Seguridad de la cadena de suministro
1. Descripción general
Fystack trata cada dependencia, artefacto y etapa del pipeline como una posible superficie de ataque. La fijación de fuentes, la validación del SBOM, las compilaciones reproducibles y la firma de artefactos ayudan a garantizar que lo que llega a producción coincida exactamente con el código fuente auditado.
2. Pruebas estáticas de seguridad de aplicaciones (SAST)
Fystack emplea varias herramientas de Static Application Security Testing (SAST) para monitorear la seguridad de la cadena de suministro y de las dependencias. Estas herramientas analizan continuamente el código fuente, las dependencias y los artefactos de compilación para identificar posibles vulnerabilidades y riesgos de seguridad antes de que lleguen a producción.
Escaneo de seguridad del código de Fystack
3. Gestión de dependencias
Fystack minimiza el uso de dependencias innecesarias. Al reducir la cantidad de dependencias, disminuimos la superficie de ataque y la posible exposición a vulnerabilidades. Cada dependencia se evalúa cuidadosamente en cuanto a su necesidad, su postura de seguridad y su estado de mantenimiento antes de incluirla en el proyecto.
4. Monitoreo de vulnerabilidades de la cadena de suministro
Fystack usa una combinación de herramientas para mantenerse al día sobre las vulnerabilidades de la cadena de suministro:
- GitHub Code Scanning: integrado en el flujo de desarrollo para escanear automáticamente el código en busca de problemas de seguridad y vulnerabilidades
- Socket: monitorea en tiempo real las dependencias en busca de vulnerabilidades de seguridad y comportamientos sospechosos de paquetes
- Snyk: ofrece monitoreo y escaneo continuos de dependencias, contenedores e infraestructura como código en busca de vulnerabilidades conocidas
Estas herramientas trabajan en conjunto para ofrecer una cobertura integral de la cadena de suministro y alertan de inmediato al equipo de seguridad cuando se descubren nuevas vulnerabilidades.
5. Pipeline de CI/CD por capas
Fystack cuenta con un pipeline de CI/CD por capas que revisa la seguridad del código y las vulnerabilidades de las dependencias en varias etapas:
- Comprobaciones previas al commit: escaneos de seguridad automatizados antes de hacer commit del código
- Validación en tiempo de compilación: escaneo de vulnerabilidades de las dependencias durante el proceso de compilación
- Controles previos al despliegue: comprobaciones de seguridad finales antes de desplegar los artefactos
- Monitoreo posterior al despliegue: monitoreo continuo de las aplicaciones en ejecución
Cada capa aporta defensa en profundidad, lo que garantiza que las vulnerabilidades se detecten temprano y no lleguen a los entornos de producción.
6. Buenas prácticas
El hardening de los entornos, la revisión de código obligatoria y el escaneo continuo de dependencias garantizan que se mantengan los mismos controles de seguridad durante todo el proceso de release. Todas las dependencias se fijan a versiones específicas, y la validación del SBOM (Software Bill of Materials) garantiza total transparencia sobre lo que incluye cada compilación.