DevSecOps: La seguridad como parte integral del pipeline CI/CD

Shift Left: Seguridad desde el principio

El modelo tradicional, primero desarrollar, luego probar y después la auditoría de seguridad, es demasiado lento y costoso. DevSecOps integra las verificaciones de seguridad directamente en el proceso de desarrollo.

SAST: Static Application Security Testing

Las herramientas SAST analizan el código fuente sin ejecutarlo. Detectan SQL Injection, XSS, deserialización insegura y otras vulnerabilidades directamente en el código.

• Herramientas: Semgrep, SonarQube, PHPStan con reglas de seguridad.
• Integración: Como etapa del pipeline después de los Unit Tests: bloquea el merge ante hallazgos críticos.
• Falsos positivos: Mantenga una lista de excepciones para falsos positivos conocidos y evite la fatiga por alertas.

Dependency Scanning

Más del 80% del código en las aplicaciones modernas proviene de dependencias. Un paquete vulnerable puede comprometer toda la aplicación.

• Composer Audit: composer audit verifica las dependencias PHP contra CVEs conocidos.
• npm Audit: npm audit para dependencias JavaScript, automatizable en el pipeline.
• Container Scanning: Trivy o Grype escanean imágenes Docker en busca de paquetes de SO vulnerables.

DAST: Dynamic Application Security Testing

Las herramientas DAST prueban la aplicación en ejecución desde el exterior, como un pentester automatizado. Ideal como última etapa antes del despliegue en producción.

Configuración práctica

En nuestros pipelines, SAST se ejecuta en cada commit, Dependency Scanning diariamente y DAST en el entorno de Staging antes de cada release. Así detectamos vulnerabilidades antes de que lleguen a producción.