Static Source Code Security Analyzers comparison

De -
Hoy en día, la seguridad en aplicaciones es fundamental para las organizaciones. El software se encuentra en todos lados, como en las compras electrónicas,  pago de facturas o servicios, transferencias de dinero, manejo y control de la televisión, cierre de puertas electrónicas, en operaciones médicas a pacientes, etc. y los ataques informáticos están creciendo en número y complejidad.
Paralelamente, los nuevos enfoques ágiles de desarrollo de software demandan tiempos de evaluación de las aplicaciones más cortos e iterativos. Es por esto que, el desafío actual se centra en cómo evitar o reducir las vulnerabilidades en las primeras etapas del SDLC (Software Development Life Cycle) de manera de producir software más seguro.  Como OWASP describe “La revisión de código es probablemente la única y más efectiva técnica para identificar fallas de seguridad”. Además las revisiones de código pretenden, como aconseja uno de los principios fundamentales de seguridad, reducir la superficie de ataques.
Existen varias herramientas de escaneo automático que buscan y localizan fallas de seguridad en el código fuente de las aplicaciones software. El propósito de este artículo fue evaluar algunas herramientas conocidas de análisis de código fuente, con el fin de analizar el grado de precisión y comparar resultados. Este estudio fue realizado usando un set de pruebas público (Juliet Test Cases), desarrollado por la US American National Security Agency (NSA),  que contiene debilidades de seguridad intencionales.
Los resultados mostraron, principalmente, que las herramientas analizadas con los casos de test elegidos alcanzaron menos del 50% de lo que debería detectar una herramienta ideal o perfecta (es decir, aquella que detecte un 100% de los Positivos Válidos con 0% de Falsos Positivos). Esto hace que sea altamente recomendable, en una revisión estática de código fuente, la combinación de herramientas de análisis automático (open source y comerciales) con revisiones manuales de código, que verifiquen los resultados automáticos y profundicen el análisis.

El análisis completo puede ser verse en el siguiente artículo: 

Comentarios

Publicar un comentario

Entradas populares de este blog

CEO Fraud, el ciberataque con el que se roba 5 veces más dinero que por ataques de Ransomware

De -
Imagen
En los últimos meses, han habido múltiples casos de ciberataques a empresas a nivel mundial ( WannaCry, Petya, NoPetya ), y conceptos como Ransomware y Phishing tuvieron amplia repercusión. Si bien causaron graves daños y avivaron el debate por las llamadas “ criptomonedas ”, un reporte publicado por la empresa Cisco muestra como el ciberataque conocido como “ CEO Fraud ” logró generar para los ciberdelincuentes cinco veces más dinero qué ataques por Ransomware en los últimos tres años. Este ataque consta de realizar llamadas y enviar correos electrónicos a personas con altos cargos en empresas, como gerentes, por parte de gente que se hace pasar por personal de administración para llevar a cabo grandes transferencias monetarias. En el reporte mencionado anteriormente , Cisco resalta que el cibercrimen obtuvo  5.3 mil millones de dólares únicamente con ataques de CEO Fraud, en comparación a la suma de 1 mil millones de dólares por ataques de Ransomware en este período.
Leer más

Internet Day, reflejo de la Seguridad.

De -
Imagen
Los días lunes 15 y martes 16 de mayo se llevó acabo el ¨Internet Day¨, evento organizado por diferentes cámaras del sector, en el Auditorio Buenos Aires donde tuvo como eje principal las redes de transporte de datos del país, las regulaciones de Gobierno en materia de comunicación e internet y las diferentes tecnologías que se involucran para la conectividad. Asistieron múltiples proveedores de internet de Capital y del interior del país, donde el negocio es más próspero para empresarios emergentes o aquellos que vienen de la televisión por cable, debido a la estructura que ya tienen desplegada en en sus ciudades. El último panel que se encontraba en la agenda, fiel reflejo de la realidad, fue el afectado a materia de seguridad, enfrentando a muy pocos asistentes y con pocos stands en pie. Estos sucesos ponen en evidencia la poca atención o poca información de los usuarios para resguardar sus activos de manera proactiva y la tendencia de hacerlo reactivamente por la gran
Leer más

Banco Hipotecario confía en R-Box, desarrollo de Khutech, para su Gestión de Seguridad Informática

De -
Imagen
R-Box es la solución de Khu Technologies (Khutech) para la Gestión de Seguridad de la Información y Cumplimiento de Estándares. Banco Hipotecario la implementó como solución para el análisis de riesgos, la administración de incidentes y el cumplimiento de normas. El Banco Hipotecario ha sido históricamente el proveedor de préstamos hipotecarios líder en la Argentina. Sin embargo, en los últimos añosha focalizado su estrategia de negocios en su consolidación como Banca Comercial. Apoyado en su reconocimiento histórico como prestador de Créditos Hipotecarios, apuesta hoy a crecer en esta reconversión a partir del lanzamiento de una amplia gama de productos y el fortalecimiento de su posicionamiento en el mercado.
Leer más