AppSec to Go

Após uma série de problemas de segurança e vazamentos de informações de cartões de crédito no início dos anos 2000, várias empresas se juntaram em um Consórcio para trabalhar em uma possível solução. Por isso, em 2006, as maiores empresas do ramo de cartão de crédito se uniram e formaram o PCI-SSC ( Payment Card Industry Security Standards Council ), em português, Padrão de Segurança de Dados da I...

A quantidade de informações e dados gerados durante o processo de desenvolvimento , ou mesmo na realização de testes em seus sistemas é de extrema importância para o bom desempenho da gestão. A falta ou a dificuldade de encontrar informações é, sem dúvida, um ponto que leva um peso muito grande tanto para o processo de gestão de vulnerabilidades , quanto para outros processos de desenvolvimento se...

Quando falamos de Hardening de Sistemas estamos nos referindo à análise feita em sistemas que hospedarão a aplicação em busca de serviços, configurações padrão, portas lógicas e outras coisas desnecessárias para aquela aplicação. Sempre que tratamos de segurança de aplicações web com nossos clientes deixamos bem claro que não há segurança de uma aplicação web se esta não for suportada por um siste...

Existem alguns pontos que, na Conviso, entendemos ser bem importantes quando falamos em continuidade de um programa de Security Champions. Isso vale para tanto param que está com seu programa operacional, quanto para quem está desenhando o seu programa.

Encontramos muitos gestores e profissionais de desenvolvimento que entendem a gestão de vulnerabilidades como sendo a simples execução de uma ferramenta que irá fazer o scan de vulnerabilidades .

Ainda é comum no mercado encontrarmos empresas com algumas dúvidas quando o assunto é desenvolvimento seguro. Como por exemplo, quais são as diferenças entre code review e pentest . Uma destas dúvidas está relacionada com o momento correto de execução de alguns tipos de testes no processo de desenvolvimento seguro . Pensando nisso, vamos apresentar alguns conceitos e informações que esperamos que...

Em tempos de leis, normas e outras regulamentações que exigem mais segurança nas aplicações, ainda temos muita dúvida pairando sobre assuntos relacionados a segurança de aplicações. Uma destas discussões é quando falamos na adoção de modelos de Continuous Application Security em substituição ao uso de testes pontuais , como por exemplo os pentests . Vamos entender um pouco mais sobre cada um deles...

Vamos explicar qual é a diferença entre o Scan de Vulnerabilidades e o Penetration Testing, dois serviços que por vezes podem despertar dúvidas. Esperamos, com isso, contribuir com um melhor entendimento sobre o tema.

O que precisamos ter em mente é que há sim diferenças e momentos mais indicados para cada um destes testes, e eles devem ser observados para termos um melhor retorno em seus resultados. Se você tem dúvidas sobre o que vem a ser e quando usar cada um dos tipos de pentests, confira o guia que preparamos a seguir.

Buscar implementar um processo é sempre uma tarefa bem complicada, envolve uma série de mudanças que muitas vezes esbarra em uma equipe resistente e que é avessa à mudança .

Enquanto especialistas em Segurança de Aplicações (AppSec), sentimos a necessidade de criar uma ponte entre as áreas em disputa e acreditamos que a figura do Security Champion pode ajudar a pavimentar este caminho.

Quando construímos, juntos a nossos clientes, processos de desenvolvimento seguro sempre buscamos primeiro entender como podemos ajudar sem levar para dentro das equipes mais pontos de fricção .

Um dos problemas é que durante o processo de desenvolvimento , existe uma série de dados que são gerados e precisam ser analisados e tratados . Estes dados são importantes para que todo o processo aconteça de forma a garantir a segurança dos códigos.

Durante o desenvolvimento de um software, os gerentes de TI buscam garantir a entrega de um produto com uma baixa quantidade de bugs no menor tempo possível. No entanto, durante esse processo, não são raros os casos em que gestores ignoram práticas de segurança que evitam, no futuro, vazamento de dados sigilosos. Diante desse cenário, é fundamental que certas rotinas sejam tomadas, ainda que...

A segurança de aplicativos e softwares de computadores é simplesmente uma das etapas mais importantes do planejamento para o desenvolvimento. Afinal, o nível de confiabilidade é o que determinará o sucesso dele, e isso se refletirá no número de usuários ativos no aplicativo, por exemplo. E não tem como falar em segurança sem mencionar o OWASP.

Dentro de empresas que produzem softwares é comum existir uma disputa entre duas áreas. Para a área de desenvolvimento, as equipes de segurança são pontos de gargalo de um processo de desenvolvimento já bem espremido por incontáveis exigências de novas funcionalidades e novos produtos, que devem ser lançados cada vez mais rápido.

Falhas de software são uma constante para quem trabalha com desenvolvimento. Em menor grau, elas podem representar apenas pequenos problemas na execução de um sistema

A segurança no desenvolvimento de softwares deve levar em consideração diversos fatores. As necessidades do cliente, o público-alvo e a exigência de entrega de builds rápidas são apenas alguns detalhes da rotina de um time de desenvolvimento.

Manter equipes grandes trabalhando com os mesmos objetivos, e mantendo um padrão dentro de um processo que muitas vezes permite uma certa liberdade ao desenvolvedor não é fácil.

As ferramentas de SAST e DAST são muito importantes dentro de um processo de desenvolvimento e defendemos sempre o seu uso onde e quando for necessário .

Afinal, qual é a diferença entre Code Review e SAST e quando usar cada um deles? Neste primeiro artigo vamos tratar mais sobre as ferramentas de análise automatizadas, falando em seguida sobre as ferramentas de Secure Code Review .