Conhecer as vulnerabilidades é apenas metade da batalha

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

À medida que avançamos em nossa jornada rumo à TI contínua, a segurança recebe muita atenção — e com razão. Violações são frequentes. Vulnerabilidades são descobertas diariamente, e o intervalo entre a identificação e a aplicação de correções não parece estar diminuindo.

Uma das soluções frequentemente sugeridas para tornar o código mais seguro é a análise do código-fonte. As análises de segurança estáticas e dinâmicas tornaram-se um componente essencial dos processos de entrega contínua. Nossos próprios pipelines internos incluem essas análises, e posso, a qualquer momento, consultar um painel que mostra tudo o que elas encontram.

Mas saber que existem vulnerabilidades no código-fonte — como G.I. Joe nos lembra — é apenas metade da batalha. Embora fosse fascinante se a outra metade realmente envolvesse lasers azuis e vermelhos, a realidade da segurança de aplicações é que a outra metade consiste em "Fazer algo a respeito dessas vulnerabilidades". Infelizmente, não vemos isso se concretizar. Talvez você se lembre de um relatório da Tripwire (Estado da Segurança de Contêineres em 2019), no qual 17% dos entrevistados admitiram ter contêineres vulneráveis, sabiam quais eram e, mesmo assim, os implantaram. Talvez você também se lembre de um relatório de 2017 da Arxan/IBM sobre segurança de aplicações móveis e de IoT, que constatou que 53% dos entrevistados usam testes estáticos de segurança e 51% usam testes dinâmicos de segurança em aplicativos móveis. E, apesar das grandes preocupações com uma violação, quase metade (44%) não tomava nenhuma medida para evitá-la.

O problema de não realizar testes nem tomar nenhuma medida em relação às vulnerabilidades conhecidas está quase sempre ligado à pressão para reduzir o tempo de geração de valor. Quase metade (48%) dos desenvolvedores afirma não ter tempo suficiente para se dedicar à segurança (Pesquisa da Comunidade DevSecOps de 2018). Outras pesquisas confirmam esse cenário: há uma enorme pressão para que os desenvolvedores produzam código com mais rapidez e frequência. No fim das contas, a segurança continua sendo o "item" deixado de lado quando a velocidade é prioridade, seja no caminho dos dados ou no de entrega.

É amplamente reconhecido que as pessoas trabalham em função daquilo pelo qual são avaliadas. E, como os desenvolvedores são pessoas, essa regra também se aplica a eles. Se forem avaliados pela rapidez com que lançam produtos no mercado, é nisso que vão se concentrar — mesmo que isso signifique pular etapas e comprometer a segurança. Se quisermos lançar aplicações seguras no mercado, precisamos adotar uma mudança cultural que avalie e valorize chegar ao mercado com segurança tanto quanto chegar rapidamente ao mercado.

Até que isso aconteça, confiar em lasers vermelhos e azuis para lidar com vulnerabilidades é tão seguro quanto confiar nos desenvolvedores.

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie