Cómo ASOC (Application Security Orchestration and Correlation) puede mejorar la eficiencia de DevSecOps

Tres formas en que ASOC mejora la eficiencia de DevSecOps.

Primera: Puede priorizar las vulnerabilidades más críticas de cara a la remediación para asignar adecuadamente los recursos.

La asignación de recursos es un desafío al que se enfrentan muchos equipos de AppSec. Las herramientas de AppSec descubren una amplia gama de posibles problemas, algunos pueden ser falsos positivos y otros pueden simplemente no ser relevantes para su organización. La cantidad de tiempo necesaria para realizar la evaluación de posibles vulnerabilidades puede debilitar el proceso de SDLS a muchas empresas.

Un estudio de IEEE detectó que lleva un promedio de 10 minutos clasificar un hallazgo y determinar si un problema es explotable y necesita ser reparado. Además, los estudios han demostrado que un promedio del 66 % de los hallazgos de la herramienta SAST promedio son irrelevantes (falsos positivos). Esto se traduce en una increíble cantidad de tiempo dedicado a evaluar hallazgos que resultan ser falsos positivos o irrelevantes. No importa lo grande sea su equipo de AppSec, ninguna organización puede permitirse el lujo de perder el tiempo investigando problemas que no representan una amenaza real para la seguridad de las aplicaciones.

 

La priorización de vulnerabilidades es tan importante para los desarrolladores como para la seguridad. El desarrollo ágil requiere una iteración rápida. Los defectos más críticos deben abordarse antes de que se lleve a cabo la siguiente compilación para garantizar que se mantenga la seguridad durante todo el proceso de desarrollo. Las herramientas de ASOC pueden priorizar las vulnerabilidades en función de la capacidad de explotación y asignar una puntuación de gravedad a cada problema. Esto permite que su equipo de seguridad centre su atención en las vulnerabilidades que representan una amenaza real para su organización.

 

Si su aplicación debe cumplir con regulaciones como HIPAA y PCI DSS, una herramienta de ASOC puede verificar su código base, identificar las líneas exactas de código que suponen una violación y sugerir formas de hacer que se cumpla. Estos tipos de problemas de cumplimiento suelen ser de alta prioridad, ya que pueden dar lugar a sanciones y multas graves.

 

Las herramientas avanzadas de ASOC tienen una capacidad integrada que utiliza el aprendizaje automático para predecir automáticamente qué hallazgos de vulnerabilidad son los más importantes, en función de las decisiones de clasificación anteriores. Cada 240 hallazgos categorizados ahorra automáticamente a su organización el equivalente al trabajo de una semana de un empleado a tiempo completo. Las capacidades de priorización proporcionadas por las herramientas de ASOC brindan a los profesionales y desarrolladores de seguridad la información que necesitan para asegurarse de que las mayores amenazas se aborden antes del próximo lanzamiento.

Las herramientas de ASOC también ayudan a gestionar la remediación, lo que permite que la seguridad asigne tareas a los desarrolladores y realice un seguimiento del progreso. La integración con las herramientas de seguimiento de problemas y con los entornos de desarrollo IDE facilitan que los desarrolladores aborden los problemas, ya que pueden corregir los problemas directamente dentro de su flujo de trabajo preferido. Independientemente del tamaño del proyecto de AppSec en ejecución, la asignación eficiente de recursos es esencial para crear un proceso de desarrollo ágil que mantenga la seguridad como una prioridad principal.

Segunda: Puede gestionar de forma centralizada los resultados de una gran cantidad de herramientas de AppSec en múltiples proyectos y departamentos.

DevOps surgió cuando los equipos de desarrollo y operaciones comenzaron a trabajar más de cerca para respaldar la metodología de desarrollo ágil. A medida que DevOps siguió evolucionando, la seguridad se integró en el proceso, acuñando el término DevSecOps. Este fue un paso importante, ya que la seguridad de las aplicaciones exige una atención total en todas las etapas de diseño y desarrollo. Sin embargo, a menudo ha sido un desafío para los equipos de seguridad mantenerse al día con los “sprints ágiles” de DevOps.

 

La seguridad de las aplicaciones implica el uso de varios tipos de herramientas de prueba de AppSec:

• Las herramientas de prueba de seguridad de aplicaciones estáticas (SAST) examinan la aplicación desde adentro, buscando vulnerabilidades en el código fuente, el código de bytes o los archivos binarios de la aplicación.

• Las herramientas de prueba de seguridad de aplicaciones dinámicas (DAST) abordan la aplicación desde el exterior, asumiendo el papel de un robot atacante.

• Las herramientas de prueba de seguridad de aplicaciones interactivas (IAST) combinan herramientas SAST y DAST mediante el uso de tecnología de instrumentación para aprovechar la información dentro de la aplicación en ejecución para identificar vulnerabilidades.

• Las herramientas de análisis de composición de software (SCA) analizan aplicaciones para software de código abierto y de terceros para detectar código vulnerable.

• Las herramientas de modelado de amenazas como STRIDE y DREAD identifican y evalúan vulnerabilidades potenciales.

• Las pruebas manuales pueden garantizar que el código de la aplicación sea seguro y de alta calidad.

 

Es importante tener en cuenta que hay una serie de herramientas en el mercado que se enfocan en desafíos específicos dentro de la seguridad de las aplicaciones. Por ejemplo, una herramienta SAST puede encontrar debilidades en el código propietario, mientras que una herramienta SCA puede detectar vulnerabilidades en el código fuente abierto. La combinación de herramientas garantiza una imagen completa del código base de su aplicación.

 

Sin embargo, cada herramienta muestra resultados en un formato diferente, y varias herramientas pueden encontrar el mismo problema potencial. Descartar largas listas de resultados de múltiples herramientas para eliminar duplicados y determinar qué vulnerabilidades son reales y representan la mayor amenaza es ineficiente y requiere mucho tiempo, y hace que sea casi imposible que la seguridad se mueva a la misma velocidad que el desarrollo.

 

Además, las herramientas de ASOC eliminan estos problemas al proporcionar:

• Un centro único y central para la seguridad de las aplicaciones.

• Compatibilidad con amplio portfolio de herramientas comerciales SAST, DAST e IAST.

• Correlación automática de resultados de múltiples herramientas de AppSec y pruebas manuales en un solo conjunto de resultados.

• Integración con entornos de desarrollo populares y herramientas de seguimiento de problemas.

• Inclusión de herramientas para rastrear y remediar vulnerabilidades.

Estas funciones permiten a las organizaciones ofrecer una mejor cobertura de vulnerabilidades y pruebas de software más efectivas que arrojan menos falsos positivos y no duplican los resultados. Obtiene una vista única de los problemas de AppSec, sin importar cuántas herramientas esté usando. Esto le permite identificar rápidamente dónde se encuentran los riesgos más importantes y abordarlos antes de que se conviertan en un problema.

Las herramientas de ASOC permiten a su equipo de seguridad acelerar el proceso de AppSec sin sacrificar la calidad, fomentando una mejor relación entre los equipos de desarrollo y seguridad. Un enfoque de DevSecOps puede convertirse en una realidad, lo que le permite a su organización satisfacer la demanda de un desarrollo rápido de aplicaciones seguras.

 

Tercera: Puede acceder a métricas que muestran el rendimiento de la gestión de vulnerabilidades y AppSec a lo largo del tiempo en su organización.

Es imposible saber si su organización está mejorando en la seguridad de las aplicaciones si no puede medir el rendimiento. Las métricas pueden proporcionar información importante para los ejecutivos de nivel C y para los miembros del equipo de desarrollo y seguridad en medio de las pruebas de AppSec.

 

Por ejemplo, los CISO pueden querer datos sobre el número total de vulnerabilidades de las aplicaciones y su gravedad. Estos datos indican cómo lo está haciendo su organización a lo largo del tiempo para reducir la cantidad total de amenazas. Las métricas sobre la gravedad son igual de importantes; revelan el peligro general para la organización. Las métricas de gravedad también ayudan a los miembros del equipo de seguridad a priorizar los problemas, de modo que los más urgentes puedan abordarse primero.

 

Los datos históricos sobre la cantidad de nuevas vulnerabilidades muestran cuántos problemas se presentan con una nueva versión. Esto es importante para los equipos que siguen la metodología de desarrollo ágil, ya que valida si la seguridad recibe la atención que requiere durante la iteración rápida. Los CISO pueden usar estos datos para monitorizar el riesgo general, y los gerentes de AppSec pueden aprovecharlos para evaluar la calidad del código que escriben los miembros del equipo.

 

No basta con saber cuántas vulnerabilidades se identifican; El promedio de días hasta la resolución es otra métrica importante de AppSec. Cuanto más persiste un problema, más probable es que sea explotado. Los gerentes pueden usar esta métrica para evaluar los esfuerzos de remediación e identificar las ineficiencias. Los tipos de vulnerabilidades encontradas también son importantes. Si conoce los tipos más comunes de vulnerabilidades en sus aplicaciones, puede capacitar a su equipo de seguridad y desarrolladores para escribir un mejor código y prevenir estos problemas, además de solucionarlos más rápidamente cuando ocurran.

 

Las herramientas de ASOC proporcionan las métricas que los CISO, los gerentes de AppSec y los administradores de seguridad, así como los miembros del equipo de seguridad y los desarrolladores necesitan para mejorar con el tiempo.

 

Las características adicionales que debe buscar en una herramienta ASOC incluyen:

• Una pantalla visual de métricas, para que pueda ver rápida y fácilmente el rendimiento de AppSec a lo largo del tiempo e identificar tendencias.

• Un tablero central que proporciona métricas interactivas, para que pueda descubrir tendencias y ver información crítica de AppSec rápidamente.

 

A medida que las herramientas de ASOC se vuelven más populares, es importante que las organizaciones entiendan cómo pueden beneficiarse de ellas. Le recomendamos  publicaciones adicionales en nuestra serie de artículos sobre ASOC para descubrir cómo puede lograr escalabilidad y responsabilidad dentro de AppSec en toda su empresa.

Jesús Rodríguez

Iberia Regional Sales & Channel Manager 

Synopsys - Software Integrity Group