Página de inicio de OpenText.
Temas técnicos

¿Qué es la seguridad del código abierto?

Ilustración de artículos informáticos centrada en un ordenador portátil

Descripción general

La seguridad del código abierto, comúnmente conocida como análisis de composición de software (SCA), es una metodología para proporcionar a los usuarios una mejor visibilidad del inventario de código abierto de sus aplicaciones. Para ello, se examinan los componentes mediante huellas digitales binarias, se utiliza investigación propia y curada por profesionales, se cotejan escaneos precisos con esa inteligencia propia y se proporciona a los desarrolladores esta inteligencia directamente dentro de sus herramientas favoritas.

¿Qué es el código abierto?

¿Qué es el código abierto?

El código abierto se refiere a cualquier software con código fuente accesible que cualquiera puede modificar y compartir libremente. El código fuente es la parte del software que los usuarios no ven; es el código que los programadores pueden crear y editar para cambiar el funcionamiento del software. Al tener acceso al código fuente de un programa, los desarrolladores o programadores pueden mejorarlo añadiéndole funciones o arreglando partes que no siempre funcionan correctamente.

¿Por qué utilizar software de código abierto?

En el vertiginoso mundo empresarial actual, los equipos de software han adoptado prácticas de desarrollo ágil como DevOps para seguir el ritmo de la demanda empresarial. Estas prácticas ejercen una gran presión sobre los desarrolladores para que creen y desplieguen aplicaciones con mayor rapidez. Para alcanzar con éxito sus objetivos en ciclos cortos de lanzamiento de software, los desarrolladores utilizan con frecuencia componentes de software de código abierto. El software de código abierto (OSS) se distribuye libremente, lo que lo hace muy rentable. Muchos desarrolladores se benefician de empezar con OSS y luego adaptarlo a sus necesidades. Como el código es abierto, basta con modificarlo para añadirle la funcionalidad que deseen.

¿Es el código abierto un riesgo para la seguridad?

No es ningún secreto... los desarrolladores utilizan software de código abierto.

Sin embargo, existen dudas sobre cómo debe gestionarse, y con razón.

He aquí por qué:

  • Los componentes de código abierto no son iguales. Algunos son vulnerables desde el principio, mientras que otros se estropean con el tiempo.
  • El uso se ha vuelto más complejo. Con decenas de miles de millones de descargas, cada vez es más difícil gestionar las bibliotecas y las dependencias directas.
  • Dependencias transitivas: si utilizas herramientas de gestión de dependencias como Maven (Java), Bower (JavaScript), Bundler (Ruby), etc., estarás introduciendo automáticamente dependencias de terceros, una responsabilidad que no puedes permitirte.
  • Más de 300.000 componentes de código abierto son descargados anualmente por la empresa media
  • En 2018, en miles de millones de descargas de versiones de componentes de código abierto, 1 de cada 10 componentes de código abierto tenía vulnerabilidades de seguridad conocidas (10,3%).
  • 51% de las descargas de paquetes JavaScript contenían vulnerabilidades de seguridad conocidas.
  • 71% aumento de las infracciones confirmadas o sospechosas relacionadas con el código abierto desde 2014.

¿Cómo identifico las vulnerabilidades del código abierto en mi software?

Las empresas necesitan proteger no sólo el código que escriben, sino también el que consumen a partir de componentes de código abierto. Por eso, muchas organizaciones utilizan Sonatype para automatizar la gobernanza del código abierto a escala en todo el SDLC, desplazando la seguridad a las fases de desarrollo y construcción.

Descubra la mejor solución integrada de su clase para la seguridad de código personalizado y código fuente abierto con OpenText™ Cybersecurity Cloud y Sonatype. La inteligencia precisa de código abierto proporciona una visión de 360 grados de los problemas de seguridad de la aplicación en todo el código personalizado y los componentes de código abierto en un solo análisis. Puede realizar búsquedas de vulnerabilidades de código abierto y personalizadas en un único análisis y panel.

Fortify también ofrece inteligencia y seguridad de código abierto a través de Debricked, que utiliza aprendizaje automático de última generación para obtener resultados más rápidos y precisos. Debricked es una solución de análisis de composición de software nativo en la nube que los desarrolladores desean utilizar y, a su vez, aumenta la productividad. Esta solución emplea un enfoque holístico con integraciones perfectas en el ciclo de vida de DevOps para gestionar de forma proactiva los riesgos de la cadena de suministro de software.

Productos relacionados

OpenText™ Fortify On Demand

Desbloquee las pruebas de seguridad, la gestión de vulnerabilidades y la experiencia y el soporte personalizados

OpenText™ Fortify Analizador estático de código

Detecte y solucione los problemas de seguridad temprano con los resultados más precisos de la industria

OpenText™ Cybersecurity Cloud

Defiende con precisión, asegura con confianza

Gestión de identidades y accesos

Protege tus activos digitales gestionando con confianza las identidades y el acceso

Protección de datos

Proteja los datos, reduzca los riesgos, mejore el cumplimiento y controle el acceso

Ver todos los productos relacionados

¿Cómo podemos ayudar?

Notas al pie