GitHub, la plataforma de código abierto más grande del mundo, ha lanzado un avanzado programa de gestión de vulnerabilidades diseñado para proteger a más de 100 millones de desarrolladores y sus datos a nivel global. El equipo de seguridad de GitHub ha redefinido la gestión de vulnerabilidades, viéndola no simplemente como una tarea de instalación de parches, sino como una función de inteligencia crítica para evaluar la exposición a amenazas y la probabilidad de explotación. Esta perspectiva les permite tomar decisiones rápidas e informadas para mitigar riesgos.
La compleja infraestructura de GitHub, que abarca múltiples proveedores de nube y centros de datos distribuidos globalmente, exige una evaluación continua de diversos perfiles de riesgo. Anteriormente, los procesos hechos a medida para cada grupo de seguridad generaban una sobrecarga operativa, experiencias de usuario inconsistentes y dificultaban la medición y escalabilidad eficiente, aumentando la probabilidad de errores humanos.
Para abordar estos desafíos, GitHub estableció varios requisitos clave para su programa de gestión de vulnerabilidades. Estos incluyen la automatización de procesos repetitivos, la integración de inteligencia de múltiples fuentes, la provisión de contexto oportuno, la asignación clara de responsabilidades y la disponibilidad de análisis a demanda para la toma informada de decisiones.
Después de una amplia investigación, GitHub implementó una herramienta personalizada denominada «Security Findings». Esta herramienta normaliza datos de diversas fuentes, genera hallazgos accionables y gestiona su ciclo de vida. Ha sido fundamental para reducir el ruido, ofrecer una solución ágil y establecer una «única fuente de verdad» para los hallazgos de seguridad. La herramienta también mejora la inteligencia mediante técnicas de minería de datos, identificando áreas estratégicas donde implementar salvaguardas.
El equipo de GitHub también priorizó una experiencia de usuario intuitiva, permitiendo el acceso organizado y relevante a grandes cantidades de datos. «Security Findings» cuenta con controles de acceso basados en roles y se integra en el flujo de trabajo de los desarrolladores, utilizando funcionalidades familiares de GitHub como Issues, notificaciones y proyectos para gestionar actividades de remediación.
En cuanto a la gestión de excepciones de seguridad, esta función ha sido integrada en «Security Findings», ofreciendo una experiencia coherente de principio a fin. Los usuarios pueden acceder fácilmente a listas completas de excepciones relacionadas con sus servicios, lo cual facilita la evaluación de la postura de seguridad e integra consideraciones de deuda técnica en la planificación de proyectos.
Desde la implementación de «Security Findings», GitHub ha procesado más de 150 millones de hallazgos de seguridad, cada uno de los cuales es analizado automáticamente y, si es necesario, recibe una triaga manual. Este enfoque ha permitido a GitHub mejorar significativamente su capacidad para gestionar y ampliar la gestión de hallazgos de seguridad.
GitHub ha transformado su capacidad para gestionar hallazgos de seguridad, permitiendo a sus equipos de seguridad centrarse en aspectos críticos mientras los desarrolladores se concentran en la creación de nuevas características. Los interesados en unirse a GitHub pueden explorar oportunidades en su página de carreras.
Vía: GitHub Security
