Skip to main content

​
Resumen

El SAST nativo de IA es la solución de nueva generación de Corgea para detectar y corregir vulnerabilidades en el código de las aplicaciones, con especial atención a la lógica de negocio y la autenticación. A diferencia de las herramientas tradicionales de análisis estático de seguridad de aplicaciones (SAST), utiliza técnicas avanzadas de IA para aumentar la precisión, reducir los falsos positivos y proporcionar información útil a los equipos de desarrollo y seguridad. La combinación de modelos de lenguaje de gran tamaño (LLM) y análisis estático permite comprender mejor el contexto y detectar vulnerabilidades que las herramientas SAST convencionales podrían pasar por alto. Este documento explica cómo funciona el SAST nativo de IA, qué detecta y cómo se integra en el desarrollo.

​
Características principales

  • Combina las capacidades de razonamiento de los LLMs con análisis estático de código
  • Detecta con precisión vulnerabilidades con comprensión contextual
  • Identifica tanto la lógica de negocio como las vulnerabilidades tradicionales de SAST
  • Una baja tasa de falsos positivos reduce el ruido en los resultados de escaneo
  • Recomendaciones prácticas con explicaciones claras
  • Integración con pipelines de CI/CD y pull requests
  • Detección de vulnerabilidades en lógica de negocio
  • Fallos de autenticación y autorización
  • Detección integral de vulnerabilidades en múltiples categorías

​
Clases de vulnerabilidad detectadas

El SAST nativo de IA destaca en la detección de vulnerabilidades en lógica de negocio, que a menudo pasan desapercibidas en las herramientas tradicionales de SAST. A continuación, algunas de las vulnerabilidades específicas detectadas por el SAST nativo de IA:
  • Control de acceso roto (CWE-639): Comprobaciones de autorización faltantes que permiten acceso no autorizado
  • Referencias directas inseguras a objetos (CWE-639): Acceso directo a objetos sin la debida autorización
  • Path Traversal (CWE-22): Ataques de recorrido de directorios accediendo a archivos no autorizados
  • Autorización insegura (CWE-285): controles de acceso débiles
  • Escalada de privilegios (CWE-269): Gestión inadecuada de privilegios
  • Control de Acceso a Nivel de Función Faltante (CWE-285): Funciones administrativas no protegidas
  • SQL Injection (CWE-89): Consultas SQL no sanitizadas que permiten manipulación de bases de datos
  • Inyección de comandos (CWE-78): vulnerabilidades en inyección de comandos del sistema operativo
  • Cross-Site Scripting (XSS) (CWE-79): Inyección de scripts maliciosos en páginas web
  • Inyección LDAP (CWE-90): manipulación de consultas LDAP
  • XML Injection (CWE-91): manipulación de contenido XML
  • Inyección de código (CWE-94): Vulnerabilidades en la ejecución dinámica de código
  • Inyección de Lenguaje de Expresión (CWE-917): Inyección en lenguajes de expresión
  • Inyección de plantillas (CWE-1336): Inyección de plantillas en el lado del servidor
  • Autenticación insegura (CWE-287): MFA faltante o gestión insegura de tokens
  • Autenticación rota (CWE-287): Mecanismos de autenticación débiles
  • Gestión incorrecta de sesiones (CWE-384): mala gestión del ID de sesión
  • Gestión de credenciales (CWE-255): Almacenamiento o transmisión incorrecta de credenciales
  • Requisitos de contraseña débiles (CWE-521): Aplicación insuficiente de la complejidad de la contraseña
  • Almacenamiento de datos inseguro (CWE-311): Cifrado débil o almacenamiento en texto plano
  • Criptografía débil (CWE-327): Uso de algoritmos criptográficos rotos o arriesgados
  • Entropía insuficiente (CWE-330): Generación predecible de números aleatorios
  • Credenciales incluidas directamente en el código (CWE-798): Credenciales incrustadas
  • Exposición a Datos Sensibles (CWE-200): Filtraciones de información
  • Validación incorrecta de certificados (CWE-295): fallos de validación SSL/TLS
  • Validación de entradas incorrecta (CWE-20): Validación insuficiente de los datos de entrada
  • Codificación de salida incorrecta (CWE-116): Sanitización inadecuada de salida
  • Asignación masiva (CWE-915): Vinculación de parámetros de solicitud a objetos internos
  • Entidad Externa XML (XXE) (CWE-611): Vulnerabilidades del analizador XML
  • Deserialización de Datos No Confiables (CWE-502): Deserialización insegura de objetos
  • Configuración incorrecta de seguridad (CWE-16): Configuración de seguridad incorrecta
  • Configuraciones predeterminadas (CWE-1188): Uso de configuraciones predeterminadas inseguras
  • Falta de cabeceras de seguridad (CWE-693): Ausencia de cabeceras HTTP protectoras
  • Mensajes de error verbosos (CWE-209): Divulgación de información mediante errores
  • Listado de directorios (CWE-548): Contenido expuesto del directorio
  • Vulnerabilidades de la lógica de negocio (CWE-840): Fallos que permiten a los usuarios manipular o eludir procesos críticos
  • Vulnerabilidades de Lógica de Código (CWE-633): Errores en condiciones o bucles que conducen a comportamientos inesperados
  • Vulnerabilidades Dependientes del Contexto (CWE-696): Errores basados en el tiempo o dependientes del estado
  • Condiciones de carrera (CWE-362): Control incorrecto de la temporización o del orden de las operaciones
  • Ataques de Temporización (CWE-208): Filtraciones de información basadas en el tiempo
  • SSRF (CWE-918): Falsificación de solicitudes en el lado del servidor que permite solicitudes internas no autorizadas
  • Redirección de URL (CWE-601): Redirecciones y reenvíos no validados
  • DNS Rebinding (CWE-350): ataques SSRF basados en DNS
  • Registro incorrecto (CWE-532): Datos sensibles en los registros
  • Registro insuficiente (CWE-778): Registro de eventos de seguridad ausente
  • Manejo incorrecto de errores (CWE-209): Filtraciones de información en mensajes de error
  • Manejo inadecuado de excepciones (CWE-248): Riesgos de seguridad derivados de una mala gestión de excepciones
  • Pista de auditoría faltante (CWE-778): Seguimiento inadecuado de la actividad
  • Código malicioso (CWE-506): Acciones dañinas no autorizadas
  • Puertas traseras (CWE-288): Mecanismos de acceso ocultos
  • Bombas de tiempo (CWE-511): Acciones maliciosas que se activan en un momento determinado
  • Ataques a la cadena de suministro (CWE-1357): Dependencias o actualizaciones comprometidas
  • Exfiltración de datos (CWE-319): Transmisión de datos no autorizada
  • Recogida de datos poco ética (CWE-359): Recogida inadecuada de datos
  • Actividad maliciosa de red (CWE-293): Conexiones sospechosas
  • Minería de Criptomonedas (CWE-400): Uso no autorizado de recursos
  • Agotamiento de recursos (CWE-400): Denegación de servicio por consumo de recursos
Además de vulnerabilidades de lógica de negocio, el SAST nativo con IA detecta fallos de seguridad habituales que también encuentran los escáneres SAST convencionales y abarca aproximadamente 900 enumeraciones de debilidades comunes (CWE).

Escaneo de secretos

Corgea también ofrece un escaneo exhaustivo de secretos para detectar credenciales incluidas en el código, claves de API y datos sensibles. Consulta más información sobre su detección y almacenamiento seguro.

​
Cobertura integral de vulnerabilidades

El SAST nativo de IA de Corgea ofrece una amplia cobertura de vulnerabilidades que va más allá de los estándares del sector como el OWASP Top 10 y el Top 25 CWE. Nuestra plataforma amplía continuamente su base de datos de vulnerabilidades para adelantarse a amenazas emergentes y abordar una amplia gama de problemas de seguridad en diferentes lenguajes y frameworks de programación.

​
Profundidad y amplitud de cobertura

Nuestra cobertura de vulnerabilidades abarca múltiples dimensiones para garantizar un análisis exhaustivo de tu base de código:
Corgea comprende las particularidades de cada lenguaje de programación y sus retos de seguridad. Nuestros modelos de IA están entrenados para identificar vulnerabilidades propias de cada lenguaje compatible, desde problemas de gestión de memoria en C/C++ hasta riesgos derivados del tipado dinámico en Python y Ruby.
Los frameworks populares presentan sus propios riesgos de seguridad. El análisis de Corgea tiene en cuenta las particularidades de .NET, Django, Ruby on Rails, Gin, Express.js y Spring para ofrecer detección y remediación específicas.
Además de los problemas propios de cada lenguaje, la plataforma detecta vulnerabilidades que pueden aparecer en varios lenguajes, como:
  • Prácticas criptográficas inseguras
  • Validación de entrada incorrecta
  • Condiciones de carrera
  • Fallos de autenticación y autorización
Nuestros modelos de IA se actualizan continuamente para mantenerse a la vanguardia, asegurando la detección y remediación de nuevas vulnerabilidades a medida que surgen en el panorama de seguridad en constante evolución.

​
Por qué es importante una cobertura amplia

Reducción de riesgo

Reduce el riesgo de brechas de seguridad, filtraciones de datos y otras amenazas al abordar una amplia variedad de vulnerabilidades

Cumplimiento

Cumple los requisitos de seguridad y las normas específicas del sector, y reduce el riesgo de sanciones

Eficiencia

Agiliza las revisiones mediante la detección de falsos positivos con IA y las correcciones automáticas

Mejora continua

Mantente protegido a medida que el panorama de seguridad evoluciona con datos de vulnerabilidades y inteligencia de amenazas en continua expansión

​
Revisar el análisis de taint

Cuando Corgea identifica un flujo de datos en un hallazgo de código, Vista completa incluye la pestaña Análisis de taint. Utilízala para seguir el recorrido de los datos no fiables desde el origen hasta el sink vulnerable, incluidos los flujos que atraviesan varios archivos.
1

Abre un hallazgo

En la lista de hallazgos de un escaneo, haz clic en una fila para abrir la barra lateral de detalles.
2

Abre Vista completa

En la barra lateral, haz clic en Abrir Vista completa. La pestaña Análisis de taint está disponible en Vista completa, pero no en la vista previa de la barra lateral.
Vista rápida del hallazgo con el botón Abrir Vista completa resaltado
3

Abre la pestaña Análisis de taint

Selecciona Análisis de taint. Corgea carga una traza ordenada del flujo de datos. La primera vez que abras la pestaña, la generación puede tardar unos segundos.
4

Recorre la traza

Cada paso muestra su función, la ruta del archivo, el número de línea y una breve descripción. Haz clic en un paso para abrir el archivo en el visor de código integrado y saltar a la línea correspondiente.
Pestaña Análisis de taint en Vista completa, con los pasos de origen, propagación y sink junto al visor de código
La traza se agrupa en tres tipos de pasos:
  • Fuente — donde la entrada no confiable entra en la aplicación
  • Propagación — funciones o archivos intermedios que transmiten el valor contaminado
  • Sink — donde los datos llegan a la operación vulnerable
Según los datos disponibles para el hallazgo, la traza puede proceder de un flujo de datos obtenido durante el escaneo —por ejemplo, de hallazgos de Semgrep, SARIF o Checkmarx—, de un grafo de llamadas con análisis de alcanzabilidad o de un análisis generado con IA cuando no existe una traza del escaneo. La cabecera de la pestaña indica el origen utilizado.

​
Tecnología del SAST nativo de IA

El SAST nativo de IA utiliza la tecnología propietaria CodeIQ de Corgea, que combina IA y árboles de sintaxis abstracta (AST) para realizar un análisis exhaustivo:
1

Análisis a nivel de proyecto

SAST, nativo de IA, analiza todo el proyecto para construir una imagen completa de las interacciones entre componentes del código, asegurando que no se pierdan vulnerabilidades.
2

Inteligencia contextual

El motor de IA entiende el contexto del código, incluyendo middleware, configuraciones y plantillas.
3

Reducción de falsos positivos

La comprensión del contexto y la lógica reducen los falsos positivos comunes en las herramientas tradicionales.

​
Comparación con métodos tradicionales

Las técnicas tradicionales de análisis estático presentan limitaciones significativas:
  • El análisis source-sink omite pasos de validación
  • Los call-graphs no detectan comportamientos en tiempo de ejecución
  • La búsqueda vectorial y el RAG sufren de una sobregeneralización

​
Integración y flujo de trabajo

Puntos de integración

  • Pipelines de CI/CD: Escaneo automático en commits y pull requests
  • Revisiones de pull requests: Análisis de vulnerabilidades antes de la fusión
  • Integración con IDE: Información en tiempo real durante el desarrollo

​
Lenguajes y frameworks compatibles

Corgea ofrece escaneo, detección de falsos positivos y corrección automática en numerosos lenguajes de programación y sus frameworks más utilizados, con cobertura para unas 900 enumeraciones CWE.

​
Compatibilidad con lenguajes

Compatibilidad nativa: Cobertura completa de las construcciones de C#, incluidos LINQ, los patrones async/await y los genéricos.Frameworks: .NET, ASP.NET Core, BlazorCorgea destaca en la protección de aplicaciones .NET a nivel empresarial, abordando vulnerabilidades como autenticación incorrecta, desserialización insegura y CSRF.
Compatibilidad nativa: Analiza características de Python como decoradores, gestores de contexto y comprensiones.Frameworks: Django, Flask, FastAPISe centra tanto en aplicaciones web como en servicios backend, abordando problemas como inyecciones SQL, XSS y referencias directas inseguras a objetos.
Compatibilidad nativa: Comprende la naturaleza dinámica de Ruby, incluidas sus funciones y bloques de metaprogramación.Frameworks: Ruby on Rails, SinatraSe especializa en identificar y corregir vulnerabilidades específicas de Ruby, incluyendo problemas de asignación masiva, rutas no protegidas y subidas de archivos inseguras.
Compatibilidad nativa: Analiza construcciones específicas de Go como goroutines, canales e interfaces.Frameworks: Gin, Echo, FiberSe dirige a preocupaciones de seguridad específicas de Go, como condiciones de carrera, manejo inadecuado de errores y uso inseguro de funciones criptográficas.
Compatibilidad nativa con los lenguajes: Admite JavaScript y TypeScript, incluidas características como async/await, closures y el sistema de tipos de TypeScript.Frameworks: Node.js, Express.js, Next.js, NestJS, Angular, React, Vue.jsCubre tanto la seguridad del lado del cliente como del servidor, abordando problemas como la contaminación de prototipos, dependencias inseguras y XSS basado en DOM.
Compatibilidad nativa: Analiza características de Java como genéricos, anotaciones y expresiones lambda.Frameworks: Spring, Jakarta EE, Play FrameworkSe centra en ecosistemas Java empresariales, abordando vulnerabilidades como ataques a entidades externas XML (XXE), inyección LDAP y deserialización insegura de objetos.
Compatibilidad nativa: Gestiona la sintaxis y las construcciones de PHP, incluidos traits y atributos.Aborda vulnerabilidades comunes de aplicaciones web como la ejecución remota de código, vulnerabilidades en inclusión de archivos y ataques de inyección SQL.
Compatibilidad nativa: Analiza características de Kotlin, como la seguridad frente a valores null, las coroutines y las funciones de extensión.Está especializado en seguridad de aplicaciones Android y del lado del servidor, abordando problemas como la exposición inadecuada de datos y la comunicación insegura.
Compatibilidad nativa: Analiza características de Swift, como los opcionales, las extensiones de protocolo, los genéricos y los tipos por valor.Mejora la seguridad en el desarrollo de aplicaciones iOS y macOS, abordando vulnerabilidades como almacenamiento de datos inseguro, validación inadecuada de SSL/TLS y comunicación insegura entre procesos.
Compatibilidad nativa: Gestiona construcciones de bajo nivel como punteros, gestión de memoria y templates.Se centra en vulnerabilidades relacionadas con la memoria, desbordamientos de búfer y problemas de seguridad a nivel de sistema comunes en aplicaciones C/C++.Habilitado para la detección de falsos positivos y la corrección automática. El escaneo estará disponible próximamente.

​
Capacidades clave

Escaneo Exhaustivo

Algoritmos avanzados escanean tu base de código para identificar posibles vulnerabilidades de seguridad, cubriendo una amplia gama de CWEs

Detección de falsos positivos

El sistema impulsado por IA distingue con precisión entre vulnerabilidades genuinas y falsos positivos

Reparación automatizada

Proporciona correcciones aplicables y adaptadas al contexto que pueden implementarse automáticamente o revisarse antes

Análisis específico del framework

Comprende las particularidades de los distintos frameworks de cada lenguaje para ofrecer información de seguridad específica

​
Filtrado inteligente de archivos

Para optimizar el rendimiento y la precisión del escaneo, Corgea excluye automáticamente los archivos que no son relevantes para el análisis de seguridad:

​
Archivos que se omiten

  • Archivos multimedia (imágenes, vídeos, fuentes)
  • Archivos de estilo (CSS, SCSS, LESS)
  • Archivos de documentación y markdown
  • Archivos de configuración y archivos comprimidos
  • Archivos de prueba y directorios de prueba
  • Datos simulados y fixtures
  • Informes de cobertura de código
  • Archivos de código generados automáticamente
  • Código minificado o agrupado
  • Archivos de migración de bases de datos
  • Archivos de definición de tipos
  • Binarios compilados y salidas de compilación

​
Archivos usados para contexto

Aunque no los escanea directamente en busca de vulnerabilidades, Corgea puede consultar algunos archivos para mejorar el contexto del análisis, como README, ejemplos de configuración y archivos de configuración de la aplicación.

​
Configuración personalizada

Puedes personalizar el comportamiento del escaneo mediante un archivo de configuración corgea.yaml en la raíz del repositorio:
Esto te permite excluir directorios o patrones de archivo específicos según las necesidades de tu proyecto.

​
Por qué filtramos

Nuestro enfoque de filtrado inteligente:
  • Mejora la precisión centrándose en el código real de la aplicación
  • Reduce el ruido de los archivos de prueba y del código de terceros
  • Optimiza el rendimiento para obtener resultados de escaneo más rápidos
  • Prioriza los hallazgos en el código que mantienes
Próximamente: Compatibilidad con Rust