Mejor gestión de CVE y desarrollo más rápido con IA

Basada en la tecnología IBM® watsonx, IBM® Concert es una solución diseñada para optimizar la gestión y las operaciones de aplicaciones. Y el equipo de desarrollo responsable de esta oferta estaba bajo presión para entregar el producto a disponibilidad general (GA) mientras cumplía con los estrictos requisitos de IBM para mitigar los riesgos de seguridad en el código del producto.   

Es un desafío familiar para los equipos de desarrollo de productos en todas partes: en paralelo con el desarrollo, las herramientas de evaluación de seguridad escanean el código y generan listas de cientos o miles de vulnerabilidades y exposiciones comunes (CVE). La mayoría de las CVE no son críticas, pero el trabajo de examinar las listas y priorizar las correcciones puede desacelerar significativamente el desarrollo. Si los problemas críticos no se descubren hasta el final del ciclo de desarrollo, se puede perder mucho tiempo en renovaciones y nuevas pruebas. Por lo tanto, la preparación del producto y, en última instancia, los ingresos están vinculados a una gestión adecuada de CVE. 

Afortunadamente para el equipo de desarrollo de Concert, una solución innovadora estaba frente a ellos. Uno de los principales casos de uso que Concert admite es la optimización de la gestión de CVE. Así, los propios desarrolladores del producto se convirtieron en algunos de sus primeros clientes satisfechos.  

Gracias a Concert, el equipo de desarrollo creó un método más inteligente y ágil para gestionar las CVE. Anteriormente, el equipo se basaba en un par de herramientas de evaluación de la seguridad de terceros que generaban listas únicas de CVE, incluidos los puntajes de prioridad. A continuación, el equipo analizaba y correlacionaba manualmente las dos listas y, luego, se comunicaba con la oficina del director de seguridad de la información (CISO) de IBM para acordar las prioridades.

Ahora, los datos de las herramientas de terceros se introducen en Concert, que produce una lista de CVE unificada con una priorización más inteligente. La IA subyacente del software analiza cómo cada CVE se relaciona con todo el entorno de la aplicación, incluidas las conexiones y los puntos de entrada, y lo tiene en cuenta en su clasificación de prioridades.

Las CVE y los puntajes de prioridad también se muestran en un mapa gráfico, lo que ayuda a los desarrolladores a comprender rápidamente cómo se relaciona cada CVE con la aplicación y dónde se necesita trabajar primero. “Concert va más allá que las otras herramientas de escaneo”, dice Mahesh Dashora, director del programa de control de calidad y seguridad e ingeniería de versiones de IBM. “Estamos obteniendo un mejor insight de las exposiciones, por lo que podemos resolver los elementos importantes más rápido”.   

El equipo también se benefició de estas características adicionales de Concert:

• Las superficies de Concert duplican las CVE, lo que ayuda al equipo a solucionar problemas en varios lugares con una sola corrección.
  
  
• Concert proporciona un panel que muestra claramente las CVE, los puntajes de prioridad y el contexto de apoyo, lo que permite una alineación eficiente con la oficina del CISO.
  
  
• Concert se puede integrar con GitHub, lo que facilita el llenado rápido de tickets de servicio con detalles de corrección, para ayudar a acelerar los arreglos.
  
  
• Concert proporciona un almacén de evidencia para documentar todas las decisiones relacionadas con CVE, lo que respalda la preparación para la auditoría.