PAPOFÁCIL: bugScout Identificando e corrigindo código inseguro

Um papo rápido sobre a identificação e correção de vulnerabilidades de código-fonte

 

E nessa semana tivemos a participação de nosso CEO, Francisco Bernabeu, no canal Papo Fácil do Flavio Xandó. Durante a conversa, Francisco relatou que a regra é encontrar aplicativos contendo muitas brechas de segurança. Para resolver isso o BugScout pode avaliar código-fonte de forma estática ou dinâmica (com a aplicação rodando) para eliminar as vulnerabilidades.

Durante a conversa, Bernabeu apresenta o caso de um cliente que colocaria em produção um sistema com mais de 1.700 áreas de risco.

 

 

Segurança e Qualidade

Sabesp avança em Segurança por meio de Serviços Gerenciados

Solução aplicada submete sistemas próprios e de terceiros à análise de código-fonte para detecção de vulnerabilidades; equipes ganharam produtividade depois que aplicações passaram pelas correções orientadas

Composta por uma grande variedade de sistemas para atender diversos processos internos e externos, a Sabesp atende hoje a 367 municípios do Estado de São Paulo, beneficia mais de 27,7 milhões de pessoas com abastecimento de água e mais de 21,4 milhões de usuários com coleta de esgotos. Para proteger o sistema de vulnerabilidades e falhas de segurança em aplicações de Software, a companhia anuncia a contratação dos serviços gerenciados da Nalbatech. O projeto é apoiado na utilização da plataforma BugScout.

“Com os serviços gerenciados para a segurança das aplicações, elevamos a eficiência do nosso trabalho, nos permitindo atender ao Plano Diretor da Segurança da Informação da companhia”, afirma Daniel Bocalão, gerente de Departamento de Conectividade e Segurança da Informação – (CIC) da Sabesp. O executivo é responsável pela segurança da rede corporativa, dos sistemas e serviços e de informações vitais aos processos de negócios da empresa.

No desenvolvimento interno de sistemas, a Nalbatech acompanha e suporta a utilização da solução BugScout, que faz a detecção de riscos de segurança durante o ciclo de vida das aplicações de software. Quando de terceiros, a empresa executa a análise de código-fonte para detectar possíveis falhas e posterior correção pelo fabricante.  “O trabalho é feito por amostragem, para reduzir tempo e investimento, e posteriormente em toda a aplicação. Os fornecedores são informados sobre os testes antes mesmo da contratação e depois orientados a realizar as correções necessárias. A análise de todo o código-fonte da aplicação segue o padrão de utilização destes sistemas dentro da companhia”, explica Bocalão.

No campo, a Internet das Coisas já é aplicada em dispositivos e sistemas que coletam em tempo real os dados sobre serviços de água e esgoto entregues à população, e que envolve a identificação de consumo, alterações ou desvios no padrão de consumo, potencial de vazamento, entre outras inúmeras variantes, produzindo uma grande quantidade de dados que necessitam ser protegidos. Também entram nesta conta os sistemas de gestão administrativa, billing, CRM, controle de ativos, suprimentos, RH e outros, os quais passam pelos testes de vulnerabilidade exigidos pela companhia.

As vulnerabilidades mais encontradas

Mais de mil aplicações já foram analisadas, sendo que as falhas mais comuns nas aplicações de terceiros estão relacionadas à exposição de informações sensíveis, criptografia fraca, violação de limites de confiança, erros básicos no código-fonte, entre outras. “Raramente há no mercado alguma aplicação sem que se encontre uma falha”, destaca Bocalão.

Aumento da produtividade dos usuários

As vulnerabilidades de segurança não são as únicas identificadas. Com erros nos códigos-fontes, muitos sistemas se tornam lentos, impactando consideravelmente na produtividade das redes e equipes. “Percebemos um aumento muito grande na produtividade depois que as aplicações passaram pelas correções orientadas pelo BugScout”, afirma Bocalão.  “Com a maturidade no uso da solução, também melhoramos os nossos processos internos e procedimentos”.

 

Nalbatech adquire bugScout

A Nalbatech, uma empresa do Grupo Nfq, especializado em consultoria e serviços profissionais para bancos, mercados de capitais e seguros, anuncia a aquisição da plataforma BugScout, criada pela espanhola Buguroo Offensive Security, da qual tem sido parceira há mais de 4 anos para a oferta, implementação e suporte da solução de detecção de riscos de segurança em todo o ciclo de vida das aplicações de software.

O bugScout é um robusto analisador de código fonte de última geração utilizado por companhias de vários segmentos em seus projetos de software e também na validação de segurança de aplicações de terceiros na hora da contratação. Com a aquisição do bugScout, a Nalbatech fortalece seu portfólio de tecnologias e serviços de Segurança da Informação, Governança e Compliance e Qualidade de Software.

Francisco Bernabeu, diretor da Nalbatech, conta que desde 2013 a empresa oferece serviços gerenciados baseados no bugScout e a decisão pela compra dos direitos definitivos da ferramenta “fortalece a sua posição de fornecedor chave de serviços gerenciados de segurança e qualidade de software, uma vez que a empresa passa a ser a detentora e desenvolvedora da plataforma, sendo também responsável pela sua evolução e melhoria tecnológica”.

O executivo também afirma que, com aquisição, a Nalbatech conquista um posicionamento estratégico em um mercado onde todos os sistemas enfrentam algum tipo de vulnerabilidade em alguma etapa do seu ciclo de vida. “Na prática – as empresas sofrem com alta fragilidade da segurança e na possibilidade real de perda de dados ou de ataques cibernéticos às redes corporativas. Além disto, os investimentos na correção de vulnerabilidades são em média três ou quatro vezes maior que o próprio desenvolvimento. Com o BugScout logo no início do projeto de software, este tempo e investimentos pode ser 90% menor considerando o gasto atual, além de evitar perdas que são incalculáveis em caso de ataque”, destaca Bernabeu.

O BugScout é compatível com as linguagens mais usadas em ambientes web e mobile e inclui frameworks completos para cada ambiente de desenvolvimento, cobrindo os fluxos mais complexos, como injeção de dependências, ORMs ou bases de dados não relacionadas com outras. A plataforma auxilia na construção de aplicativos seguros a partir da análise de todas as vulnerabilidades identificadas em todos os standards de referência, como OWASP, WASC ou CWE.

“A solução possui elevada capacidade de observação dos códigos fonte e minimiza a exposição ao risco das empresas e usuários, tornando o software desenvolvido mais forte e robusto contra as ameaças, tanto no ambiente interno corporativo, como no mobile”, enfatiza Francisco Bernabeu.

Mais informações: nalbatech.com

 

Nalbatech tem presença marcante no CNASI 2017

Nalbatech tem presença marcante no CNASI 2017, maior Congresso de Segurança da Informação, Auditoria e Governança de TIC – 26ª edição. O evento aconteceu nos dias 25 e 26 de setembro www.cnasi.com.br

 

A Nalbatech se destacou com sua parceria exclusiva com a BUGUROO. Há mais de 15 anos no mercado a BUGUROO cria soluções de última geração no âmbito da cibersegurança graças à visão inovadora de uma equipe jovem com grande talento.

 

Nossas ferramentas de cibersegurança se dividem em duas grandes vertentes: Prevenção da Fraude Online é Análise de Vulnerabilidades no Código.

 

bugFraud Defense, uma solução de fraude online, que usa Deep learning e análise biométrica dos usuários para detectar e prevenir ameaças aos usuários da banca digital.

 

bugScout, um analisador de código-fonte de última geração que combina análise de qualidade e segurança para ter a detecção de riscos mais completa associada a seus códigos-fonte.

 

Nalbatech leva soluções inovadoras à ASUG

No último evento, a Nalbatech, levou aos associados da ASUG algumas das facilidades da ferramenta focando na aplicação do eSocial.

 

Segue abaixo uma demonstração simples de extração e carga de dados massivos. Neste exemplo, é utilizado a correção de alguns campos no infotipo 0006 relativo ao cadastro de endereço na transação PA30 do SAP no módulo HCM, porém, dependendo da demanda, podemos realizar Robotic Process Automation (RPA) de diversos tipos de transações, infotipos e análise de dados: 

 

Innowera Process Runner reduz drasticamente os custos contínuos. Permite aos usuários do SAP, de maneira automática, a manutenção e migração diária dos dados para seus sistemas SAP sem precisar escrever nenhum programa. Use várias fontes de dados, como Microsoft Excel, SQL, Oracle, Sybase, DB2, Access, SharePoint, etc. para executar a operação de arrastar e soltar entre essas fontes e seu sistema SAP.

Veja as 5 maneiras que a Innowera encontrou para deixar a SAP mais fácil:

1 – Execute o SAP do Excel
2 – Execute o SAP diretamente do seu email
3 – Gerencie Workflows do Server-Based Excel
4 – Não se prenda a uma mesa de trabalho / DeskTop
5 – Use a WEB