Triagem de vulnerabilidades: como deveria ser

Sabemos que antecipar a segurança no ciclo de desenvolvimento é a abordagem certa para proteger nossos aplicativos. Também sabemos que isso não basta: os desenvolvedores precisam ter autonomia para cuidar da segurança. Para isso, precisam de ferramentas integradas ao fluxo de trabalho que já seguem, além de orientação e apoio da equipe de segurança. Isso é especialmente importante diante das vulnerabilidades mais desafiadoras: aquelas que não são fáceis de corrigir, mas são importantes demais para serem ignoradas.

O mercado está cheio de ferramentas que ajudam a antecipar a segurança e oferecem aos desenvolvedores mais visibilidade sobre as vulnerabilidades que eles podem estar introduzindo no código. Em geral, essas ferramentas apontam a priorização como solução ideal — a resposta definitiva para o acúmulo interminável de vulnerabilidades que sobrecarrega as equipes de desenvolvimento.

Embora seja suficiente para algumas organizações, uma abordagem centrada na priorização tem limitações. Ela não ajuda a lidar com vulnerabilidades importantes, mas difíceis de corrigir. São justamente esses tipos de vulnerabilidade que desafiam o modelo de antecipação da segurança. Algumas equipes têm a sorte de contar com um desenvolvedor experiente que possa resolver o problema, mas, na maioria dos casos, a equipe de AppSec precisará entrar em ação. Quando isso acontece, a vulnerabilidade já está em produção.

É preciso adotar outro tipo de abordagem — uma que não deixe os desenvolvedores sozinhos nesse momento crítico. Uma abordagem que saiba quais perguntas fazer e onde encontrar as respostas; que entenda todo o contexto do aplicativo e avalie o risco representado pela vulnerabilidade. Nesta sessão, vamos explorar esse desafio específico e identificar as lacunas nos programas de AppSec que agravam o problema. Vamos compartilhar nossa abordagem para fazer triagem em escala e apresentar soluções práticas. Também vamos analisar uma vulnerabilidade comum e fazer a triagem juntos.