En el mundo de la seguridad, es común que los falsos positivos sean un problema común. Sin embargo, en GitLab, hemos desarrollado una nueva función que ayuda a detectar y corregir estos falsos positivos de manera eficiente. En este video, Fernando, defensor de desarrollo en GitLab, nos muestra cómo utilizar esta función para reducir el tiempo y esfuerzo que se dedica a perseguir alertas SAS ruidosas y enfocarse en reparar problemas de seguridad reales.
La función de detección automática de falsos positivos SAS identifica los hallazgos que son probablemente falsos y, a continuación, la resolución de vulnerabilidades agente toma los reales y crea un solicitud de merge con una corrección para que el equipo pueda avanzar más rápido mientras reduce el riesgo. Para habilitar estas características, es necesario ir a la pestaña de ajustes, seleccionar «General», scrollar hacia abajo hasta GitLab Duo y activar la detección de falsos positivos SAS y el flujo de trabajo de resolución de vulnerabilidades SAS.
Lo que resulta interesante es que, además de la detección de falsos positivos, esta función también incluye un pipeline de evaluación que hemos ajustado iterativamente para la precisión. Esto significa que, cuando se detecta una vulnerabilidad, el sistema puede analizar el contexto de vulnerabilidad a lo largo del código base, generar soluciones de alta calidad que abordan las causas raíz, validar soluciones a través de pruebas automatizadas y proporcionar puntuación de confianza para las soluciones propuestas.
Llama la atención cómo, con esta función, los desarrolladores no necesitan ser expertos en seguridad para remediar vulnerabilidades. El sistema puede hacerlo por ellos, lo que reduce el riesgo y permite que los desarrolladores se centren en lo que mejor saben hacer: crear software de alta calidad.
En resumen, la nueva función de GitLab para la detección y corrección de falsos positivos es un paso adelante en la seguridad y un ejemplo de cómo la tecnología puede ayudar a los desarrolladores a crear software más seguro y confiable.
Fuente: YouTube
