Desarrolle habilidades de programación segura en cada etapa del SSDLC

Añada formación centrada en el desarrollador a archivos SARIF estándar del sector, directamente en los flujos de trabajo de escaneo de código de GitHub con nuestra nueva GitHub Action.

El 30 de septiembre, GitHub anunció oficialmente la disponibilidad general de GitHub code scanning. El escaneo de código de GitHub es un enfoque nativo de GitHub, pensado para el desarrollador, que permite encontrar vulnerabilidades de seguridad fácilmente antes de que lleguen a producción.

El escaneo de código se integra con GitHub Actions —o con un entorno de CI/CD existente— para maximizar la flexibilidad de los equipos de desarrollo. Escanea el código a medida que se crea, mostrando revisiones de seguridad procesables dentro de las solicitudes de extracción (pull requests) y automatizando la seguridad como parte de un flujo de trabajo de GitHub.

Un enfoque de seguridad fluido para los desarrolladores.

Basado en el estándar abierto SARIF (Static Analysis Results Interchange Format), el escaneo de código está diseñado para adaptarse a las necesidades siempre cambiantes de las organizaciones, permitiéndoles incluir soluciones de pruebas de seguridad de aplicaciones estáticas (SAST) comerciales y de código abierto dentro de la misma experiencia nativa de GitHub.

Las herramientas de escaneo de código de terceros pueden iniciarse con una GitHub Action o una GitHub App basada en un evento en el propio GitHub, como una solicitud de extracción. Los resultados se formatean como SARIF y se cargan en la pestaña de alertas de seguridad de GitHub. Las alertas se agregan por herramienta y GitHub puede rastrear y suprimir alertas duplicadas. Esto permite a los desarrolladores usar su herramienta preferida para cualquiera de sus proyectos en GitHub, todo dentro de la experiencia nativa de GitHub. En pocas palabras, elimina las interrupciones de los enfoques de seguridad tradicionales y respeta el flujo de trabajo del desarrollador.

Ayer, GitHub destacó a Secure Code Warrior como el único proveedor de formación centrado en el desarrollador en su publicación de blog, Third-Party Code Scanning Tools: Static Analysis & Developer Security Training, junto a Snyk, Checkmarx, Fortify On Demand, Synopsis y Veracode.

Aunque muchas soluciones SCA/SAST proporcionan muchos detalles sobre cada vulnerabilidad descubierta, así como referencias a avisos publicados y CWE asociados, no todos los desarrolladores son expertos en seguridad, ni se espera que lo sean. Los consejos y herramientas prácticos y utilizables son la clave para una concienciación efectiva.

Microaprendizaje contextual.

Cuanto más contexto tengan los desarrolladores sobre las vulnerabilidades, mejor podrán entender los riesgos, priorizar la corrección de los problemas más urgentes y, en última instancia, prevenirlos desde el principio. Ahí es donde entra Secure Code Warrior. Nuestra misión es capacitar a los desarrolladores para escribir código seguro desde el inicio mediante una formación divertida, atractiva y específica para cada framework, ayudándoles a pensar y programar con una mentalidad de seguridad para lograr mejoras rápidas en el cumplimiento, la consistencia, la calidad y la velocidad de desarrollo.

Integración con el escaneo de código de GitHub

Secure Code Warrior ha creado una GitHub Action que aporta aprendizaje contextual al escaneo de código de GitHub. Esto significa que los desarrolladores pueden usar una acción de terceros, como Snyk Container Action, para encontrar vulnerabilidades y luego complementar los resultados con aprendizaje hiperrelevante y específico para CWE.

La GitHub Action de Secure Code Warrior procesa un archivo SARIF estándar del sector y añade aprendizaje contextual basado en las referencias CWE en un objeto de regla SARIF. Esto permite a los equipos de desarrollo y seguridad no solo encontrar vulnerabilidades, sino enriquecer los informes de las herramientas SAST compatibles con conocimientos prácticos que les ayudan a evitar que las vulnerabilidades vuelvan a ocurrir.

¿Listo para probarlo?

Obtenga la acción gratis directamente desde GitHub Marketplace aquí.
Más información sobre la GitHub Action de Secure Code Warrior aquí.