Vulnerabilidade é software antes de ser incidente.
Uma vulnerabilidade nasce como uma linha de código, uma dependência desatualizada ou uma configuração aberta. Nesse momento, corrigir custa pouco: é uma alteração como qualquer outra, feita por quem escreveu aquele trecho.
Quando a mesma vulnerabilidade é descoberta em produção, ela já deixou de ser software e virou incidente, com pressa, exposição e correção feita por quem talvez não conheça o código.
A diferença entre os dois cenários é o momento em que alguém olhou.
Encontrar enquanto ainda é software em desenvolvimento.
A análise de segurança acontece dentro da esteira de desenvolvimento, na mesma frequência em que o código é escrito e integrado. Não é uma auditoria que chega no fim e devolve um relatório.
As cinco frentes olham para camadas diferentes da mesma aplicação: as dependências de código aberto, o código-fonte, a aplicação em execução vista por dentro e por fora, e o aplicativo mobile.
O achado vai para o time de desenvolvimento com contexto suficiente para virar correção. Lista de vulnerabilidades sem dono não reduz risco.
Capacidades que podem compor a entrega, conforme o perfil da aplicação.
- SCA · dependências e licenças de código aberto
- SAST · análise estática do código-fonte
- IAST · análise interativa em tempo de execução
- DAST · teste dinâmico da aplicação em execução
- MAST · segurança de aplicações mobile
- Correção com o time de desenvolvimento
Segurança não é uma fase. É parte de como o software é escrito.
Antes de virar incidente
Analisar enquanto o código está em desenvolvimento é o que separa uma correção barata de uma resposta a incidente.
Cinco olhares na mesma aplicação
Dependência, código-fonte, execução por dentro, execução por fora e mobile mostram riscos diferentes. Uma frente só deixa ângulo cego.
Achado com dono
O resultado da análise volta para quem escreve o código, com contexto para corrigir. Relatório sem responsável não muda o risco.
Ecossistema
- Black Ducko que a Vibe entrega sobre Black Duck →
- Esteira de CI/CD.NETJavaPythonMobile
Onde a vulnerabilidade está sendo encontrada hoje?
Conte o desafio. Podemos ajudar a avaliar, construir, modernizar ou sustentar o sistema que mantém seu negócio em operação.
Falar com a Vibe →