[11/12/2024] Veracode, proveedor mundial de soluciones de administración de riesgos de aplicaciones, anunció innovaciones para ayudar a los desarrolladores a crear software seguro por diseño y a los equipos de seguridad a reducir el riesgo en su ecosistema de código a nube. Según lo señalado en el comunicado de prensa, las últimas mejoras en Veracode Fix y Veracode Risk Manager, anteriormente conocido como Longbow Security, brindan a los desarrolladores la capacidad de crear software, evaluar el riesgo y remediar con solo hacer clic en un botón en su entorno preferido.
"Hace seis meses, firmamos el compromiso Secure By Design de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), que se propuso incorporar la ciberseguridad en el diseño y la fabricación de productos tecnológicos. Para cumplir esa promesa, Veracode continúa invirtiendo en nuevas funciones que desplazan la seguridad a la izquierda y la convierten en una experiencia más automatizada y sin fricciones para los desarrolladores", sostuvo Tim Jarrett, vicepresidente del grupo de gestión de productos de Veracode.
Corrección impulsada por IA en el IDE para desarrolladores
Según el ejecutivo, la explosión de la IA significa que el código ahora se escribe más rápido que nunca, pero el desafío es que el código generado por IA contiene aproximadamente el mismo porcentaje de fallas que el código generado por humanos. "Con el 71% de las organizaciones ahogadas en deudas de seguridad a través de años de vulnerabilidades de código acumuladas, los desarrolladores necesitan urgentemente herramientas para acelerar la corrección de fallas”.
Jarrett anotó que las últimas innovaciones en Veracode Fix, que combina la IA y la experiencia humana para reducir el tiempo de corrección de meses a minutos, significa que los desarrolladores ahora tienen acceso a correcciones de código directas para hasta el 80% de las debilidades de primera mano. "Para una organización con dos mil fallas de seguridad, esto significa que el uso de la herramienta podría reducir el tiempo de liquidación de la deuda de seguridad en 2.400 horas, lo que supondría un ahorro de 240 mil dólares en comparación con la corrección manual”.
Agregó que Veracode Fix está disponible en todos los entornos de desarrollo integrado (IDE), lo que significa que los desarrolladores pueden corregir vulnerabilidades con solo presionar un botón en sus canalizaciones de CI/CD y asegurarse de que están creando software seguro por diseño.
"Con el nuevo soporte IDE de Veracode, los desarrolladores también pueden encontrar y corregir vulnerabilidades en código propio y de fuente abierta antes de agregarlo a la base de código. Esto significa flujos de trabajo más optimizados y resolución de problemas mediante el análisis estático y el análisis de composición de software en Visual Code Studio, JetBrains (IntelliJ, PyCharm, Rider), Eclipse y Visual Studio”, comentó Jarrett.
Gestión de la postura de seguridad de las aplicaciones
Junto con Veracode Fix, el ejecutivo anotó que Veracode Risk Manager (VRM) correlaciona y contextualiza el riesgo desde el código hasta la nube, rastreándolo hasta la causa raíz para permitir la corrección de uno a muchos. "Esta visibilidad integral permite a los equipos de seguridad priorizar y eliminar las vulnerabilidades más críticas con el menor esfuerzo”.
Jarrett añadió que una serie de nuevos avances en VRM ofrece a los desarrolladores y equipos de seguridad un control aún mayor sobre la gestión de riesgos, y que las características más recientes incluyen:
- GitLab Repository Connector: Potencia el análisis de la causa raíz de los problemas en tiempo de ejecución al rastrearlos directamente hasta el repositorio de código fuente, lo que permite a los equipos identificar el origen de los riesgos y acelerar la corrección.
- GitLab Ultimate Security Findings: Permite la ingesta, unificación, correlación y priorización de Gitlab Ultimate Security Findings, incluidos los hallazgos de análisis estático y seguridad de contenedores. Esto permite a los equipos centrarse en los problemas más importantes y proporciona informes unificados de riesgo y cumplimiento.
- Mapeo de cumplimiento personalizado: Proporciona a las organizaciones las herramientas para personalizar los mapeos de cumplimiento de acuerdo con sus requisitos específicos, lo que facilita la gestión del cumplimiento.
- Nuevos conectores: VRM tiene varios conectores de hallazgos nativos nuevos, incluidos Tenable, Qualys, Rapid7, Aquasec, ServiceNow Two-Way sync y más.
"VRM es el cerebro de la seguridad nativa de la nube, lo que la convierte en una herramienta indispensable para las empresas comprometidas con el fortalecimiento de sus defensas en un mundo nativo de la nube. La herramienta aborda desafíos comunes, como la visibilidad fragmentada y las limitaciones de escalabilidad, y transforma la forma en que las organizaciones visualizan, priorizan y remedian el riesgo con una vista de 360 grados de las vulnerabilidades de seguridad. Estas últimas mejoras, junto con el mapa de calor de riesgo de aplicaciones y las funciones de conector universal que lanzamos a principios de este año, hacen de VRM una actualización transformadora para las empresas que se toman en serio la seguridad", finalizó Jarrett.
Franca Cavassa, CTOPerú