Header Ads Widget

Ticker

6/recent/ticker-posts

Pysa: una herramienta de código abierto para detectar y solucionar problemas de seguridad en código Python

 

Herramienta Python de código abierto Pysa

Facebook tiene Pysa de código abierto, una herramienta interna utilizada en Instagram para detectar y corregir errores en la enorme base de código Python de la aplicación. Pysa puede identificar automáticamente fragmentos de código vulnerables escritos por ingenieros de Facebook antes de que se integren en los sistemas de la red social.

Es una herramienta analizadora estática, lo que significa que funciona escaneando el código en forma "estática" antes de que se compile el código. Busca patrones comunes que generalmente se observan en errores y marca los problemas potenciales en el código.

Facebook desarrolló Pysa internamente y afirma que la herramienta ha alcanzado la madurez a través de la mejora continua. Dice que en la primera mitad de 2020, Pysa pudo detectar el 44% de todos los errores de seguridad en el código Python del lado del servidor de Instagram.

Pysa ha sido diseñado exclusivamente para analizar código escrito en lenguaje de programación Python. Entonces, eso crea ciertas limitaciones sobre dónde se puede usar la herramienta, pero dado que la popularidad de Python ha aumentado en los últimos años, es bastante útil.

¿Cómo detecta Pysa problemas de seguridad en la base de código de Python?

Pysa detecta problemas de seguridad al rastrear el flujo de datos a través de una aplicación y verifica si termina en algún lugar donde no debería.

Por ejemplo, los desarrolladores pueden usar esta herramienta para verificar si la entrada que ingresa un usuario en un formulario de sitio web público se envía a la base de datos de backend directamente sin ser escaneada. Ayuda a identificar las lagunas que los piratas informáticos pueden manipular para inyectar código malicioso en la base de datos de la aplicación.

Si bien eso suena bonito, en realidad, no es porque los datos no siempre toman una ruta directa dentro de una aplicación. Cualquier entrada ingresada en el formulario de un sitio web podría tener que pasar por varios componentes antes de llegar a la base de datos backend vulnerable. En tales casos, puede resultar bastante difícil encontrar puntos débiles de seguridad. Esto suele ocurrir en la compleja base de código de plataformas más grandes con una gran cantidad de componentes.

Para resolver este problema, Pysa analiza el código capa por capa. Realiza "rondas iterativas de análisis para crear resúmenes para determinar qué funciones devuelven datos de una fuente y qué funciones tienen parámetros que finalmente llegan a un sumidero".

Herramienta de origen Pysa_open para detectar errores en el código Python
Imagen: Facebook

Esta herramienta de código abierto para Python se ha ajustado después de meses de pruebas internas para encontrar el código vulnerable específico para problemas de seguridad comunes como secuencias de comandos entre sitios, ejecuciones de código remoto, inyecciones de SQL, etc.

Pysa es rápido y funciona bien en una gran base de código

La herramienta Python se ha creado para ofrecer velocidad junto con la capacidad de revisar millones de líneas de código desde cualquier lugar entre 30 minutos y horas. Es por eso que Pysa puede identificar errores casi en tiempo real. También ayuda a los equipos de desarrolladores de Facebook a sentirse seguros y confiados al usar esta herramienta en sus flujos de trabajo y rutinas regulares sin preocuparse de si retrasaría los plazos para el envío del código.

Publicar un comentario

0 Comentarios