidade para a qual foram criados. Neste artigo, vamos abordar os conceitos básicos da segurança de aplicações com foco em ativos, incluindo:

• A definição de “ativo”

• Como funciona a segurança de aplicações com foco em ativos

• Por que a AppSec com foco em ativos é importante

• Como realizar uma análise de lacunas de segurança de aplicações

• A abordagem da Snyk à AppSec com foco em ativos

O que é um ativo?

Um “ativo” é qualquer componente, entidade ou atividade no ambiente de segurança de aplicações que exige controles de segurança. Em uma cadeia de suprimentos de software típica, as equipes lidam com os seguintes tipos de ativos:

• código-fonte

• dependências

• imagens de contêiner

• serviços

• endpoints

• hosts

• equipes de desenvolvimento

O que é segurança de aplicações com foco em ativos?

Uma abordagem com foco em ativos significa analisar todas as atividades de segurança de aplicações pela perspectiva dos negócios. Essas informações contextuais permitem que as equipes filtrem os dados de segurança e protejam o que é mais importante. A segurança de aplicações com foco em ativos também torna atividades comuns de segurança, como gerenciamento de secrets, análise de vulnerabilidades e DevSecOps, muito mais alinhadas às necessidades e prioridades da empresa.   

Uma abordagem de segurança de aplicações com foco em ativos envolve três etapas: mapear os ativos para entender o que está sob a responsabilidade da equipe de AppSec, analisar os problemas no contexto desse mapa e priorizar os controles de segurança com base nessas informações detalhadas e contextuais.

Por que a segurança de aplicações com foco em ativos é importante?

Muitas equipes hoje se sentem sobrecarregadas e confusas com o enorme volume de vulnerabilidades em seus ambientes. Uma abordagem com foco em ativos simplifica a AppSec ao quantificar os riscos de forma significativa, em vez de perseguir vulnerabilidades apenas com base nos níveis de gravidade. Essa abordagem para proteger a cadeia de suprimentos de software beneficia as seguintes equipes:

Executivos

A AppSec com foco em ativos oferece aos executivos dados relevantes e contextuais para a tomada de decisões e o cálculo de riscos. Por exemplo, informar que um ambiente tem “200 vulnerabilidades críticas” não ajuda a equipe de liderança a agir. Em vez disso, uma abordagem com foco em ativos prioriza o que é mais importante para os negócios e apresenta informações como: “Nosso principal ativo está vulnerável a cinco riscos diferentes”. Esses detalhes permitem que os executivos direcionem iniciativas que realmente farão diferença, em vez de reagir a uma lista interminável de problemas de segurança.

Equipes de segurança de aplicações

As equipes de AppSec não conseguem proteger o que desconhecem e estão sempre em menor número que as equipes de desenvolvimento. Ao priorizar a descoberta de ativos e o gerenciamento do inventário, uma abordagem com foco em ativos ajuda as equipes de AppSec a identificar lacunas de visibilidade e cobertura de ferramentas. Ela também permite encontrar ativos críticos para os negócios e priorizá-los automaticamente, ajudando as equipes a economizar tempo e a se concentrar nos problemas que realmente importam para a empresa. 

Desenvolvedores 

Hoje, os desenvolvedores são responsáveis por várias áreas da cadeia de suprimentos de software, incluindo infraestrutura de nuvem, contêineres, recursos de terceiros e código próprio. Como assumem tantas responsabilidades, precisam de suporte para corrigir diversos problemas de segurança ao longo do SDLC. 

Sem uma abordagem com foco em ativos, essas responsabilidades se tornam muito difíceis de administrar para os desenvolvedores. Eles não conseguem identificar onde está um problema de segurança: pode estar em uma aplicação de missão crítica que precisa ser protegida o quanto antes ou em uma aplicação interna que não aumenta a superfície de ataque. Além disso, os desenvolvedores não sabem se os controles de segurança estão sinalizando a mesma vulnerabilidade de duas formas diferentes (por exemplo, na nuvem e no IaC), nem onde devem agir para corrigir a causa raiz. Essa abordagem sem contexto leva à fadiga de alertas e à frustração.

Uma abordagem com foco em ativos torna essa responsabilidade muito mais fácil de administrar, pois permite que os desenvolvedores resolvam problemas de segurança considerando o contexto. Assim, é preciso apenas uma fração do tempo para identificar quem é responsável pelo ativo em questão e implementar correções rápidas e direcionadas. Essa mentalidade com foco em ativos também permite que as equipes de AppSec e de desenvolvimento falem a mesma língua quando o assunto é segurança.

Análise de lacunas de segurança de aplicações

Uma análise de lacunas ajuda as equipes a entender quais ativos já estão protegendo e onde precisam adicionar controles de segurança. Ela permite alocar recursos aos projetos mais importantes e evitar desperdício de tempo com atividades redundantes ou irrelevantes. Uma análise de lacunas de segurança de aplicações pode envolver as seguintes tarefas:

Inventariar os ativos

Suas equipes precisam saber o que está sob sua responsabilidade e classificar esses ativos de acordo com o contexto. Muitas vezes, a automação é a melhor opção para acompanhar todos os ativos existentes.

Entender os controles existentes

O que sua equipe já está fazendo para proteger os ativos? Para responder a essa pergunta, suas equipes precisam analisar todos os controles de segurança existentes, incluindo atividades como revisões de código e testes de penetração, ferramentas como testes estáticos de segurança de aplicações (SAST) e soluções de análise de composição de software (SCA), além de iniciativas como programas de security champions e treinamento em código seguro.

Medir o sucesso

Depois de criar uma lista completa dos controles de segurança existentes, as equipes devem testar cada um de acordo com sua função e finalidade. Por exemplo, você pode medir a taxa de sucesso de um scanner de vulnerabilidades calculando a porcentagem de vulnerabilidades críticas corrigidas em aplicações essenciais. Também pode medir o sucesso de um programa de security champions analisando sua taxa de adesão.

O modelo da Snyk ASPM baseado em ativos

Nossa abordagem à ASPM permite que os desenvolvedores trabalhem com agilidade e mantenham a segurança. Como as aplicações atuais são muito complexas, protegê-las sem desacelerar os pipelines de desenvolvimento exige uma priorização relevante. A segurança de aplicações baseada em ativos permite priorizar controles de segurança com base no contexto de negócios e nos riscos potenciais no mundo real, em vez de considerar apenas o número ou a gravidade das vulnerabilidades. Também facilita a criação de proteções e fluxos de trabalho automatizados pelas equipes de segurança. 

Para obter esse nível de contexto, a Snyk aplica a ASPM em três etapas:

• Descobrir e classificar os ativos, usando políticas para classificar cada ativo de acordo com sua criticidade para os negócios.

• Implementar controles de segurança com base na classificação de cada ativo.

• Priorizar problemas relacionados a ativos que representam mais riscos para a organização.

Para saber mais sobre como implementar uma estratégia de segurança de aplicações com a Snyk, confira nosso guia completo de AppSec.