Búsqueda

Seguridad de la cadena de suministro de software

Proteja su cadena de suministro de software con visibilidad completa y aplicación de políticas en todos los componentes de software y canales de entrega.

Solicitar una prueba gratuita

El desarrollo nativo en la nube depende de las cadenas de suministro de software para aumentar la productividad de los desarrolladores y reducir el tiempo medio de comercialización de nuevas funciones. Pero las cadenas de suministro de software introducen complejidades y riesgos únicos porque incorporan software y herramientas de terceros en los flujos de trabajo de los desarrolladores. Los equipos de seguridad deben configurar de forma proactiva protecciones para las cadenas de suministro de software frente a las amenazas y garantizar que dichas protecciones no comprometan la agilidad de los desarrolladores.

Lea sobre la última investigación de Unit 42 sobre los riesgos de la cadena de suministro de software.

Descargar el informe

Los componentes de terceros inseguros son una de las principales causas de ataques

Los componentes de código abierto de terceros, como las imágenes de contenedores, los paquetes y las plantillas de infraestructura como código (IaC), ayudan a mejorar drásticamente la productividad de los desarrolladores, pero son propensos a las vulnerabilidades y son inseguros de forma predeterminada.

Sin una visibilidad continua y proactiva de las vulnerabilidades y los errores de configuración, es probable que los desarrolladores utilicen componentes poco seguros en sus aplicaciones, lo que provoca tanto alertas ruidosas como puntos débiles en tiempo de ejecución que los atacantes pueden aprovechar en un ataque a la cadena de suministro de software.

Los canales débiles representan puntos de entrada para los atacantes

Los repositorios de VCS y los canales de CI/CD permiten a los equipos nativos de la nube maximizar su velocidad de lanzamiento. Pero las configuraciones de VCS y los flujos de trabajo de CI/CD son permisivos de forma predeterminada y carecen de protecciones frente a inserciones imprudentes, inyecciones de código o ataques de envenenamiento. Las configuraciones débiles pueden permitir a los atacantes acceder a código de propiedad y a sistemas de misión crítica. Al tener acceso privilegiado, los atacantes pueden filtrar datos, inyectar código malicioso o desplazarse utilizando otros componentes de software débiles.

Sin una cobertura automatizada de la cadena de suministro, es difícil para las organizaciones garantizar que todos los repositorios, registros y canales estén bloqueados.

Realizar un seguimiento de todos los activos desde el código hasta la nube supone un desafío

Las cadenas de suministro de software nativo de la nube son sistemas en constante cambio e interconectados que hacen difícil mantener una visibilidad completa en toda la cadena de suministro. Las soluciones puntuales no proporcionan la cobertura ininterrumpida del código a la nube necesaria para realizar un seguimiento de los recursos, los paquetes, las vulnerabilidades y los errores de configuración a lo largo del ciclo de vida de desarrollo.

Sin una cobertura compatible con el contexto en todas las pilas nativas de la nube y el ciclo de vida del desarrollo, es difícil priorizar los problemas de seguridad en función de la exposición y el riesgo real.

Proteja los componentes de terceros y los canales de entrega

Prisma Cloud ofrece a las organizaciones visibilidad de cada componente de sus cadenas de suministro de software, desde el código hasta los recursos y los canales de entrega, así como la capacidad de aplicar continuamente una configuración segura. Las fiables fuentes de datos líderes en el sector de Prisma Cloud, junto con las integraciones nativas para desarrolladores, facilitan la gestión y mitigación de todos los riesgos de la cadena de suministro de terceros:

Visualización de los riesgos de los componentes de software y de los canales de entrega.
Integración en herramientas y flujos de trabajo de desarrolladores.
Los mejores motores de escaneo de vulnerabilidades y errores de configuración de su clase.

LA SOLUCIÓN PRISMA CLOUD

Nuestro enfoque de seguridad de la cadena de suministro

Cobertura y visualización consolidadas de la cadena de suministro

Gracias al gráfico de la cadena de suministro de Prisma Cloud, las organizaciones pueden visualizar cada componente de su cadena de suministro y comprender todos los riesgos asociados. El gráfico de la cadena de suministro de Prisma Cloud hace un inventario de todos los componentes de canales y código de una organización en una sola visualización, aumentada por una superposición de datos sobre la postura de seguridad, para ofrecer una representación visual completa de las dependencias de activos de aplicaciones e infraestructura de una organización. Gracias a esta información, las organizaciones pueden priorizar los riesgos en toda su cadena de suministro e implementar recursos de forma más eficaz para solucionar los problemas con mayores probabilidades de explotación.

Visibilidad y catalogación de la cadena de suministro de software
El gráfico de la cadena de suministro proporciona un inventario consolidado de los canales de entrega y los componentes de código de las organizaciones. Al visualizar todas las conexiones, las organizaciones obtienen una visibilidad muy necesaria de la superficie de ataque de su cadena de suministro. En consecuencia, pueden tomar medidas en función de esos hallazgos, por ejemplo, aprovechando la función de corrección de solicitudes de validación masiva de Prisma Cloud. Esta función permite a las organizaciones crear una única solicitud de validación que aplicará una corrección automatizada para muchas infracciones a la vez.
Análisis de composición de software (SCA) compatible con el contexto
Prisma Cloud admite el escaneo de paquetes de código abierto con escaneo ilimitado del árbol de dependencias y correcciones granulares de baches de versiones. Al superponer los hallazgos de vulnerabilidades con las configuraciones erróneas de la infraestructura y al integrarse en las herramientas para desarrolladores, el SCA de Prisma Cloud permite a los desarrolladores priorizar y corregir los riesgos de código abierto más rápidamente.
Seguridad de la IaC líder en el sector
Impulsada por el motor de políticas como código abierto más sólido del mercado, Checkov, Prisma Cloud está equipada con miles de políticas para ayudar a aplicar proactivamente las prácticas recomendadas de seguridad en la nube. Prisma Cloud saca a la luz los problemas de seguridad de la nube en una fase temprana del ciclo de vida de desarrollo y proporciona correcciones de código para garantizar que solo se implemente código de infraestructura seguro.

Más información

Consolidated supply chain coverage and visualization

Repositorios y registros seguros

Para soportar las complejidades cada vez mayores de los códigos base nativos de la nube, las organizaciones dependen en gran medida de sistemas de terceros para almacenar y gestionar su código. Los sistemas de control de versiones (VCS) como GitHub, GitLab o Bitbucket deben admitir la gestión de códigos y, dado que contienen código patentado y sistemas críticos, es fundamental que también sean seguros. Y los registros de imágenes como DockerHub son cruciales para almacenar las imágenes de contenedores y permitir un acceso rápido a estas, pero sin las protecciones adecuadas, también pueden introducir vulnerabilidades o imágenes maliciosas. Prisma Cloud está equipada con políticas para evaluar continuamente la configuración de organización de VCS a fin de mantenerlas actualizadas con las prácticas recomendadas de seguridad, según lo definido por las marcas de referencia del CIS y SLSA.

Escaneo automatizado de la configuración de organización de VCS
Cuando se avanza rápidamente, es fácil pasar por alto la configuración de organización de VCS y asumir que todos los colaboradores de código estarán protegidos. Prisma Cloud está equipado con políticas para garantizar continuamente que las prácticas recomendadas de VCS, como el inicio de sesión único (SSO) y la autenticación de dos factores (2FA), se están aplicando para evitar la toma de control de cuentas.
Escaneo de la configuración de repositorios de VCS
Para profundizar en la seguridad de VCS, Prisma Cloud también ayuda a los equipos a aplicar fácilmente reglas de protección de sucursales para evitar la inyección de código malicioso y otras actividades no autorizadas o sospechosas. Con políticas para escanear continuamente la configuración de repositorios de VCS y mantener reglas de protección de sucursales aplicadas de forma coherente, los equipos pueden estar seguros de que sus repositorios de VCS son seguros y que el código solo se puede fusionar después de una revisión adecuada.
Seguridad continua de registros e imágenes de confianza
Los registros de contenedores simplifican el almacenamiento y la entrega de imágenes de contenedores, pero tienen consideraciones de seguridad únicas que los equipos nativos de la nube deben abordar para evitar el envenenamiento de imágenes o la implementación de imágenes poco seguras. Prisma Cloud escanea y supervisa continuamente los registros de contenedores, bloqueando la implementación de imágenes vulnerables o no fiables, al tiempo que permite a los equipos establecer reglas de implementación granulares para alertar sobre problemas específicos de vulnerabilidad y cumplimiento o prevenirlos.

Canales de CI/CD seguros

Los canales de CI/CD son fundamentales para que los equipos nativos de la nube mantengan la velocidad de los lanzamientos. Pero estos canales no son seguros de forma predeterminada y los malos actores a menudo se aprovechan de los puntos débiles de CI/CD para instigar ataques a la cadena de suministro. La biblioteca de políticas de Prisma Cloud incluye las prácticas recomendadas de CI/CD para que las organizaciones puedan evaluar continuamente la seguridad de sus canales aprovechando la misma automatización compatible con esos canales.

Establezca protecciones para evitar la inyección de código y el envenenamiento
Gracias a las políticas de CI/CD listas para usar de Prisma Cloud, las organizaciones pueden automatizar la creación y aplicación de protecciones, como el bloqueo del uso de comandos no seguros o funciones beta.
Encuentre y elimine secretos codificados de forma rígida
Si bien no codificar secretos de forma rígida en plantillas de IaC o archivos de configuración de CI/CD se considera una buena práctica, a veces ocurre cuando los equipos se mueven rápidamente. Gracias al escaneo de secretos de Prisma Cloud, las organizaciones pueden identificar rápidamente secretos codificados de forma rígida y pueden evitar que esos secretos sean expuestos al público.
Aplique automáticamente el principio de mínimo privilegio
Prisma Cloud permite el ajuste automatizado de IAM con políticas como código. Al escanear y auditar continuamente las políticas de IAM existentes, Prisma Cloud elimina los permisos no utilizados y ajusta el acceso demasiado permisivo al entorno del host de CI/CD. Prisma Cloud también permite a los equipos reducir la probabilidad de errores humanos al validar e implementar automáticamente código seguro.

Más información

Generación consolidada de la lista de materiales de software (SBOM)

Una SBOM es un inventario completo de los componentes de software de una organización y de todos los problemas de seguridad asociados. Pero una SBOM es tan completa como las entradas que recibe, y cuando se aprovechan soluciones puntuales individuales, obtener esa integridad requiere deduplicación y consolidación manuales. Prisma Cloud simplifica el proceso de generación de SBOM para aplicaciones nativas de la nube al proporcionar una única SBOM en todos los componentes de aplicaciones e infraestructura, lo que permite a las organizaciones compartir fácilmente la información de inventario y de riesgo con clientes internos y externos.

Exportaciones consolidadas y flexibles
Una SBOM completa incluye todos los recursos de IaC, paquetes de código abierto, componentes de imagen, vulnerabilidades conocidas, configuraciones erróneas y licencias de código abierto. Prisma Cloud exporta las SBOM a formatos de informe estandarizados, incluidos CSV y CycloneDX.
Cumpla los requisitos de los proveedores de SBOM
Los clientes finales, incluido el gobierno de EE. UU., exigen cada vez más a las SBOM como solución a muchas de sus principales preocupaciones. Las SBOM se utilizan principalmente para mantener la responsabilidad de los proveedores en los procesos de adquisición y para garantizar que el riesgo atribuido a los proveedores individuales se tenga en cuenta durante las evaluaciones de riesgo continuas de una organización.
Mantenga un inventario de software fiable y preciso
Al comparar las SBOM generadas antes y después de la implementación, las organizaciones pueden detectar y corregir las manipulaciones para mantener la validez y fiabilidad de la información almacenada en la SBOM.