Análisis demasiado lentos
Un análisis que tarda horas no cabe en un pipeline. Los equipos acaban desactivándolo en las ramas de trabajo y la cobertura disminuye.
El contexto
Por qué la seguridad pertenece al desarrollo
Una aplicación ya no se escribe desde cero: ensambla dependencias, bibliotecas de terceros y código generado, que aportan cada uno sus propias vulnerabilidades. Con los asistentes de código de IA, una parte creciente de ese código se produce automáticamente y se integra sin una revisión a fondo: puede reproducir fallos conocidos, llamar a bibliotecas obsoletas o incluir secretos, a un ritmo que la revisión manual no puede seguir. A ello se suman errores que se cuelan fácilmente en el código: credenciales y claves de API codificadas, tokens almacenados en claro. Una vez publicada la aplicación, los secretos integrados en el binario pueden extraerse mediante ingeniería inversa.
Corregir estos errores en el momento en que se escriben cuesta poco. Tras la publicación, hay que recompilar y volver a publicar la aplicación.
Las exigencias van en el mismo sentido. DORA prevé para las entidades financieras un programa de pruebas que puede incluir revisiones del código fuente, y la CNIL recomienda seguir los niveles L1 y L2 de las recomendaciones de OWASP para las aplicaciones móviles.
Para que este control no ralentice la entrega, el análisis debe integrarse en las herramientas que los desarrolladores ya utilizan, el IDE y la CI/CD, en lugar de añadir una etapa aparte.
La solución
Cómo Pradeo se integra en su cadena
El SAST de Pradeo se integra en los entornos de desarrollo, en el IDE y en la cadena CI/CD. El código producido por un asistente de IA se analiza igual que el escrito por sus desarrolladores. Analiza automáticamente el código fuente y clasifica cada vulnerabilidad según el OWASP Top 10, el SANS Top 25 y la puntuación CVSS, con una ayuda a la corrección basada en las buenas prácticas ya presentes en el código.
Las vulnerabilidades más críticas se destacan en un plan de acción compartido entre los equipos, que conservan sus herramientas y tratan los resultados en su cadena de desarrollo, en lugar de en una etapa aparte.