edición general
238 meneos
2338 clics

Microsoft libera una herramienta open source que permite analizar el código fuente de aplicaciones en busca de amenazas

Microsoft ha publicado en GitHub una herramienta de análisis de código creada para ayudarnos a entender lo que hace un software y también lo que es. Su nombre es Microsoft Application Inspector y es capaz de examinar millones de líneas de código en muchos lenguajes de programación diferentes. Aunque puede ser claramente utilizada para detectar potenciales amenazas de seguridad en el código de una aplicación, Microsoft quiere hacer énfasis en que también es útil en en varios contextos que no están relacionados con la seguridad.

| etiquetas: microsoft , analisis , bug , open source , software libre , programación
121 117 1 K 344 tecnología
41 comentarios
121 117 1 K 344 tecnología
  1. ctrl_alt_del #4 ctrl_alt_del *
    #3 Onda media, seguro. La FM es una modernez.
    10 K 96
  2. #3 --589369--
    am....
    8 K 67
  3. Sinfonico #1 Sinfonico
    Si se la pasas a Windows explota :troll:
    7 K 61
  4. Black_Diamond #5 Black_Diamond
    grep -ri "am" .
    6 K 52
  6. pkreuzt #2 pkreuzt *
    No puedes hacer eso porque no dispones del código fuente de Windows. Esa es la trampa :troll:
    5 K 44
  7. #16 portera
    #15 igual ya es suyo
    4 K 43
  8. #12 MaceOneh
    #11 Al contrario, ha convertido su tecnologia .NET nativa para linux o macox, ya no roba tantos con los windows (licencias OEM casi regaladas)...
    5 K 40
  10. Shotokax #25 Shotokax
    #2 han utilizado el código de su propio sistema operativo para hacer pruebas de estrés. :troll:
    3 K 37
  11. #17 --375108--
    ¿esto es como una especie de SonarQube enfocado a la seguridad?
    2 K 28
  12. #22 Magicus
    #10 Como puede ser mala una herramienta que evita prevenirnos, aunque más no sea, de un número determinado de vulnerabilidades? De verdad te parece que es mejor no buscar nada antes que buscar algunas?
    3 K 25
  13. Aitor #18 Aitor
    #0 Te he modificado un poco el titular para que quepa la palabra amenazas.

    CC #3 #5 (he pensado lo mismo xD)
    1 K 22
  14. Arariel #23 Arariel *
    #9 Donde estén la onda larga y la onda corta... LW - SW
    1 K 20
  15. #38 gotxi85
    #14 Yo también lo he probado con código de la aplicación de mi empresa y saca bastantes cositas interesantes. Genéricas, pero te ayuda a apuntar donde hay un potencial problema de seguridad que luego puedes revisar mas o menos fácilmente.

    A mi jefe le ha gustado y dado que tienes opción de exportarlo a JSON, no descartamos integrarlo en las pipelines de CI para hacer diffs entre las distintas iteraciones para ver en que commit podemos meter algo que huele mal.
    1 K 18
  18. HaCHa #10 HaCHa *
    Esto es... un antivirus para el código fuente.
    Un scanner de backdoors gubernamentales/institucionales/corporativas no saldrá, pero esto sí, quizá porque primero hay que perseguir a los que liberan código. Los todopoderosos ya tal.
    1 K 17
  19. anv #20 anv
    Seguro que funciona muy bien porque será la que usan ellos para verificar su software, por eso el software de Microsoft nunca tiene problemas de seguridad. :roll:
    1 K 17
  21. #40 gotxi85
    #39 Yo soy devops y trabajo en una startup con todo en AWS.
    Nuestras pipelines podrían ser la envidia de muchas multinacionales, tanto en integración, como testing, analisis de seguridad, análisis de calidad de código, movimiento de tickets automaticos en jira, notificaciones en slack, reports, scaneres de dependencias, construcción de artefactos, empaquetado en contentedores de docker, subidos a dockerub, firmado con clave de contenedores y subida de artefactos a S3 para archivado.

    Todo eso automágico en cada pull request, merge y release (se hacen solas cuando estan programadas para ello).
    1 K 17
  22. garfius1 #6 garfius1
    Cualquiera diria que ahora saca la pasta de servicios en la nube :-S
    1 K 14
  23. #7 ictop
    #3 puedes ampliarlo?
    1 K 13
  25. cron #13 cron
    Windows? En Serio?jajajajaja y Google seguro que lanza otra en breve jajajaja
    0 K 12
  26. #33 --44189--
    #19 Es mucho más lucrativo, google les ha enseñado el camino a todos
    0 K 12
  27. #34 --44189--
    Que guay, un analizador de amenazas en estático, debe haber como cincuenta mil ya ....
    0 K 12
  28. El_Cucaracho #9 El_Cucaracho
    Yo prefiero la FM
    0 K 11
  30. Trigonometrico #11 Trigonometrico
    #8 ¿Ahora es peor?
    0 K 10
  32. Nova6K0 #37 Nova6K0 *
    Pues ya lo podían haber usado para localizar el fallito de nada de la CryptoAPI y las librerías relacionadas (CVE-2020-0601) que permitía firmar como programas legales virus y malwares varios.

    Por cierto si queréis comprobar si sois vulnerables, mejor dicho si no habéis instalado el parche correspondiente:

    curveballtest.com/

    Salu2
    0 K 10
  33. inerte #15 inerte
    #14 Ahora Microsoft también conoce tu programa.
    0 K 9
  34. #24 ChronoTrigger
    #5 No he visto el titular con la palabra "amenazas" cortada a "am", y creía que eso de "am" era algún comando o alguna instrucción de asm que hacía algo mágico de hackers. Me estaba volviendo loco buscando "am" en google.
    0 K 9
  35. Deniroandaluz #27 Deniroandaluz
    #14 Y para profanos en programación pero preocupados por la seguridad, ¿tiene alguna utilidad esta herramienta?
    0 K 9
  36. #28 perica_we
    verificar integridad
    0 K 7
  37. Johnbo #36 Johnbo
    #29 ¿Entonces es como Fortify?
    0 K 7
  38. #26 --455200--
    No me lo creo. No son tan buenos.
    0 K 6
  39. #30 FaLaCiaHunter
    #27 son normas conocidas por experiencia de miles de programadores, y se utilizan para revisar el código y asegurar que las sigues. Evita muchos agujeros de seguridad que se cometen al peogramar (mal)
    0 K 6
  40. #35 --145513-- *
    Otra herramienta más que se suma a las que ya existen, como findbugs, herramientas owasp, el propio repositorio de reglas de sonarqube, etc... Lo suyo es integrarlo como plug-in de sonarqube
    0 K 6
  41. #8 MaceOneh
    Microsoft ha cambiado mucho desde la época del XP
    0 K 5
comentarios cerrados

menéame