Gestiona las vulnerabilidades en tus aplicaciones

Se recomienda utilizar herramientas de escaneo de vulnerabilidades en aplicaciones (Dinámico - DAST), de Código (estático, SAST) y realizar penetration testing sobre las aplicaciones críticas de la compañía e idealmente sobre todas.

Existen numerosas soluciones de nuestros partners en el AWS Marketplace (Como Checkmarx y Veracode) y Open Source (como Nikto o Vega, o Burp Suite community) para la revisión de vulnerabilidades en aplicaciones.

Para simplificar esta tarea, puede aprovechar la herramienta Automated Security Helper (ASH, una solución de código abierto disponible en AWS Samples). Detecta access keys, vulnerabilidades, y malas prácticas de desarrollo seguro:

  • Actualmente soporta los siguientes frameworks: Git, Python, Javascript, Cloudformation, Terraform y Jupyter Notebooks.
  • Identificará el framework, y usarña la herramienta que corresponda para revisar el código en un contenedor Docker aislado.
  • Aprovecha múltiples herramientas de código abierto (como git-secrets, bandit, nbconvert, npm-audit, checkov, cfn_nag, cdk-nag)

Si bien es una buena práctica desplegar un Web Application Firewall (como AWS WAF) para bloquear ataques hacia las aplicaciones, esto lo implica que no es necesaria la revisión de vulnerabilidades en aplicaciones. Siguiendo el principio de defensa en profundidad (defense in depth), ambos controles deben realizarse para reducir el riesgo de explotación de una vulnerabilidad

En fases posteriores se encuentran otras recomendaciones relacionadas a esta: