Sonatype expondrá en CISO Day 2020 la importancia del DevSecOps y la gestión de OSS

16 septiembre, 2020
12 Compartido 1,139 Visualizaciones
  • Los expertos en seguridad advierten de un aumento interanual del 430% en los ataques dirigidos directamente a los componentes de código abierto con el fin de infectar de forma encubierta las principales cadenas de suministro de software.

  • Desde Sonatype nos hablarán en CISO Day 2020 de la importancia del DevSecOps y la gestión de OSS

Se registraron 929 ataques entre julio de 2019 y mayo de 2020, según el informe anual de Sonatype sobre el estado de la cadena de suministro de software. El estudio se compiló a partir del análisis de 24.000 proyectos de código abierto y 15.000 organizaciones de desarrollo, junto con entrevistas a 5600 desarrolladores de software.

El objetivo de los componentes de código abierto por parte de los agentes maliciosos es preocupante debido a su popularidad entre los equipos de DevOps para acelerar el tiempo de comercialización. Según el informe, se proyectan 1,5 billones de solicitudes de descarga de componentes en 2020 en todos los principales ecosistemas de código abierto. Se cree que los repositorios Node.js (npm) y Python (PyPI) se encuentran entre los objetivos más comunes de los atacantes, ya que el código malicioso se puede activar fácilmente durante la instalación de los paquetes.

Este tipo de ataque a la cadena de suministro de software es posible porque en el mundo del código abierto es más difícil discriminar entre los actores buenos y malos, y debido a la naturaleza interconectada de los proyectos, afirmó Sonatype. En este último punto, los proyectos de código abierto pueden tener cientos o miles de dependencias de otros proyectos que pueden contener vulnerabilidades conocidas que pueden ser explotadas.

En 2019, más del 10% de las descargas mundiales de OSS de Java tenían al menos una vulnerabilidad de código abierto, y los nuevos fallos se explotaban en estado salvaje a los tres días de su divulgación pública, según el informe.

Hoy en día, el 90% de los componentes de una aplicación son de código abierto y el 11% de ellos se sabe que contienen vulnerabilidades.
El director general de Sonatype, Wayne Jackson, estableció una distinción entre los ataques de «próxima generación» y los ataques a la cadena de suministro de software «heredado», en los que los atacantes van tras las vulnerabilidades de los productos tan pronto como se revelan antes de que las organizaciones tengan tiempo de remediarlas.»Nuestra investigación muestra que los equipos de ingeniería comercial están acelerando su capacidad de responder a las nuevas vulnerabilidades de día cero«, dijo. «Por lo tanto, no debería sorprender que los ataques a la cadena de suministro de próxima generación hayan aumentado un 430%, ya que los adversarios están desplazando sus actividades ‘hacia arriba’ donde pueden infectar un único componente de código abierto que tiene el potencial de ser distribuido ‘hacia abajo’ donde puede ser estratégica y secretamente explotado«.

Los equipos de desarrollo capaces de mitigar estos riesgos tienen más probabilidades de utilizar herramientas de análisis de composición de software (SCA) automatizadas a lo largo del ciclo de vida del dispositivo, y de mantener centralmente una lista de materiales de software (SBOM) para las aplicaciones, según el informe.

Mantente informado de las noticias más relevantes en nuestro canal de Telegram

Te podría interesar

Preguntas frecuentemente sobre el código abierto y cómo se relaciona con Bonitasoft
Actualidad
8 compartido1,188 visualizaciones
Actualidad
8 compartido1,188 visualizaciones

Preguntas frecuentemente sobre el código abierto y cómo se relaciona con Bonitasoft

Redacción - 24 septiembre, 2020

Por Miguel Valdés Faura, CEO y cofundador He mantenido relación con el mundo del código abierto durante 20 años, primero…

Aumentan los ataques de “Sextorsion” a través de Whatsapp
Actualidad
18 compartido2,594 visualizaciones
Actualidad
18 compartido2,594 visualizaciones

Aumentan los ataques de “Sextorsion” a través de Whatsapp

Samuel Rodríguez - 26 febrero, 2019

En 2019 aumentarán los ataques de ‘Sextorsión express’ con micropagos a través de Whatsapp. Seguramente, hayas recibido alguna vez un…

Wannacry no ha desaparecido y sigue poniendo en peligro a tus dispositivos
Actualidad
5 compartido2,052 visualizaciones
Actualidad
5 compartido2,052 visualizaciones

Wannacry no ha desaparecido y sigue poniendo en peligro a tus dispositivos

Alicia Burrueco - 19 mayo, 2020

Esta amenaza es muy importante todavía a día de hoy. Seguramente haya muchos usuarios que no sepan lo que es…

Deje un comentario

Su email no será publicado

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.