Pruebas de seguridad de JS en GitHub Actions

StackHawk es una empresa que ofrece un escáner DAST llamado HawkScan, basado en la utilidad OAuth Zap de código abierto. Ofrece características como configuración YAML simple, integraciones CI/CD para todas las plataformas principales, notificaciones en Slack y MSTeams, integración con Jira y soporte para webhooks.

En el taller, GitHub Actions se utiliza para construir automáticamente una aplicación de nodo cada vez que se realiza un check-in de código. Se incorporan herramientas como Dependabot para escanear vulnerabilidades, CodeQL para análisis de código y StackHawk para escaneos DAST.

Dependabot es una herramienta de análisis de composición de software que escanea las dependencias de una aplicación y busca vulnerabilidades conocidas. Está integrado con GitHub y puede emitir solicitudes de extracción para actualizar las dependencias a versiones más seguras automáticamente.

Se pueden agregar tres tipos de pruebas de seguridad: SCA (Análisis de Composición de Software), que revisa las dependencias; SAST (Prueba de Seguridad de Aplicaciones Estáticas), que analiza el código en busca de patrones vulnerables; y DAST (Prueba de Seguridad de Aplicaciones Dinámicas), que opera en código en ejecución.

CodeQL es una herramienta de análisis estático de código que escanea la base de código de una aplicación en busca de patrones que puedan indicar vulnerabilidades. Es parte de GitHub y es especialmente útil para detectar problemas de seguridad antes de que el código se ejecute en producción.

Para participar en el taller, los asistentes necesitan un navegador web y una cuenta de GitHub. Se proporcionan guías y ejemplos de código en GitHub, así como enlaces en los chats de Zoom y Discord para facilitar la comunicación y colaboración entre los participantes.