FAQ (Frequency Asked Question)

Miriade S.r.l. 

 

1. Cos'è la Sicurezza Applicativa (AppSec) e perché è importante?

La Sicurezza Applicativa, o AppSec, è l'insieme delle pratiche volte a proteggere le applicazioni software da minacce e vulnerabilità. È fondamentale perché la difesa tradizionale dei confini aziendali (perimetrale) non è più sufficiente. L'AppSec si concentra sulla prevenzione dei difetti di sicurezza durante l'intero ciclo di vita dello sviluppo del software (SDLC), non solo nella fase finale di test.

2. Qual è il rischio principale del codice Open Source (OSS)?

Circa il 70% del codice nelle applicazioni commerciali proviene da componenti Open Source, che possono contenere vulnerabilità nascoste. Queste vulnerabilità possono derivare da frammenti di codice, librerie di terze parti e, in particolare, da dipendenze dirette e transitive gestite tramite package manager come npm o Maven. Inoltre, il codice OSS potrebbe presentare problemi di licenza, esponendo le aziende a rischi legali e di copyright.  L'uso di codice Open Source introduce, di fatto, due tipi principali di rischio, entrambi legati a una gestione non controllata dei componenti:

• Rischio di Sicurezza (Vulnerabilità Nascoste) -  La maggior parte delle applicazioni moderne è costruita su componenti Open Source. Il rischio nasce quando questi componenti, o le loro dipendenze transitive, contengono vulnerabilità di sicurezza non note o non corrette. Un singolo componente vulnerabile, gestito tramite package manager come npm o Maven, può agire come un cavallo di Troia, esponendo l'intera applicazione ad attacchi.
• Rischio di Compliance (Violazioni di Licenza) - Ogni componente Open Source ha una licenza che ne definisce i termini di utilizzo. Ignorare o violare queste licenze (un problema presente in oltre la metà del codice OSS) espone l'azienda a rischi legali, violazioni di copyright e problemi di proprietà intellettuale sul software sviluppato.

3. Cos'è un attacco alla supply chain del software?

Un attacco alla supply chain del software si verifica quando un aggressore compromette un componente software di terze parti per introdurre codice dannoso in molteplici applicazioni che dipendono da quel componente. L'attacco a SolarWinds e le recenti compromissioni di pacchetti nel repository npm sono esempi evidenti di come questo tipo di attacco possa avere un impatto devastante.

4. Gli assistenti di codice basati su IA (AI Code Assistants) sono sicuri?

Gli assistenti di codice basati su Intelligenza Artificiale, come i modelli linguistici di grandi dimensioni (LLM), introducono nuovi rischi per la sicurezza. Possono generare codice che include "snippet" di software Open Source non conformi o difettoso. Inoltre, la mancanza di trasparenza sui dati di addestramento degli LLM può mettere a rischio la proprietà intellettuale di un'azienda.

5. Cosa significa SAST, DAST e SCA?

Sono tre tipi fondamentali di analisi nella sicurezza applicativa:

• SCA (Software Composition Analysis): analizza le librerie e i componenti Open Source di terze parti per identificare vulnerabilità e problemi di licenza.
• SAST (Static Application Security Testing): analizza il codice sorgente proprietario (custom code) per trovare debolezze e difetti di sicurezza prima che l'applicazione venga eseguita.
• IAST (Interactive Application Security Testing): combina le tecniche di SAST e DAST, utilizzando agenti che monitorano l'applicazione mentre è in esecuzione per identificare le vulnerabilità in tempo reale.

6. Come aiuta Black Duck a gestire le vulnerabilità senza rallentare lo sviluppo?

Black Duck trasforma la sicurezza da blocco a processo parallelo e continuo, grazie alla sua integrazione flessibile nel modello DevSecOps. Invece di imporre un unico controllo, può essere inserito in modo autonomo ed efficace in molteplici punti del ciclo di sviluppo,. Eccone alcuni esempi.

• Direttamente nell'IDE dello sviluppatore
• A ogni commit del codice
• Durante la build automatizzata
• O prima del deployment in produzione

Il suo punto di forza è trasformare i risultati di queste scansioni in azioni concrete: prioritizza le vulnerabilità più critiche, fornisce indicazioni chiare per la risoluzione e si integra con strumenti come Jira o Slack per automatizzare ticket e notifiche, inserendosi senza frizioni nel workflow esistente.

7. Quali altri tipi di rischi rileva Black Duck?

Black Duck, all'interno della suite Synopsys, offre una visione olistica della sicurezza che va oltre l'analisi della composizione software (SCA). Rileva anche:

• dati sensibili "hard-coded": individua password, chiavi API e altri segreti sensibili direttamente nel codice o nella pipeline di sviluppo, utilizzando oltre 200 controlli specifici.
• Errori di configurazione IaaC (Infrastructure as a Code): analizza  i file di configurazione per identificare accessi non sicuri, permessi eccessivi o falle nella protezione dei dati. Fornisce un contesto completo del rischio per tecnologie come Terraform, Kubernetes, Ansible, Docker, CloudFormation e Helm, supportando standard di settore come i CIS Benchmarks.

8. Perché scegliere Miriade come partner per implementare Black Duck?

Scegliere Miriade va oltre la semplice acquisto di una licenza. Miriade offre un triplice valore aggiunto:

• Prodotto: fornisce e implementa l'intera piattaforma Synopsys (Black Duck, Coverity, etc.).
• Tempo: accelera l'adozione e la messa in opera delle soluzioni di sicurezza.
• Consulenza: offre competenza strategica per ottimizzare il codice e la postura di sicurezza, aiutando anche a gestire i rischi derivanti dal codice generato da IA.

Inoltre, Miriade integra la sicurezza applicativa con servizi olistici come l'hardening di Active Directory e la sicurezza perimetrale (es. FortiGate), offrendo una protezione completa.

9. Perché scegliere Black Duck per la sicurezza delle applicazioni?

Le soluzioni AppSec di Black Duck consentono ai clienti di identificare il rischio aziendale derivante dall'utilizzo del software. L'ampiezza del portafoglio Black Duck consente alle organizzazioni di creare fiducia nel software che producono e nel software che alimenta la loro attività. Con le soluzioni Black Duck, i team di sviluppo possono verificare la sicurezza e la qualità del loro codice con la stessa rapidità con cui lo scrivono. I team di sicurezza e operativi dei clienti utilizzano le soluzioni Black Duck per gestire in modo proattivo il rischio software e concentrare gli sforzi di bonifica.

10. Chi sono i Clienti di Black Duck?

Black Duck è uno rei leader riconosciuti per gli AST. Lavora con 49 delle 100 aziende incluse nel Fortune 100, con 6 delle maggiori 10 società di servizi finanziari, con le 10 maggiori Technology Companies e 6 delle prime 10 aziende del settore Healthcare. La missione di Black Duck è aiutare le organizzazioni a costruire fiducia nei loro softwtare, gestendo i rischi delle applicazioni alla velocità che richiede il business aziendale.

11. Come si posiziona Black Duck tra le soluzioni di Application Security Management?

Black Duck ha il più grande portafoglio AppSec sul mercato, con due miliardi di dollari investiti in 14 acquisizioni. Solo Black Duck detiene la designazione di Leader in tutte e tre le valutazioni degli analisti per la sicurezza delle applicazioni. Il Gartner® Magic Quadrant™ per la sicurezza delle applicazioni per sette volte consecutive. The Forrester Wave™ per i test di sicurezza delle applicazioni statiche e The Forrester Wave™ per l'analisi della composizione del software-