A segurança da aplciação é uma parte essencial do ciclo de vida do desenvolvimento de software, e acertar deve ser uma prioridade no ecossistema digital em constante evolução e expansão. A segurança do aplicativo é a prática de proteger seus aplicativos contra ataques maliciosos detectando e corrigindo falhas de segurança no código de seus aplicativos.

As organizações hoje investem muito tempo e dinheiro em ferramentas e processos que as ajudam a proteger suas aplicações durante todo o ciclo de vida do desenvolvimento de software. Alcançar a segurança de aplicativos tornou-se um grande desafio para os engenheiros de software, segurança e profissionais do DevOps à medida que os sistemas se tornam mais complexos e os hackers estão continuamente aumentando seus esforços para atingir a camada de aplicativos.

Como as organizações de desenvolvimento de software podem garantir que elas tenham todas as ferramentas e processos em vigor para lidar efetivamente com as muitas ameaças à segurança do aplicativo?

Conteudo:

Aplicativos permanecem o elo de segurança mais fraco

Os resultados dos principais relatórios de pesquisa do setor mostram que atacar fraquezas de aplicativos e vulnerabilidades de software continua sendo o método de ataque externo mais comum. Por exemplo, o Relatório de Investigações de Violação de Dados 2020 da Verizon descobriu recentemente que os aplicativos da Web são um vetor de hackers superior em violações. O relatório da Verizon afirma que “essa tendência de ter aplicações web como vetor desses ataques não vai embora”.

image

O Relatório de Segurança do Estado de Aplicação 2020 da Forrester também previu que as vulnerabilidades do aplicativo continuarão a ser o método de ataque externo mais comum, e descobriu que a maioria dos ataques externos tem como alvo vulnerabilidades de software ou aplicativos web.

image

Com base no Forrester’s The State Of Application Security 2020

Infelizmente, parece que a maioria das organizações continua investindo na proteção de outros vetores de ataque. Atualmente, a quantidade de investimento na proteção de determinadas áreas como a rede é muitas vezes inconsistente com o nível de risco associado a elas no cenário de ameaças de hoje.

De acordo com o relatório de pesquisa do Instituto Ponemon, O aumento do risco para aplicações corporativas, “O investimento em segurança de aplicativos não é proporcional ao risco”. O relatório da pesquisa mostra que “há uma diferença significativa entre o nível de risco de aplicação e o que as empresas estão gastando para proteger suas aplicações”, enquanto “o nível de risco para as redes é muito menor do que o investimento em segurança de rede”.

image

Para garantir uma segurança eficaz sobre aplicativos, as organizações precisam garantir que suas práticas de segurança de aplicativos evoluam além dos métodos antigos de bloqueio de tráfego e entendam que investir fortemente em segurança de rede não é suficiente.

As principais tecnologias de segurança de aplicativos

Quando se trata de investir em ferramentas de segurança de aplicativos,o mercado está cheio de uma variedade de novas e antigas tecnologias e soluções para ajudar as organizações a melhorar sua segurança de aplicativos e garantir que ela acompanhe os desafios de segurança do cenário de ameaças em evolução.

A taxonomia de mercado da Forresterpara ferramentas de segurança de aplicativos faz uma distinção entre dois segmentos de mercado: ferramentas de varredura de segurança e ferramentas de proteção de tempo de execução, e prevê que os gastos continuarão a subir para ambas as categorias.

image

Cada categoria de ferramentas de teste de segurança de aplicativos se concentra em um estágio diferente no ciclo de vida do desenvolvimento de software. As ferramentas de varredura de segurança são usadas para corrigir vulnerabilidades quando os aplicativos estão em desenvolvimento. A proteção do tempo de execução é realizada quando as aplicações estão em produção. É importante lembrar que as ferramentas de proteção de tempo de execução fornecem uma camada extra de proteção e não são uma alternativa à digitalização.

image

As ferramentas de varredura de segurança são usadas principalmente no desenvolvimento — os aplicativos são testados nas etapas de design e construção. O objetivo das ferramentas de varredura de segurança é a prevenção. Eles detectam e remediam vulnerabilidades em aplicativos antes de serem executados em um ambiente de produção. As ferramentas neste mercado incluem SAST (teste de segurança de aplicativos estáticos), DAST (teste dinâmico de segurança de aplicativos), IAST (teste interativo de segurança de aplicativos) e análise de composição de software.

As ferramentas de proteção runtime chegam mais tarde na produção. Eles são projetados para proteger contra jogadores mal-intencionados enquanto um aplicativo está sendo executado em um ambiente de produção. Essas ferramentas reagem em tempo real para se defender contra ataques. Este mercado é segmentado em firewalls de aplicativos web (WAF), gerenciamento de bots e RASP (autoproteção do aplicativo em tempo de execução).

image

Acertando: o modelo de maturidade de segurança do aplicativo

Embora obter as ferramentas certas para a segurança do aplicativo é importante, é apenas um passo. Embora a maioria das ferramentas hoje se concentre na detecção, uma política madura de segurança de aplicativos vai alguns passos adiante para preencher a lacuna da detecção à remediação.

Considerando o aumento contínuo das vulnerabilidades conhecidas do software, o foco na detecção deixará as organizações com um modelo de segurança de aplicativos incompleto. As ferramentas de segurança de aplicativos geralmente fornecem às equipes de segurança e desenvolvimento listas exaustivas de alertas de segurança. No entanto, as equipes também precisam ter os meios para corrigir rapidamente os problemas que apresentam os maiores riscos à segurança.

Para lidar com as ameaças mais urgentes à segurança de aplicativos, as organizações precisam adotar um modelo maduro de segurança de aplicativos que inclua priorização e remediação em cima da detecção.

Embora detectar tantos problemas de segurança na camada de aplicativos seja extremamente importante, considerando o atual cenário de ameaças e cronogramas de lançamento competitivos, tornou-se irrealista tentar corrigi-los todos. É importante lembrar a declaração dos analistas do Gartner Neil MacDonald e Ian Head do 10 Coisas para Acertar para DevSecOps bem-sucedidos: “Segurança perfeita é impossível, zero risco é impossível. Devemos trazer avaliação contínua de risco e confiança e priorização das vulnerabilidades de aplicativos ao DevSecOps.”

Um modelo maduro de segurança de aplicativos inclui estratégias e tecnologias que ajudam as equipes a priorizar — fornecendo-lhes as ferramentas para zerar as vulnerabilidades de segurança que apresentam o maior risco para seus sistemas para que eles possam enfrentá-los o mais rápido possível. Caso contrário, as equipes acabam gastando muito tempo de tempo separando através de alertas, debatendo o que corrigir primeiro e correndo o risco de deixar as questões mais urgentes desacompanhadas.

Em seguida, no modelo de maturidade de segurança de aplicativos vem a remediação — tecnologias que se integram perfeitamente ao ciclo de desenvolvimento para ajudar a corrigir problemas quando são relativamente mais fáceis e mais baratos de corrigir e atualizar versões vulneráveis automaticamente.

image

Segurança de aplicativos na velocidade do DevSecOps

À medida que os ciclos de desenvolvimento ficam mais curtos, profissionais de segurança e desenvolvedores lutam para resolver problemas de segurança, mantendo-se atualizados com o ritmo cada vez mais rápido dos ciclos de lançamento. Esse constante empurrão e puxão entre as necessidades de segurança do aplicativo e a velocidade de desenvolvimento muitas vezes resulta em atrito entre desenvolvedores que não querem segurança para atrasá-los e profissionais de segurança que sentem que os desenvolvedores estão negligenciando a segurança. A abordagem DevSecOps tenta resolver esse conflito e quebrar os silos entre desenvolvedores e segurança.

O DevSecOps enfrenta o desafio de aumentar continuamente o ritmo de desenvolvimento e entrega sem comprometer a segurança. Primeiro veio o DevOps, que ajudou as organizações a criar ciclos de lançamento mais curtos para que pudessem atender à demanda do mercado de fornecer produtos de software inovadores em um ritmo acelerado. O DevSecOps adiciona segurança ao mix, integrando a segurança durante todo o ciclo de vida do desenvolvimento de software (SDLC), para garantir que a segurança não desacelere o desenvolvimento e o desenvolvimento de aplicativos seja ágil e seguro.

O DevSecOps tem como objetivo integrar perfeitamente a segurança dos aplicativos nos estágios iniciais do SDLC, atualizando as práticas de segurança de aplicativos, ferramentas e trabalho em equipe das organizações. Ele exige a mudança de testes de segurança deixados para ajudar as equipes a trabalhar em conjunto para resolver problemas de segurança no início do desenvolvimento, quando a remediação pode ser relativamente simples.

Os hackers também estão acompanhando o cenário de desenvolvimento de software em evolução

À medida que as aplicações evoluem e assumem novas formas, os jogadores mal-intencionados se adaptam às novas tecnologias e ambientes. Os dias de aplicativos sendo pesados behemoths monolíticos cliente/servidor já se foram há muito tempo, e suas estratégias de segurança de aplicativos precisam se manter para se proteger contra ameaças atuais aos seus aplicativos.

Os atacantes comprometem aplicativos modernos através de pontos finais de API não-inseguros, cargas de API não validadas e ataques do lado do cliente injetando malware em scripts desprotegidos. O surgimento de novas arquiteturas, como nativos da nuvem e estruturas, oferece novas superfícies de ataque. Os profissionais de segurança precisam ajustar seu foco e abordar questões como integridade de imagem, vulnerabilidades em imagens comuns de contêineres e alterações em contêineres e funções na produção.

A segurança de aplicativos é um ecossistema em constante evolução de ferramentas e processos. Se você quiser ficar à frente dos hackers, você precisa ter certeza de que suas práticas de segurança de aplicativos são as melhores.

Autor: PATRÍCIA JOHNSON

Artigo Original