También hacemos que las pruebas dinámicas sean rápidas. Al colocar el escáner lo más cerca posible de la aplicación y utilizar estándares abiertos para informar al escáner, como especificaciones OpenAPI, GraphQL y consultas de introspección, SOAP y WSDL, además de la configuración del escáner que hemos realizado, la mayoría de las aplicaciones de los clientes de StackHawk se escanean en un promedio de 10 minutos o menos.
Encontrar y solucionar problemas de seguridad es simple con StackHawk. Nuestro enfoque como empresa es ayudar a los desarrolladores a encontrar y, lo que es más importante, solucionar problemas de seguridad. El escáner y la plataforma de StackHawk están construidos en torno a este modelo de simplicidad. El escáner se configura mediante YAML que se encuentra junto con el código de la aplicación que estás probando.
Cuando se clasifican los hallazgos de StackHawk, la plataforma intenta brindarte la versión más simple de la información necesaria para ayudarte a comprender rápidamente cuál es el problema, con descripciones simples y ejemplos de patrones para ayudarte a identificar el anti-patrón, poder recrear el problema con herramientas como el comando curl para repetir el ataque y ponerte en modo de depuración, avanzando rápidamente a través del código para ayudarte a solucionar problemas y volver a tu trabajo habitual de crear valor para tus clientes.
Todo esto es compatible con CI/CD. Nuevamente, puedes integrarlo en tu proceso de CI y, lo que es más importante, obtener comentarios sobre los hallazgos del escaneo en el proceso de CI. Esta información se puede utilizar para interrumpir una compilación si así lo deseas, según la gravedad de los hallazgos no clasificados. Aquí se muestran los logotipos de la mayoría de los principales jugadores de CI, y aunque tu plataforma en particular no esté aquí, es muy probable que StackHawk funcione en ella siempre que pueda ejecutar un contenedor Docker. Si puedes ejecutar Docker, puedes ejecutar StackHawk.
También puedes ver aquí que StackHawk se integra con tus herramientas de flujo de trabajo e información. Podemos notificarte los resultados del escaneo en un canal de Slack, publicar esa información en DataDog o enviarte un mensaje de webhook simple que luego puedes utilizar para procesar y hacer lo que desees con los datos.
Echemos un vistazo a cómo se ve la ejecución del escáner de StackHawk. Como puedes ver aquí, tengo una aplicación del lado del servidor estándar. Esta es una aplicación de encuestas que quiero probar en busca de problemas de seguridad. Aquí en mi línea de comandos, tengo un simple comando Docker que ejecuté. Así que ejecuté 'docker run stackhawk'. Le proporcioné el archivo YAML de StackHawk, lo veremos en un momento. Como puedes ver, hizo un rastreo estándar buscando todas las cosas interesantes en la página web que pudo encontrar, y luego realizó un ataque. Así que atacó activamente esta aplicación en busca de posibles problemas de seguridad. Cuando todo terminó, obtuvimos un resumen de estos hallazgos. En realidad, tengo un problema de inyección SQL que debo solucionar. Puedes ver que es nuevo. También tengo un problema de cross-site scripting con el que ya hice algo antes. De hecho, hice un ticket con esto. Ahora está en estado asignado. Tenemos muchas otras cosas que también podemos ver, pero echemos un vistazo a eso también. Aquí en la parte inferior, en realidad tenemos un enlace a este escaneo.
Comments