OWASP secureCodeBox

secureCodeBox es una cadena de herramientas modularizada basada en Kubernetes para escaneos de seguridad continuos de tu proyecto de software. Su objetivo es orquestar y automatizar fácilmente un conjunto de herramientas de prueba de seguridad listas para usar.

Visión general

• OWASP secureCodeBox
  • Overview
  • Purpose of this Project
  • Quickstart
  • Architecture Overview
  • Upgrading
  • License
  • Community
  • Contributing
  • Sponsors
  • Author Information

For additional documentation aspects please have a look at our documentation website:

Propósito de este proyecto

La forma típica de garantizar la seguridad de las aplicaciones es contratar a un especialista en seguridad (también conocido como probador de penetración) en algún momento del proyecto para que revise la aplicación en busca de errores y vulnerabilidades de seguridad. Por lo general, esta revisión se realiza en una etapa posterior del proyecto y tiene dos inconvenientes principales:

1. Hoy en día, muchos proyectos realizan entrega continua, lo que significa que los desarrolladores despliegan nuevas versiones varias veces al día. El probador de penetración solo puede revisar una instantánea, pero algunos commits posteriores podrían introducir nuevos problemas de seguridad. Para garantizar la seguridad continua de la aplicación, el probador de penetración también debería realizar pruebas continuas. Desafortunadamente, este enfoque rara vez es financieramente viable.
2. Debido a un análisis típicamente limitado en el tiempo, el probador de penetración tiene que centrarse en problemas de seguridad triviales (low-hanging fruit) y, por lo tanto, probablemente no abordará los problemas graves y no obvios.

Con secureCodeBox proporcionamos una cadena de herramientas para el escaneo continuo de aplicaciones, con el fin de encontrar los problemas triviales en etapas tempranas del proceso de desarrollo y liberar los recursos del probador de penetración para que se concentre en los problemas de seguridad principales.

El propósito de secureCodeBox no es reemplazar a los probadores de penetración ni hacerlos obsoletos. Recomendamos encarecidamente realizar pruebas exhaustivas por parte de probadores de penetración experimentados en todas tus aplicaciones.

Nota importante: secureCodeBox no es una solución simple de un solo clic. Debes tener un profundo conocimiento de la seguridad y de cómo configurar los escáneres. Además, también es necesario comprender los resultados del escaneo y cómo interpretarlos.

Hay un artículo en alemán sobre Security DevOps – Angreifern (immer) einen Schritt voraus en la revista de ingeniería de software OBJEKTSpektrum.

Inicio rápido

Puedes encontrar recursos para ayudarte a comenzar en nuestro sitio web de documentación, incluyendo instrucciones sobre cómo instalar secureCodeBox y guías para ayudarte a ejecutar tus primeros escaneos.

Visión general de la arquitectura

Actualización

Para conocer los pasos necesarios para actualizar tu instalación de secureCodeBox, consulta Actualización.

Licencia

El código de secureCodeBox está licenciado bajo la Apache License 2.0.

Comunidad

Eres bienvenido, únete a nosotros en... 👋

• GitHub Discussions (Preguntas y comentarios)
• GitHub Issues (Errores y solicitudes de funciones)
• Mastodon

secureCodeBox es un proyecto oficial de OWASP.

Contribuciones

Las contribuciones son bienvenidas y extremadamente útiles 🙌 Por favor, consulta Contribuir

Agradecimientos a nuestros increíbles contribuyentes

Estrellas a lo largo del tiempo

Patrocinadores

Información del autor

Patrocinado y mantenido por iteratec GmbH - secureCodeBox.io