Escaneo de dependencias (SCA)

​

Resumen

• Qué hace: El escaneo de dependencias, también conocido como Análisis de Composición de Software (SCA), identifica automáticamente vulnerabilidades de seguridad conocidas en las dependencias y bibliotecas de terceros de tu proyecto. Escanea archivos de manifiestos de dependencias (como package.json, requirements.txt, pom.xml) y proporciona información detallada sobre vulnerabilidades, incluyendo identificadores CVE, puntuaciones CVSS y orientación para remediación.
• Para quién es: Esta función está dirigida a equipos de seguridad, desarrolladores, ingenieros de DevOps y cualquier persona responsable de mantener aplicaciones seguras. Resulta especialmente útil en proyectos con numerosas dependencias de terceros cuyos equipos deben conocer las vulnerabilidades que pueden afectar a sus aplicaciones.

​

Características y beneficios principales

• Cobertura integral de ecosistemas: Analiza dependencias de 25+ lenguajes y ecosistemas, como Python, JavaScript/Node.js, Java, Go, Ruby, PHP, C# y Swift

• Información detallada sobre vulnerabilidades: Proporciona:
  • Identificadores CVE e identificadores alternativos de vulnerabilidades
  • Puntuaciones y calificaciones de gravedad CVSS (Crítica, Alta, Media, Baja)
  • Versiones de paquetes afectadas y correcciones disponibles
  • Descripciones detalladas de vulnerabilidades y referencias
  • Enlaces a avisos de fuentes como GitHub Advisory Database, NVD y los proveedores, cuando estén disponibles
  • Fechas de publicación y enlaces externos
• Lógica de escaneo inteligente: Detecta automáticamente cuando hay archivos de dependencia presentes y optimiza el rendimiento de escaneo

​

Instrucciones de configuración

​

Pasos de configuración

requirements.txt
Pipfile
Pipfile.lock
pyproject.toml
poetry.lock

package.json
package-lock.json
yarn.lock
pnpm-lock.yaml

pom.xml
build.gradle
build.gradle.kts
gradle.lockfile

go.mod
go.sum

Gemfile
Gemfile.lock

composer.json
composer.lock

*.csproj
packages.config

Package.swift
Package.resolved

​

Guía de uso

​

Flujos de trabajo clave

1. Detección automática: El sistema identifica automáticamente los archivos de dependencias en el directorio de tu proyecto
2. Escaneo exhaustivo: Analiza todos los archivos de dependencias compatibles y compara los paquetes con bases de datos de vulnerabilidades
3. Procesamiento de vulnerabilidades: Analiza los resultados y los enriquece con información de seguridad adicional
4. Creación de hallazgos: Crea un hallazgo con seguimiento por cada vulnerabilidad detectada
5. Informes: Genera informes completos con recomendaciones prácticas de remediación

​

Filtros de la vista de dependencias

• Buscar: Encuentra hallazgos por CVE, nombre de paquete o resumen
• Gravedad: Limita los resultados a hallazgos críticos, altos, medios o bajos
• Estado del SLA: Muestra los hallazgos de dependencias vencidos o escalados cuando se aplica un SLA de SCA
• Ecosistema: Limita los resultados a un ecosistema de paquetes concreto
• Proyecto: Filtra a un proyecto específico por nombre (muestra solo proyectos a los que puedes acceder)
• Licencia: Filtra por la licencia de la dependencia
• Tipo de dependencia: Muestra dependencias directas, transitivas, de desarrollo u opcionales
• Alcanzabilidad: Muestra hallazgos alcanzables, inalcanzables, no utilizados o cuyo análisis sigue en curso. Consulta Análisis de alcanzabilidad
• Corrección disponible: Muestra solo hallazgos con una corrección conocida

​

Exportar dependencias a CSV

​

Dependencias transitivas

​

Tipos de dependencias

• Direct: El paquete vulnerable es una dependencia directa declarada en tu manifiesto (por ejemplo, package.json o pom.xml).
• Transitivo: El paquete vulnerable se incorpora indirectamente mediante otra dependencia.
• Dev: El paquete vulnerable se utiliza como dependencia de desarrollo (compilación, prueba o herramienta) en lugar de en tiempo de ejecución.
• Opcional: El paquete vulnerable se marca como dependencia opcional.

​

Cómo se construye el grafo de dependencias

1. Las dependencias directas se leen de los manifiestos (package.json, pom.xml, requirements.txt, go.mod, Gemfile y otros).
2. Las dependencias transitivas se resuelven a partir de lockfiles —como package-lock.json, yarn.lock, poetry.lock y go.sum— y de un SBOM generado, que contiene las versiones resueltas exactas y sus relaciones jerárquicas.
3. Cuando falta un lockfile, Corgea intenta generarlo automáticamente en los ecosistemas compatibles (por ejemplo, resolviendo dependencias de Python o .NET) para poder analizar también los paquetes transitivos.

​

Vista del árbol de dependencias

express@4.17.1 (direct)
├── lodash@4.17.15 (transitive)
└── qs@6.7.0 (transitive)
    └── side-channel@1.0.4 (transitive)

​

Ecosistemas compatibles

​

Ejemplo de proyecto multiecosistema

Enterprise Application:
├── backend/
│   ├── requirements.txt        ✓ Python dependencies
│   ├── pom.xml                 ✓ Java dependencies
│   └── go.mod                  ✓ Go dependencies
├── frontend/
│   ├── package.json            ✓ Node.js dependencies
│   └── package-lock.json       ✓ Lock file
├── mobile/
│   └── Gemfile                 ✓ Ruby dependencies
└── infrastructure/
    └── docker-compose.yml      ✓ Container dependencies

​

Desglose de la gravedad de la vulnerabilidad

• Alto: Debe abordarse con prontitud, impacto significativo en la seguridad
• Medio: Debería tratarse en ciclos de mantenimiento regulares
• Bajo: Hallazgos menores que pueden abordarse cuando resulte conveniente

​

Análisis de alcanzabilidad

1. ¿Se usa el paquete? Corgea busca importaciones y usos del paquete en tu código. Un paquete que se declara pero nunca se importa conlleva un riesgo mucho menor.
2. ¿Es accesible la función vulnerable? Para los paquetes que se usan, Corgea analiza si tu código realmente llama a las funciones específicas afectadas por la vulnerabilidad.

​

Estados de alcanzabilidad

• Accesible: Tu código llama a la funcionalidad vulnerable. Estas son la máxima prioridad, especialmente para dependencias directas.
• Inalcanzable: Se utiliza el paquete, pero no se llaman las funciones vulnerables.
• No utilizado: El paquete está declarado pero no se usa en tu código.
• Analizando: El análisis de alcanzabilidad del hallazgo sigue en curso.

​

Visualización de la alcanzabilidad

​

Recomendaciones de corrección

​

Escaneo de licencias

• Filtro de licencias: En la vista de dependencias, filtra los hallazgos por licencia (consulta Filtros de la vista de dependencias).
• Exportación CSV: La información de licencia se incluye al exportar dependencias a CSV.

​

Escaneo de imágenes en contenedor

​

Detección de paquetes maliciosos

​

Mejores prácticas

• Escaneo periódico: Habilita el escaneo automático para detectar vulnerabilidades nuevas a medida que se publican
• Actualizaciones de dependencias: Actualiza rápidamente las dependencias cuando haya correcciones disponibles
• Priorización por gravedad: Aborda primero las vulnerabilidades críticas y de gravedad alta
• Evaluación de riesgos: Evalúa si las vulnerabilidades afectan realmente a la superficie de ataque de tu aplicación
• Higiene de dependencias: Revisa y elimina periódicamente las dependencias sin usar para reducir la superficie de ataque
• Versiones fijas: Utiliza números de versión concretos en los archivos de dependencias para obtener resultados coherentes
• Monitorización: Configura alertas para nuevas vulnerabilidades descubiertas en tus dependencias
• Documentación: Mantén registros de los riesgos aceptados y de las decisiones de remediación

​

Resolución de problemas