edición general
238 meneos
2338 clics

Microsoft libera una herramienta open source que permite analizar el código fuente de aplicaciones en busca de amenazas

Microsoft ha publicado en GitHub una herramienta de análisis de código creada para ayudarnos a entender lo que hace un software y también lo que es. Su nombre es Microsoft Application Inspector y es capaz de examinar millones de líneas de código en muchos lenguajes de programación diferentes. Aunque puede ser claramente utilizada para detectar potenciales amenazas de seguridad en el código de una aplicación, Microsoft quiere hacer énfasis en que también es útil en en varios contextos que no están relacionados con la seguridad.

| etiquetas: microsoft , analisis , bug , open source , software libre , programación
121 117 1 K 344 tecnología
41 comentarios
121 117 1 K 344 tecnología
Comentarios destacados:            
  1. Sinfonico #1 Sinfonico
    Si se la pasas a Windows explota :troll:
    7 K 61
  2. pkreuzt #2 pkreuzt *
    No puedes hacer eso porque no dispones del código fuente de Windows. Esa es la trampa :troll:
    5 K 44
  3. #3 --589369--
    am....
    8 K 67
  4. ctrl_alt_del #4 ctrl_alt_del *
    #3 Onda media, seguro. La FM es una modernez.
    10 K 96
  5. Black_Diamond #5 Black_Diamond
    grep -ri "am" .
    6 K 52
  6. garfius1 #6 garfius1
    Cualquiera diria que ahora saca la pasta de servicios en la nube :-S
    1 K 14
  7. #7 ictop
    #3 puedes ampliarlo?
    1 K 13
  8. #8 MaceOneh
    Microsoft ha cambiado mucho desde la época del XP
    0 K 5
  9. El_Cucaracho #9 El_Cucaracho
    Yo prefiero la FM
    0 K 11
  10. HaCHa #10 HaCHa *
    Esto es... un antivirus para el código fuente.
    Un scanner de backdoors gubernamentales/institucionales/corporativas no saldrá, pero esto sí, quizá porque primero hay que perseguir a los que liberan código. Los todopoderosos ya tal.
    1 K 17
  11. Trigonometrico #11 Trigonometrico
    #8 ¿Ahora es peor?
    0 K 10
  12. #12 MaceOneh
    #11 Al contrario, ha convertido su tecnologia .NET nativa para linux o macox, ya no roba tantos con los windows (licencias OEM casi regaladas)...
    5 K 40
  13. cron #13 cron
    Windows? En Serio?jajajajaja y Google seguro que lanza otra en breve jajajaja
    0 K 12
  14. Trolleando #14 Trolleando *
    Yo lo acabo de probar con un programa mio y la informacion que te da esta bastante bien. Bastante generica pero te da una vision general bastante aproximada de como esta compuesto el programa, que tipo de datos puede guardar, etc...

    AppInspector.exe analyze -s "RUTA A UNA CARPETA CON CODIGO FUENTE"  media
    6 K 48
  15. inerte #15 inerte
    #14 Ahora Microsoft también conoce tu programa.
    0 K 9
  16. #16 portera
    #15 igual ya es suyo
    4 K 43
  17. #17 --375108--
    ¿esto es como una especie de SonarQube enfocado a la seguridad?
    2 K 28
  18. Aitor #18 Aitor
    #0 Te he modificado un poco el titular para que quepa la palabra amenazas.

    CC #3 #5 (he pensado lo mismo xD)
    1 K 22
  20. anv #20 anv
    Seguro que funciona muy bien porque será la que usan ellos para verificar su software, por eso el software de Microsoft nunca tiene problemas de seguridad. :roll:
    1 K 17
  22. #22 Magicus
    #10 Como puede ser mala una herramienta que evita prevenirnos, aunque más no sea, de un número determinado de vulnerabilidades? De verdad te parece que es mejor no buscar nada antes que buscar algunas?
    3 K 25
  23. Arariel #23 Arariel *
    #9 Donde estén la onda larga y la onda corta... LW - SW
    1 K 20
  24. #24 ChronoTrigger
    #5 No he visto el titular con la palabra "amenazas" cortada a "am", y creía que eso de "am" era algún comando o alguna instrucción de asm que hacía algo mágico de hackers. Me estaba volviendo loco buscando "am" en google.
    0 K 9
  25. Shotokax #25 Shotokax
    #2 han utilizado el código de su propio sistema operativo para hacer pruebas de estrés. :troll:
    3 K 37
  26. #26 --455200--
    No me lo creo. No son tan buenos.
    0 K 6
  27. Deniroandaluz #27 Deniroandaluz
    #14 Y para profanos en programación pero preocupados por la seguridad, ¿tiene alguna utilidad esta herramienta?
    0 K 9
  28. #28 perica_we
    verificar integridad
    0 K 7
  30. #30 FaLaCiaHunter
    #27 son normas conocidas por experiencia de miles de programadores, y se utilizan para revisar el código y asegurar que las sigues. Evita muchos agujeros de seguridad que se cometen al peogramar (mal)
    0 K 6
  31. Trolleando #31 Trolleando *
    #27 Si tienes el código fuente te da una idea generica de que cosas "toquetea".
    De todas formas, la mayoría de usuarios al usar ejecutables y no descargarse el código fuente no le van a dar mucho uso. Ademas de que necesitas nociones de programacion para saber que es lo que te dice el programa.

    Ten en cuenta que simplemente te simplifica el proceso para que de un vistazo general sepas que hace el programa sin tener que ir fichero a fichero viendo que es lo que, lo cual puede llevar varias horas/dias. Aún así, un programador espabilado podría esconder un código malicioso ofuscado y pasaría desapercibido por este programa...
    0 K 10
  32. Trolleando #32 Trolleando *
    #15 #16 Mi codigo esta en github por lo que lo conocen de sobra :-/ Es mas, al tener bastantes estrellas (193) ya lo tienen metido hasta en el IntelliCode de visual studio...
    1 K 17
  33. #33 --44189--
    #19 Es mucho más lucrativo, google les ha enseñado el camino a todos
    0 K 12
  34. #34 --44189--
    Que guay, un analizador de amenazas en estático, debe haber como cincuenta mil ya ....
    0 K 12
  35. #35 --145513-- *
    Otra herramienta más que se suma a las que ya existen, como findbugs, herramientas owasp, el propio repositorio de reglas de sonarqube, etc... Lo suyo es integrarlo como plug-in de sonarqube
    0 K 6
  36. Johnbo #36 Johnbo
    #29 ¿Entonces es como Fortify?
    0 K 7
  37. Nova6K0 #37 Nova6K0 *
    Pues ya lo podían haber usado para localizar el fallito de nada de la CryptoAPI y las librerías relacionadas (CVE-2020-0601) que permitía firmar como programas legales virus y malwares varios.

    Por cierto si queréis comprobar si sois vulnerables, mejor dicho si no habéis instalado el parche correspondiente:

    curveballtest.com/

    Salu2
    0 K 10
  38. #38 gotxi85
    #14 Yo también lo he probado con código de la aplicación de mi empresa y saca bastantes cositas interesantes. Genéricas, pero te ayuda a apuntar donde hay un potencial problema de seguridad que luego puedes revisar mas o menos fácilmente.

    A mi jefe le ha gustado y dado que tienes opción de exportarlo a JSON, no descartamos integrarlo en las pipelines de CI para hacer diffs entre las distintas iteraciones para ver en que commit podemos meter algo que huele mal.
    1 K 18
  39. Trolleando #39 Trolleando
    #38 Joer te felicito por haber acabado en una empresa donde usais pipelines y os tomais las cosas en serio ;)
    1 K 18
  40. #40 gotxi85
    #39 Yo soy devops y trabajo en una startup con todo en AWS.
    Nuestras pipelines podrían ser la envidia de muchas multinacionales, tanto en integración, como testing, analisis de seguridad, análisis de calidad de código, movimiento de tickets automaticos en jira, notificaciones en slack, reports, scaneres de dependencias, construcción de artefactos, empaquetado en contentedores de docker, subidos a dockerub, firmado con clave de contenedores y subida de artefactos a S3 para archivado.

    Todo eso automágico en cada pull request, merge y release (se hacen solas cuando estan programadas para ello).
    1 K 17
comentarios cerrados

menéame