Leer informes de análisis estático, dinámico y de composición

Un desarrollador mira un informe de SAST/DAST para corregir una línea de código específica. El arquitecto de seguridad lee esos mismos informes con una mirada de diseño:

• SAST (Static Application Security Testing): Si aparecen cincuenta fallos de inyección SQL, el problema no es de cincuenta desarrolladores, sino de un fallo de arquitectura: falta un framework ORM estandarizado o un patrón de acceso a datos seguro.
• DAST (Dynamic Application Security Testing): Revela desajustes en cabeceras de transporte (CSP, HSTS) o pasarelas de API mal configuradas.
• SCA (Software Composition Analysis): Muestra vulnerabilidades conocidas (CVEs) en librerías de terceros (SBOM) que requieren políticas de actualización de dependencias.

En los informes de aseguramiento de código de TeleMédica Salus se compilan los resultados de las tres tecnologías de escaneo.

Abre el laboratorio y consulta informes-escaneo-codigo-seguridad.txt. Identifica el número de hallazgos críticos detectados por Semgrep (SAST).

El análisis de composición de software realizado con Trivy alertó sobre un componente de procesamiento de imágenes con un fallo conocido.

Revisa informes-escaneo-codigo-seguridad.txt y localiza el identificador CVE reportado por Trivy.

El análisis de código no debe ser un evento pasivo que se consulta una vez al mes. La arquitectura debe integrar puertas de calidad (Quality Gates) en el pipeline: si un escaneo de SCA detecta una vulnerabilidad crítica con exploit público disponible, la compilación se aborta y se impide la fusión (merge) de la rama en el repositorio principal.