¿Prueba gratuita de AppSec? 6 herramientas gratis para empezar

Puedes montar un pipeline creíble de pruebas de seguridad de aplicaciones únicamente con herramientas gratuitas y de código abierto, sin necesidad de descargar ninguna versión de prueba. El truco está en cubrir a propósito cuatro categorías: análisis estático, análisis dinámico, análisis de dependencias y detección de secretos. Cada una encuentra un tipo distinto de problema, y saltarse una deja un hueco previsible.

¿Buscas una prueba gratuita de seguridad de aplicaciones? Puedes cubrir hoy mismo las cuatro categorías, sin llamadas comerciales, con seis herramientas gratuitas: Semgrep (SAST), OWASP ZAP (DAST), Trivy y Dependabot (dependencias) y Gitleaks o TruffleHog (secretos). Ejecútalas primero contra tu propio código. Cuando después pruebes una plataforma comercial, tendrás una referencia con la que compararla, que es la única forma de que una prueba de dos semanas te diga algo. ¿Eres nuevo en estas categorías? Empieza por qué es DAST y cómo ASPM reúne los resultados.

¿Se pueden hacer de verdad pruebas de seguridad de aplicaciones gratis?

En buena parte, sí. Existen herramientas de código abierto maduras en todas las categorías principales, y las grandes plataformas de alojamiento de código incluyen funciones gratuitas de análisis de dependencias y de detección de secretos. Las herramientas gratuitas te exigen más trabajo de montaje, ajuste e informes que una plataforma comercial, pero la detección en sí puede ser excelente. Un camino sensato es empezar gratis y gastar dinero solo donde una carencia concreta y medida lo justifique.

¿Cuáles son las principales categorías de herramientas AST?

• SAST (Static Application Security Testing) lee tu código fuente en busca de patrones vulnerables antes de que se ejecute.
• DAST (Dynamic Application Security Testing) prueba una aplicación en ejecución desde fuera, como lo haría un atacante.
• SCA (Software Composition Analysis) encuentra dependencias de terceros y de código abierto con vulnerabilidades conocidas.
• La detección de secretos detecta las credenciales y las claves que se han confirmado en el código.

Un programa razonable cubre las cuatro, porque cada una detecta algo que las demás pasan por alto.

¿Qué herramientas SAST y DAST gratuitas son conocidas?

En el lado estático, Semgrep es un analizador de código abierto muy usado, con un gran conjunto de reglas de la comunidad, que funciona en local y en el CI. Para las pruebas dinámicas, OWASP ZAP es el escáner gratuito de aplicaciones web más conocido, mantenido como proyecto de código abierto. Ambas se desarrollan activamente y están muy extendidas. Como siempre, confirma las condiciones actuales de la licencia y de la edición antes de estandarizar cualquier herramienta, porque pueden cambiar.

¿Cómo encuentro gratis dependencias vulnerables y secretos filtrados?

En estas dos categorías es donde las herramientas gratuitas aportan más valor más rápido.

• Dependencias: Trivy analiza proyectos e imágenes de contenedores en busca de componentes con vulnerabilidades conocidas, y Dependabot genera alertas y pull requests de actualización en los repositorios compatibles.
• Secretos: Gitleaks y TruffleHog analizan el código y su historial en busca de credenciales y claves confirmadas.

Ejecutar una herramienta SCA y un detector de secretos cierra dos de los huecos más comunes y de mayor impacto que tienen la mayoría de los equipos.

Qué probar en una prueba gratuita de seguridad de aplicaciones

Si pruebas una plataforma comercial de AppSec, configúrala para que la prueba responda a una pregunta. Consulta antes las condiciones actuales de la prueba o del plan gratuito del proveedor; cambian a menudo.

• Usa tu propio repositorio, no la aplicación de demostración del proveedor, y el mismo con el que ejecutaste las herramientas gratuitas.
• Cuenta los verdaderos y los falsos positivos en los 20 hallazgos principales. Una herramienta que encuentra más cosas pero se equivoca la mitad de las veces te cuesta más de lo que te ahorra.
• Mide el tiempo hasta el primer resultado útil en el CI: cuánto pasa desde el registro hasta un hallazgo en una pull request.
• Comprueba adónde va tu código. ¿Sale el código fuente de tu entorno, dónde se guarda y durante cuánto tiempo?
• Revisa las indicaciones de corrección y la deduplicación, y si los hallazgos se exportan bien a tu herramienta de seguimiento.
• Calcula el precio con tus cifras reales: desarrolladores, repositorios o análisis, lo que use el proveedor para cobrar.

Para la parte de dependencias en concreto, nuestro escáner de paquetes npm y la guía sobre los ataques de confusión de dependencias son una referencia rápida.

¿Deben ejecutarse las herramientas gratuitas en CI/CD?

Sí, y ahí es donde el valor se multiplica. Un escáner que se ejecuta en cada cambio detecta mucho más que uno que te acuerdas de ejecutar de vez en cuando.

• Conecta SAST, SCA y la detección de secretos a tu pipeline de pull requests y de compilación para que los problemas se detecten antes de fusionar.
• Programa DAST contra entornos de prueba y no contra producción.
• Empieza haciendo fallar las compilaciones solo ante hallazgos de alta confianza y gravedad alta para evitar la fatiga de alertas, y después endurece los umbrales a medida que el equipo se adapta.

Juntándolo todo

Una pila gratuita con una herramienta SAST, un escáner DAST, una herramienta SCA y un detector de secretos, todos conectados al CI, te da una cobertura significativa sin coste de licencias. Gasta tu presupuesto en los huecos que queden, no en la base que puedes construir gratis.