Evaluación de Herramientas para la Evaluación de Seguridad en Soluciones Desarrolladas
Se evaluaron ocho herramientas: Trivy, Grype + Syft, SonarQube, OWASP ZAP, Semgrep, Checkov, Snyk y Falco. Las herramientas open source ofrecen un ecosistema robusto y gratuito para cubrir distintos aspectos del ciclo de vida del desarrollo seguro. Se recomienda combinar varias de ellas según la fase del pipeline y el tipo de solución.
Tabla de contenido
Introducción. Metodología y Criterios para la Evaluación de Herramientas de Seguridad ...
Introducción
En el marco de la transformación digital del sector público, garantizar la seguridad de las soluc...
Metodología y Criterios para la Evaluación de Herramientas de Seguridad en el Desarrollo de Soluciones Digitales del Estado Dominicano
Objetivo del Documento Seleccionar y recomendar herramientas de evaluación de seguridad que perm...
Análisis de Herramientas
Trivy (by Aqua Security)
Descripción Trivy es un escáner de seguridad todo en uno para contenedores, código, repositorios...
Grype + Syft (by Anchore)
Descripción Syft: genera un SBOM (Software Bill of Materials). Grype: analiza el SBOM o...
SonarQube
Descripción SonarQube es una herramienta de análisis estático de código para detectar bugs, vuln...
OWASP ZAP
Descripción OWASP ZAP es una herramienta de escaneo de seguridad para aplicaciones web, mantenid...
Semgrep
Descripción Semgrep es un escáner de análisis estático que detecta vulnerabilidades, errores de ...
Checkov
Descripción Checkov es un escáner de infraestructura como código (IaC) que detecta configuracion...
Snyk
Descripción Snyk es una herramienta para detectar vulnerabilidades en dependencias, contenedores...
Falco
Descripción Falco es un sistema de detección de intrusos para Kubernetes y contenedores. Monitor...
Faraday
Descripción Faraday es una plataforma de gestión de vulnerabilidades que permite integrar result...
Comparativa Gráfica
Herramienta ¿Es Open Source? Alcance de evaluación Integrable en DevSecOps Tipo de vuln...
Recomendaciones
Herramientas recomendadas para incluir en el stack tecnológico (open source y gratuitas) H...
Conclusión
Para entornos gubernamentales, se recomienda adoptar un stack basado en herramientas open source ...
Bibliografía
Trivy Aqua Security. (s.f.). Trivy - Escáner de vulnerabilidades. Aqua Security. Aqua Security....