Servicios / Evaluaciones técnicas
Seguridad de aplicaciones durante el desarrollo.
Las decisiones de diseño, la implementación y las dependencias influyen en la seguridad del producto. Una revisión de AppSec permite examinar esos elementos junto con el contexto del equipo de desarrollo y convertir las observaciones en cambios concretos sobre el software.
- Superficie
- Controles y flujos críticos
- Preparación
- Código y contexto acordados
- Resultado
- Observaciones con recomendaciones
Cuándo tiene sentido.
Al cambiar arquitectura, agregar una integración o implementar controles de autenticación y permisos. El diseño y el código aportan información que puede complementar una evaluación de la aplicación en ejecución.
Cuando existen resultados de herramientas automáticas que necesitan validación y prioridad. El contexto permite determinar qué componente está presente, cómo se utiliza y qué condiciones hacen relevante una alerta.
Qué se revisa.
Controles que requieren lectura manual
Puntos donde se decide quién puede actuar, qué datos se aceptan y cómo se mantienen las reglas del producto. Se examinan las relaciones entre componentes y las rutas que pueden eludir un control. La selección de módulos parte de las funciones prioritarias.
Autenticación y modelo de permisos
Relación entre identidad, sesión, organización y recurso. La revisión puede seguir el recorrido de una operación desde su entrada hasta la decisión de autorización. Documentar el comportamiento esperado ayuda a distinguir un defecto de una política todavía no definida.
Dependencias en el contexto del producto
Componentes directos y transitivos, funciones utilizadas y exposición de los recorridos afectados. Una alerta necesita relacionarse con la versión resuelta y con el uso real. La falta de una explotación demostrada no convierte automáticamente una dependencia en segura.
SAST, DAST y SCA
El análisis estático observa implementaciones; el dinámico examina comportamientos en ejecución; el de composición identifica componentes y avisos conocidos. Cada técnica cubre una parte del sistema. Su selección y validación dependen del producto y del objetivo acordado.
Correcciones y comprobaciones
Las recomendaciones señalan el control que necesita cambiar y las condiciones que deben conservarse. Cuando se incluye revisión de correcciones, se comprueba el escenario original y los comportamientos relacionados acordados, para evitar que la solución afecte usos legítimos.
Autorización distribuida entre capas
Ejemplo ilustrativo: el frontend oculta una acción, pero el servicio que modifica el recurso no comprueba el permiso. La revisión sigue la operación hasta el punto de decisión y propone que el servidor valide identidad, organización, recurso y acción. La prueba de corrección debe cubrir acceso permitido y denegado.
Cómo preparar la evaluación.
- Identificar repositorios, versiones, módulos y lenguajes relevantes. La compatibilidad del stack y la modalidad de revisión se confirman antes de contratar; no se presupone soporte para todas las tecnologías.
- Aportar instrucciones de construcción o ejecución, diagrama de componentes, modelo de roles y archivos de dependencias cuando resulten necesarios.
- Acordar acceso al código, confidencialidad, restricciones de copia y canal para compartir información. No enviar repositorios privados ni secretos a través del formulario público.
Qué queda documentado.
Contexto y alcance de la revisión: versión o referencia de código, módulos y recorridos examinados, con limitaciones de acceso o ejecución.
Observaciones validadas con ubicaciones relevantes, condiciones, consecuencias y recomendaciones. Las alertas pendientes de validación se distinguen de hallazgos comprobados.
Propuesta de comportamientos para verificar la corrección. La implementación de cambios, integración en CI y revalidación se incluyen solo cuando la propuesta las define.
Explorar la muestra del informeCondiciones y límites.
Una revisión se realiza sobre una versión y un conjunto de componentes. No equivale a examinar todas las líneas del repositorio ni todos los caminos posibles. Dependencias externas, servicios no disponibles y documentación incompleta pueden limitar la conclusión. Las herramientas automáticas complementan el análisis y requieren interpretación.
El alcance final, los accesos y las condiciones comerciales quedan definidos en la propuesta. Podés consultar el recorrido de trabajo y la información para preparar una cotización.
El siguiente paso
Definamos qué necesitás evaluar.
Contanos qué hace tu sistema, qué cambió y qué necesitás conocer. Con ese contexto podemos conversar sobre el alcance.