c2.10 Gerenciar vulnerabilidades de aplicações
Escaneie aplicações (DAST) e código (SAST) e faça pentest das suas aplicações críticas. Detecte problemas já no IDE do desenvolvedor, novamente no pipeline e no registro de imagens, e mais uma vez depois de implantado: defesa em profundidade em todo o ciclo de vida.
Guia de implementação
Shift left e continue escaneando
As vulnerabilidades são mais baratas de corrigir enquanto o desenvolvedor escreve o código, mas a defesa em profundidade significa escanear em cada estágio: parte do código chega sem verificações no IDE, e novas vulnerabilidades (por exemplo em uma dependência) surgem após a implantação.
- No IDE: o Amazon Q Developer sinaliza vulnerabilidades enquanto o código é escrito e sugere correções.
- No pipeline e no registro: o Amazon Inspector faz escaneamentos de código (SAST), análise de composição de software e escaneamentos de infraestrutura como código, e escaneia imagens de contêiner no Amazon ECR e código em repositórios como GitHub e GitLab.
- Depois de implantado: o Amazon Inspector escaneia o código de funções AWS Lambda.
Opções de parceiros e open source
Ferramentas DAST/SAST de parceiros (por exemplo Checkmarx e Veracode) estão no AWS Marketplace. Para open source, o Automated Security Helper (ASH) reúne ferramentas como git-secrets, bandit, npm-audit, checkov, cfn_nag e cdk-nag para encontrar segredos, vulnerabilidades e más práticas em Git, Python, JavaScript, CloudFormation, Terraform e notebooks Jupyter.
Um WAF não é um substituto
Implantar um web application firewall ajuda a bloquear ataques, mas não elimina a necessidade de corrigir a vulnerabilidade subjacente. Seguindo a defesa em profundidade, faça as duas coisas.
Relacionado
Isto se conecta a Security Champions e DevSecOps em fases posteriores.
Como validar
- Você escaneia aplicações com DAST (app em execução) e SAST (código)?
- Qual é a sua cobertura: apenas aplicações críticas, a maioria ou todas?
- Você escaneia em busca de segredos e credenciais enviados ao código?
- O pipeline bloqueia a promoção para produção quando vulnerabilidades críticas são encontradas?
Ameaças atendidas
- Aplicações web que precisam estar expostas para atender usuários colocam suas vulnerabilidades diretamente ao alcance dos adversários.
- A maioria das equipes de desenvolvimento não é especialista em segurança e raramente tem tempo de priorizar práticas de código seguro sem ferramentas.
Serviços AWS
Amazon Inspector 
Amazon ECR 
Amazon Q Developer Preços
Veja os preços do Amazon Inspector e os preços do Amazon Q Developer.