Técnicas de revisión segura de código

La revisión segura de código identifica vulnerabilidades de seguridad en el código fuente antes del despliegue. A diferencia de la revisión funcional de código, se centra en los límites de confianza, los flujos de datos, las API peligrosas, los controles ausentes y los errores de lógica de seguridad, no en la corrección ni en el estilo.

Las herramientas SAST automatizadas (Semgrep, SonarQube y CodeQL) detectan rápidamente patrones conocidos, pero no encuentran fallos de lógica de negocio, vulnerabilidades complejas que afectan a varios componentes ni problemas que dependen del contexto. La revisión manual detecta lo que la automatización no encuentra. Ambas son necesarias.

Comience la revisión de seguridad identificando todos los puntos de entrada: endpoints HTTP, controladores de colas de mensajes, cargas de archivos, trabajos programados, webhooks y argumentos de CLI. Cada punto de entrada que acepta datos externos es un posible punto de inyección que requiere un análisis minucioso.

Siga los datos controlados por el usuario desde su punto de entrada hasta su uso final en la aplicación. ¿Llegan a una consulta de base de datos? ¿A un comando de shell? ¿A una plantilla HTML? ¿A una llamada a una API? Siga el flujo de datos y compruebe cada paso de transformación y saneamiento.

Las decisiones de seguridad se toman en los límites de confianza, donde los datos pasan de un contexto menos confiable (una solicitud HTTP) a otro más confiable (una base de datos o el sistema operativo). Cada cruce de un límite de confianza debe validar, sanear o autorizar los datos.

Marque los usos de: eval(), exec(), system(), shell_exec(), innerHTML, dangerouslySetInnerHTML, deserialize(), pickle.loads(), Runtime.exec(), ProcessBuilder, analizadores XML sin la expansión de entidades deshabilitada y primitivas criptográficas utilizadas directamente en lugar de API de alto nivel.

Compruebe lo siguiente: ¿Cada endpoint confidencial está protegido mediante autenticación? ¿Se comprueba la autorización en el servidor para cada acción? ¿Puede un usuario acceder a los datos de otro usuario cambiando un parámetro de ID (IDOR)? ¿Las operaciones confidenciales están protegidas contra CSRF?

Busque bloques catch que silencien las excepciones. Compruebe que los mensajes de error mostrados a los usuarios no revelen rutas internas, trazas de pila ni la estructura de la base de datos. Verifique que las excepciones de seguridad (AuthenticationException) se registren y no se ignoren silenciosamente.

Marque los siguientes casos: MD5 o SHA-1 para hashing de contraseñas (utilice bcrypt o Argon2), claves simétricas o IV codificados directamente en el código, cifrado en modo ECB (utilice GCM o CBC con HMAC), implementaciones criptográficas propias y generadores de números aleatorios que no sean criptográficamente seguros.

Revise package.json/pom.xml para detectar dependencias obsoletas. Compruebe en la configuración de la aplicación si el modo de depuración está habilitado en producción, si hay páginas de error detalladas, credenciales de administrador en archivos de configuración y cabeceras de seguridad ausentes (HSTS, CSP y X-Frame-Options).

Las reglas de Semgrep coinciden con patrones sintácticos teniendo en cuenta la semántica. Escriba reglas personalizadas para los patrones específicos de su base de código. CodeQL trata el código como datos: escriba consultas sobre el AST para encontrar flujos de datos desde los orígenes hasta los destinos a través de archivos y llamadas a funciones.

Una revisión segura de código eficaz combina la identificación de puntos de entrada, el trazado del flujo de datos, el análisis de los límites de confianza, la detección de API peligrosas y las herramientas SAST automatizadas. Detecta problemas de seguridad que la revisión funcional no encuentra, especialmente fallos de lógica de negocio y deficiencias sutiles de autorización.