Qualys ha anunciado la apertura de su galardonada plataforma de gestión de riesgos para que los equipos de AppSec aporten sus detecciones particulares para evaluar, priorizar y remediar el riesgo asociado con el software propio desarrollado, así como el de sus componentes embebidos de código abierto.
En la era de la transformación digital, cada organización desarrolla su propio software para dirigir su negocio. Este software de origen o desarrollado por la propia empresa (conocido como first-party software), a menudo carece de las disciplinadas prácticas de gestión de vulnerabilidades y configuración que se utilizan para el software de terceros. Los estudios han demostrado que más del 90% de este software incluye componentes de código abierto, mientras que más del 40% presenta riesgos elevados, como vulnerabilidades explotables.
En la actualidad, los equipos de aplicaciones y operaciones de seguridad confían en comprobaciones manuales o scripts aislados para evaluar la seguridad del software de origen, lo que da lugar a una evaluación de seguridad ad hoc que imposibilita la capacidad de priorizar y remediar de forma eficaz. Además, las herramientas tradicionales de evaluación de vulnerabilidades o de análisis de la composición del software no detectan la presencia de paquetes de código abierto embebidos en el entorno de producción. Como resultado, los equipos de seguridad se enfrentan al reto de comprender el verdadero riesgo, especialmente en brechas de seguridad como el incidente de Log4J.
La nueva solución de Qualys permite a las organizaciones llevar a Qualys Vulnerability Management, Detection and Response (VMDR) sus propios scripts de detección y remediación creados con lenguajes populares como PowerShell y Python como Qualys ID (QID), que el Agente Cloud de Qualys ejecuta de forma segura y controlada. A continuación, Qualys TruRisk detecta y prioriza los hallazgos en el mismo flujo de trabajo e informes, del mismo modo que en el software de terceros.
Esto permite a los equipos de aplicaciones y seguridad aprovechar sus propias detecciones para identificar contenido confidencial o sensible, evaluar procesos críticos y estados de aplicaciones, etiquetar activos según la presencia de datos confidenciales o PII y mitigar los riesgos asociados a vulnerabilidades críticas como Log4J configurando parámetros de archivos o abordando la vulnerabilidad Follina mediante modificación en la configuración de GPO/registro para gestionar eficientemente el riesgo que surge de fuentes propias y de terceros.
Las nuevas capacidades de la plataforma Qualys permiten a los equipos:
- Construir fácilmente firmas propias: crear detecciones Qualys (QID) y correcciones basadas en la propia lógica o scripts aprovechando los principales lenguajes de scripting como Python, PowerShell y otros. Estas detecciones se integran directamente en los flujos de trabajo de VMDR y en la puntuación de TruRisk, lo que ayuda a los equipos de SecOps a unificar y gestionar el riesgo en aplicaciones propias y de terceros de su entorno.
- Detectar, administrar y reducir proactivamente los riesgos de la cadena de suministro: obtener visibilidad continua y en tiempo real de paquetes de software de código abierto profundamente embebidos, como Log4J, openSSL y componentes de software comercial haciendo uso del Agente Cloud de Qualys. Posteriormente, Qualys TruRisk prioriza y correlaciona la información basándose en los datos de amenazas de más de 25 fuentes y en la criticidad empresarial del activo. Esta información permite a los equipos de seguridad mitigar rápidamente el riesgo de problemas de seguridad de alto perfil, como amenazas de día cero y brechas de Log4J, mediante la creación de detección y respuestas personalizadas.
- Comunicar eficazmente el riesgo con informes y paneles unificados: con la integración nativa a los flujos de trabajo de VMDR, es posible comunicar de forma eficaz la visión unificada del riesgo en el software propio y de terceros a las partes interesadas mediante paneles e informes en tiempo real. La integración con sistemas de emisión de tickets como ServiceNow y JIRA permite la asignación automática de tickets de remediación detallados a los propietarios adecuados a través de una vista común para cerrarlos rápidamente y reducir el riesgo.
“Las aplicaciones propias, al ser propietarias, a menudo carecen del soporte adecuado de detección, priorización y corrección de riesgos por parte de las herramientas de escaneo”, ha destacado Sumedh Thakar, Presidente y CEO de Qualys. “Nuestras capacidades, pioneras en la industria, permiten a las organizaciones aprovechar las funcionalidades de la plataforma de Qualys para identificar y analizar riesgos de software, tanto propios como de terceros, con el fin de desarrollar una puntuación general de TruRisk para una visión integral del riesgo general de la organización”.
Compartir nota:
