Fuentes de hallazgos y su deduplicación

Cada fuente ve la aplicación desde un ángulo distinto y por eso ninguna sobra. El analizador estático lee el código y señala archivo y línea; el escaneo dinámico autorizado prueba la aplicación desplegada en preproducción y señala una ruta; el análisis de dependencias cruza los paquetes con los avisos publicados; el pentest y la revisión manual encuentran lo que las herramientas no ven, como la lógica de negocio; y el buzón de divulgación trae lo que un usuario o un investigador notó desde fuera. Lo que llega de cada una es una entrada, no todavía un hallazgo.

El hallazgo es el fallo en sí: una debilidad en un sitio de una aplicación. Para que el registro cuente fallos y no avisos, cada entrada se reduce a una clave estable que no dependa de cómo la nombró la herramienta. La práctica habitual es combinar la aplicación, la clase de debilidad (su CWE) y la ubicación normalizada por el triaje. Los títulos no sirven de clave: tres herramientas describen el mismo acceso a facturas ajenas con tres frases que no comparten una palabra.

Abre el laboratorio y lee regla-de-deduplicacion.txt: es la regla que el registro va a aplicar. Después mira entradas.csv. El terminal del laboratorio permite cortar columnas y contar valores distintos encadenando comandos; por ejemplo, cat entradas.csv | cut -d , -f 3,4,5 | sort | uniq deja una línea por cada combinación de las columnas 3, 4 y 5, y wc -l al final la cuenta. Recuerda que la primera línea del archivo es la cabecera, y que la regla trata las dependencias igual, con el paquete y el aviso dentro de la ubicación.

Cuando varias entradas se fusionan, el hallazgo se queda con una sola fecha de entrada, y de esa fecha cuelga todo lo demás: el plazo de corrección, la edad en el tablero y el vencimiento. La regla de Teusacá toma la más antigua, porque desde ese día la empresa ya sabía del fallo. Tomar la del último aviso regala semanas de plazo que nadie aprobó. Fíjate en que la fuente más ruidosa no siempre es la primera.

Deduplicar de más es tan malo como no deduplicar: un fallo real se esconde dentro de otro y se cierra cuando se corrige el primero. La regla lo evita con sus tres partes. Misma ubicación con otra CWE es otro fallo, aunque el buscador sea el mismo. Y misma CWE y ruta en otra aplicación también: se corrige en otro repositorio y lo arregla otro equipo.

El hallazgo fusionado no pierde sus fuentes: se anotan todas. Eso sirve para dos cosas. Dice cuántas defensas ya lo detectan, que es útil para saber si una herramienta se puede retirar sin perder nada; y cuando una fuente externa, como un usuario, encuentra algo que las internas ya tenían, el registro muestra que el fallo llevaba meses abierto. Cuenta fuentes distintas, no entradas.