Aikido Security reposted this
Offensive Security | Pentester | AppSec | OSCP | eWPTXv2 | eMAPT | eCPPTv2 | CBBH | DCPT | CWHI | CAP | CNSP
Saber onde estamos em segurança não deveria ser um mistério 😌 Quem lida com código, especialmente em equipes correndo contra o relógio, sabe que segurança precisa ser prática e direto ao ponto. Desenvolvedores muitas vezes não sabem enquadrar corretamente um report de uma ferramenta automatizada que diz que a linha X está em não compliance com o OWASP A05:2021 - Security Misconfiguration. Testando mais um pouco das funcionalidades da ferramenta desenvolvida pela Aikido Security, pude encontrar uma funcionalidade que pode dobrar a efetividade das equipes de desenvolvimento. É possível gerar reports para compliances com os mais diversos temas, sendo eles: * OWASP Top 10 * ISO 27001 * PCI Compliance * SIS * SOC2 * NIS2 Os reports que ela gera se destacam pela velocidade e simplicidade, em questão de minutos, você consegue visualizar não só o estado de segurança do seu código, mas também entender onde estão os maiores riscos com base no OWASP Top 10 e na ISO 27001. Além disso, é completamente intuitiva e simples, exibindo exatamente onde está o problema e como corrigilo para estar em compliance. Parece simples, né? E realmente é, e aí está a diferença! Com esses relatórios prontos e organizados, tanto desenvolvedores quanto as lideranças conseguem ver como a empresa está se saindo em termos de segurança, sem precisar mergulhar em detalhes técnicos de cada vulnerabilidade (embora estejam lá para os times técnicos), dividindo exatamente o que é técnico do que é executivo. O que realmente faz esses reports serem eficazes é que eles não são apenas uma lista de vulnerabilidades — eles trazem uma visão completa do que falta para atingir a conformidade com normas como a ISO 27001, além de destacar diretamente os problemas mais críticos do OWASP Top 10. Esse tipo de gap analysis é uma mão na roda para entender não só o que está "quebrado", mas o que precisa de atenção para que a segurança se alinhe com as metas da empresa. Para quem já teve que gastar horas ou até dias analisando relatórios complexos, a simplicidade é uma mudança bem-vinda. A sensação de saber exatamente onde estamos indo bem e onde precisamos melhorar, em tempo real, é algo que eu sei que facilita a vida de qualquer dev. No final, o que a gente quer é algo que torne segurança mais simples e integrada ao desenvolvimento ;) PS: Um feedback aos desenvolvedores da Aikido, seria muito interessante também implementar uma categoria de report com base no OWASP Proactive Controls que é algo inclusive recomendado pela própria OWASP para empresas que ainda não possuem nenhuma ou pouco maturidade de segurança da informação. Além disso, treinamentos ou links para se aprofundar nas vulnerabilidades e não só nas correções, é algo extremamente útil para poupar pesquisas 🤩 #CyberSecurity #AppSec #ApplicationSecurity #DeveloperTools #SecureDevelopment #Automation #SAST #DAST #ad #sponred #Segurança #Desenvolvimento #DevSec #DesenvolvimentoSeguro #OWASP