Vorpsel / Servicios / Aseguramiento
Revisión de seguridad de aplicaciones
Revisamos desde adentro las aplicaciones y APIs que usted desarrolla: el diseño, el código y la forma en que se construyen y publican. Los hallazgos vienen con la línea de código, el riesgo y la corrección, escritos para los desarrolladores que la harán.
En resumen
- Para aplicaciones web, APIs y back-ends móviles que usted desarrolla
- Método modelado de amenazas, revisión de arquitectura y de código
- Referencia OWASP ASVS y el OWASP Top 10
- Nueva prueba incluida, para confirmar cada corrección
Los problemas cuestan menos de corregir donde se escriben
Los escáneres automáticos encuentran parte de los problemas, y un firewall delante de la aplicación bloquea parte de los ataques. Las fallas de lógica de negocio y de autorización, como que un cliente pueda leer los datos de otro, se encuentran leyendo el diseño y el código.
Con acceso al código, una revisión encuentra más en menos tiempo que una prueba desde afuera, y cada hallazgo señala el lugar exacto a cambiar.
Hallazgos comunes
Un cliente ve los datos de otro
Verificaciones que faltan y permiten que un usuario lea o cambie registros de otro cliente cambiando un identificador.
APIs sin autorización
Endpoints que verifican quién es usted pero no lo que tiene permitido hacer.
Secretos en el código
Contraseñas, claves y tokens guardados en el repositorio o enviados al navegador.
Inyección
Datos de afuera que llegan a una consulta a la base de datos, un comando o una plantilla sin un manejo seguro.
Manejo inseguro de archivos
Cargas y descargas que permiten a alguien guardar o leer archivos que no debería.
Bibliotecas desactualizadas
Componentes de terceros con vulnerabilidades conocidas y corrección disponible.
Qué cubre la revisión
Modelado de amenazas
Con sus arquitectos y desarrolladores, dibujamos cómo fluyen los datos por el sistema y preguntamos, en cada paso, qué puede salir mal y qué lo impide.
- Un diagrama del sistema, sus límites de confianza y sus datos sensibles
- Las amenazas a cada parte, ordenadas, con los controles que las abordan
Revisión de arquitectura
Miramos las decisiones que cuestan caro cambiar después: cómo se autentican usuarios y servicios, cómo se separan los clientes, cómo se guardan los secretos y cómo se cifran los datos.
- Autenticación, sesiones y control de acceso
- Separación entre clientes en sistemas multi-tenant
- Secretos, claves y cifrado de los datos en reposo y en tránsito
Revisión de código seguro
Combinamos análisis automático con lectura manual de las partes que más importan: autenticación, autorización, pagos, manejo de archivos y todo lo que recibe datos de afuera.
- Fallas de lógica de negocio y de autorización que las herramientas no ven
- Inyección, deserialización insegura y falsificación de solicitudes del lado del servidor
- Bibliotecas de terceros vulnerables y desactualizadas
Pipeline de build y entrega
Revisamos cómo llega el código a producción, porque un pipeline comprometido puede publicar cualquier cosa.
- Quién puede cambiar el pipeline y aprobar publicaciones
- Secretos en repositorios y logs de build
- Verificaciones de seguridad que pueden ejecutarse automáticamente en cada cambio
Cómo funciona
Una revisión se dimensiona por el tamaño del código y la cantidad de funcionalidades. Damos un precio cerrado después de una conversación corta y de una mirada al repositorio.
Alcance
Acordamos las aplicaciones, los repositorios y las funcionalidades que más importan, y firmamos un acuerdo de confidencialidad.
Revisar
Modelamos las amenazas, leemos el diseño y el código y confirmamos cada hallazgo antes de reportarlo.
Informe y presentación
Presentamos los hallazgos a sus desarrolladores, con la ubicación en el código, el riesgo y la corrección recomendada.
Nueva prueba
Después de que su equipo corrige los hallazgos, verificamos cada corrección y actualizamos el informe.
Qué necesitamos de usted
Acceso de lectura al código
Los repositorios del alcance, con acceso que usted otorga y quita.
Documentos de arquitectura
Diagramas o una explicación de cómo se construye y se publica el sistema.
Un entorno de prueba
Un entorno fuera de producción y cuentas de prueba con distintos roles.
Un contacto técnico
Alguien que pueda responder preguntas sobre el código durante la revisión.
Formas de trabajar con nosotros
Elija según cuánto de la aplicación quiere revisar y con qué frecuencia.
| Opción | Indicado para | Qué incluye |
|---|---|---|
| Revisión focalizada | Una funcionalidad nueva o un área sensible, como pagos o inicio de sesión | Modelado de amenazas y revisión de código de esa área, informe y nueva prueba |
| Revisión completa | Una aplicación antes de un lanzamiento, una auditoría o un cliente grande | Modelado de amenazas, revisión de arquitectura y de código de toda la aplicación, informe y nueva prueba |
| Programa de desarrollo seguro | Equipos que publican seguido y quieren mantener el código seguro | Revisión de los cambios importantes, verificaciones de seguridad en el pipeline y capacitación para desarrolladores |
Preguntas
¿Cómo manejan nuestro código fuente?
Bajo un acuerdo de confidencialidad, con acceso de solo lectura que usted otorga y quita. El código se revisa en su repositorio o en un entorno aislado y no se conserva después del trabajo.
¿Qué lenguajes revisan?
Los lenguajes y frameworks web y de back-end más comunes, como Python, Go, Java, JavaScript y TypeScript, PHP y C#. Indíquenos su stack durante el alcance y lo confirmamos.
¿También prueban la aplicación en funcionamiento?
Este servicio revisa el diseño y el código. Indíquenos durante el alcance si también necesita probar la aplicación en funcionamiento, y conversamos con usted sobre la mejor opción.
Otros servicios
Cuéntenos qué necesita.
Respondemos con algunas preguntas sobre el alcance y luego enviamos una propuesta con fechas y precio.