0
El post de hoy es sobre VULNERABILIDADES en librerias externas, como y por quien…
Cuando estamos trabajando en un proyecto de software es normal utilizar librerias de terceros para ahorrarnos trabajo sea en diseño, linters, facilidad para la creacion de codigo, manejo de fechas. Pero que pasa detras de todas estas librerias cuando se encuentra una vulnerabilidad.
El post de hoy es sobre VULNERABILIDADES, quienes las detectan, donde se reportan para que tengan un alcance global, como son los pasos para solucionarla y cómo los pipelines interceptan código malicioso automáticamente antes del deploy.
Vamos a usar de referencia el ataque de cadena de suministro que sufrimos a COMIENZO de este mes con Axios 1.14, la cual fue una de las vulnerabilidades mas grandes de lo que va del año.
El primer participante es una firma de ciberseguridad quien detecta un hueco en una librería, no hace un post en redes sociales; activa un protocolo de divulgación coordinada. Se reporta el problema a una autoridad de ciberseguridad y se le asigna un CVE (Common Vulnerabilities and Exposures ), que es el identificador único e inmutable de la amenaza. Inmediatamente, este CVE se indexa en bases de datos globales, como la NVD (National Vulnerability Database) y la base de advisories de GitHub. En ese registro queda documentado el vector de ataque, el nivel de criticidad y las versiones exactas afectadas. En ese instante, la vulnerabilidad se vuelve pública y empieza la carrera contrarreloj.
El bloqueo en el Pipeline (CI/CD)
Los motores de DevSecOps integrados en herramientas como GitHub Actions o GitLab CI no trabajan adivinando; trabajan por sincronización.
Al dispararse el pipeline por un PR o un merge, el scanner cruza los datos de librerias externas en milisegundos contra los CVEs críticos activos.
Si encuentra coincidencia, devuelve un código de error al sistema, falla intencionalmente y frena el pipeline.
El ecosistema de ciberseguridad no vive del amor al arte; está estructurado para incentivar económicamente el descubrimiento de fallos antes de que los exploten los atacantes reales (los Black Hats).
Como ganan dinero las agencias de ciberseguridad:
CPAdmin
hace alrededor de 6 horas0 respuestas
Iniciá sesión para participar en la discusión.