Bugs Detectados en el Origen
Secure Code Review white box, por quienes publican advisories y exploits
El proceso de Code Review tiene como objetivo la identificación de vulnerabilidades dentro del código fuente. Representa una de las fases más importantes para el desarrollo de aplicaciones seguras, permitiendo identificar posibles problemas de seguridad antes de que el software pase a producción, reduciendo significativamente los costes.
Dado que la actividad de Code Review tiene un alto grado de complejidad, es fundamental que el auditor tenga sólidas bases en los conceptos de programación segura, en las principales tipologías de ataque y que tenga una buena familiaridad con la lectura y el análisis del código.
El servicio de Code Review que ofrece ISGroup es llevado a cabo por un equipo de personas con años de experiencia tanto en programación como en el análisis de fuentes de grandes aplicaciones.
ISGroup es el proveedor ideal para sus necesidades de Code Review y opera con seriedad según estándares reconocidos internacionalmente gracias al compromiso constante en el ámbito de la investigación.
El proceso se compone fundamentalmente de dos fases. En la inicial, la aplicación completa es examinada por una o varias herramientas de análisis estático. Dichas herramientas tienen el propósito de simular la ejecución del código e identificar las eventuales vulnerabilidades. Este enfoque presenta grandes ventajas frente al simple testing de la aplicación, ya que se tiene pleno conocimiento del comportamiento de la aplicación.
En la fase siguiente se analiza manualmente el código concentrándose en las partes más delicadas de la aplicación. El análisis es llevado a cabo por un equipo heterogéneo de personas altamente especializadas, con el fin de identificar todas las vulnerabilidades que no son inmediatamente detectables.
Esta segunda fase es necesaria dado que las herramientas automáticas no son capaces de identificar correctamente todas las vulnerabilidades debido a la complejidad intrínseca de dicha tarea.
Recibirás un documento claro y detallado, dividido en tres áreas.
Resume los problemas detectados en el código fuente de la aplicación y los posibles errores de implementación. Además proporciona una valoración del nivel general de seguridad.
Indica para cada problema identificado la sección del código fuente afectada, una explicación detallada del problema y su solución (Remediation).
Ordena las intervenciones recomendadas por riesgo (crítico, alto, medio, bajo) y por esfuerzo de corrección (alto, medio, bajo).
Los especialistas analizan la lógica de negocio, los accesos y los flujos que requieren contexto de la aplicación.
Combina análisis estático, validación manual de los resultados y revisión de las partes más críticas del código.
Utiliza IA para examinar el código y confía a un especialista la validación de los hallazgos de seguridad.
Al finalizar la Code Review recibes un documento firmado, en italiano e inglés, que indica la actividad, el periodo y el alcance. A diferencia del informe, no contiene vulnerabilidades ni detalles técnicos: puedes entregarlo a quien te lo pida sin exponerte. Está incluido en el servicio.
Una Secure Code Review es el análisis de seguridad del código fuente de una aplicación. ISGroup combina herramientas de análisis estático (SAST) con la revisión manual de flujos, controles, autorizaciones y lógica de negocio, en el código y los componentes críticos acordados en la oferta.
La Code Review examina el código fuente, mientras que un test de penetración verifica el comportamiento y las superficies expuestas de la aplicación en ejecución. Para aplicaciones web el servicio específico es el Web Application Penetration Test; para apps iOS y Android, el Mobile Application Security Testing.
Para iniciar la Code Review, ISGroup necesita el código fuente, entregado mediante un canal digital seguro y, cuando las herramientas de análisis lo requieren, como proyecto compilable.
El coste de la Code Review depende de la modalidad elegida: revisión híbrida con herramientas y análisis manual, Best Effort o esfuerzo dimensionado según el número de líneas de código (SLOC). El precio y la duración se indican en la oferta una vez definido el alcance. Hay disponible una consulta gratuita de 30 minutos para aclarar repositorios, lenguajes y objetivos antes de la oferta.
El informe de la Code Review incluye un Executive Summary para la dirección, Technical Details con el código afectado, la explicación y la corrección de cada problema, y un Remediation Plan ordenado por riesgo y esfuerzo. También recibes un Certificado de ejecución firmado. No incluye información sobre vulnerabilidades ni detalles técnicos y puedes entregarlo a terceros.
ISGroup publica advisories y exploits según el modelo de responsible disclosure, coordinando la publicación con el lanzamiento de la corrección por parte del fabricante. Los advisories y CVE publicados pueden consultarse en la sección Investigación.
Da forma a tus prioridades de seguridad con una propuesta a medida