c2.10 Gestionar vulnerabilidades de aplicaciones
Escanee aplicaciones (DAST) y código (SAST) y haga pentesting de sus aplicaciones críticas. Detecte problemas tan pronto como en el IDE del desarrollador, otra vez en el pipeline y el registro de imágenes, y de nuevo una vez desplegado: defensa en profundidad en todo el ciclo de vida.
Guía de implementación
Shift left y siga escaneando
Las vulnerabilidades son más baratas de corregir mientras el desarrollador escribe el código, pero la defensa en profundidad implica escanear en cada etapa: parte del código llega sin verificaciones en el IDE, y aparecen nuevas vulnerabilidades (por ejemplo en una dependencia) después del despliegue.
- En el IDE: Amazon Q Developer marca vulnerabilidades mientras se escribe el código y sugiere correcciones.
- En el pipeline y el registro: Amazon Inspector realiza escaneos de código (SAST), análisis de composición de software y escaneos de infraestructura como código, y escanea imágenes de contenedor en Amazon ECR y código en repositorios como GitHub y GitLab.
- Una vez desplegado: Amazon Inspector escanea el código de funciones AWS Lambda.
Opciones de socios y open source
Herramientas DAST/SAST de socios (por ejemplo Checkmarx y Veracode) están en el AWS Marketplace. Para open source, el Automated Security Helper (ASH) agrupa herramientas como git-secrets, bandit, npm-audit, checkov, cfn_nag y cdk-nag para encontrar secretos, vulnerabilidades y malas prácticas en Git, Python, JavaScript, CloudFormation, Terraform y notebooks de Jupyter.
Un WAF no es un sustituto
Desplegar un web application firewall ayuda a bloquear ataques, pero no elimina la necesidad de corregir la vulnerabilidad subyacente. Siguiendo la defensa en profundidad, haga ambas cosas.
Relacionado
Esto conecta con Security Champions y DevSecOps en fases posteriores.
Cómo validar
- ¿Escanea aplicaciones con DAST (app en ejecución) y SAST (código)?
- ¿Cuál es su cobertura: solo aplicaciones críticas, la mayoría o todas?
- ¿Escanea en busca de secretos y credenciales subidos al código?
- ¿El pipeline bloquea la promoción a producción cuando se encuentran vulnerabilidades críticas?
Amenazas que atiende
- Las aplicaciones web que deben estar expuestas para servir a los usuarios ponen sus vulnerabilidades directamente al alcance de los adversarios.
- La mayoría de los equipos de desarrollo no son expertos en seguridad y rara vez tienen tiempo de priorizar prácticas de código seguro sin herramientas.
Servicios AWS
Amazon Inspector 
Amazon ECR 
Amazon Q Developer