[Pór q~úé lás~ vúlñ~éráb~ílíd~ádés~ dé Ló~g4j dé~stác~áñ lá~ ímpó~rtáñ~cíá d~é Dév~SécÓ~ps]

[Éñ dícíémbré dé 2021, lós éqúípós dé ségúrídád dé TÍ ý lás órgáñízácíóñés dé désárrólló dé tódó él múñdó récíbíéróñ úñá llámádá dé átéñcíóñ grósérá. Lós íñvéstígádórés hábíáñ déscúbíértó úñá grávé vúlñérábílídád dé ségúrídád éñ lá útílídád Ápáché Lóg4j, úñ pópúlár cómpóñéñté dé régístró íñtégrádó éñ íññúméráblés áplícácíóñés ý sérvícíós Jává. Lá ñótícíá dé éstá vúlñérábílídád hízó qúé lós éqúípós dé ségúrídád dé TÍ ý lás órgáñízácíóñés dé désárrólló sé ésfúércéñ pór éñcóñtrár tódás lás íñstáñcíás dé lás vérsíóñés vúlñéráblés dé Lóg4j éñ sús própíás rédés.]

[Lá vúlñérábílídád Lóg4j támbíéñ há óblígádó á lós éqúípós dé DévSécÓps á réspóñdér úñá prégúñtá qúé áhórá sé síéñté méñós téórícá. Sí Lóg4j ó cúálqúíér ótrá vúlñérábílídád cómprómétíérá úñá áplícácíóñ désárrólládá íñtérñáméñté, ¿lós éqúípós dé ségúrídád pódríáñ áíslár él átáqúé ý mítígár sú dáñó¿ ¿Lás práctícás áctúálés dé DévÓps prépáráñ párá qúé úñá órgáñízácíóñ váýá á lá búsqúédá dé áméñázás dé máñérá rápídá ý éféctívá á trávés dé sú própíó códígó¿]

[Échémós úñ vístázó rápídó á lá vúlñérábílídád dé Lóg4j, ló qúé sígñífícá párá lós éqúípós dé DévSécÓps ý cómó lá Ségméñtácíóñ dé Cóñfíáñzá Céró dé Íllúmíó púédé áýúdár á lós éqúípós dé DévSécÓps á mítígár lás áméñázás cúáñdó él sóftwáré vúlñéráblé és átácádó áñtés dé qúé sé púédá sólúcíóñár.]

[Lá vú~lñér~ábíl~ídád~ Lóg4j~ ý pór~ qúé és~ ímpó~rtáñ~té]

[Lá vúlñérábílídád qúé récíbé tódá éstá átéñcíóñ ímplícá Él úsó dé Lóg4j dé lá íñtérfáz dé díréctóríó ý ñóméñclátúrá dé Jává (JÑDÍ), úñá pópúlár ÁPÍ dé ñómbrés ý búsqúédá párá áplícácíóñés Jává. Lás prímérás vérsíóñés dé Lóg4j hábílítáróñ lá fúñcíóñ dé sústítúcíóñ dé búsqúédá dé méñsájés dé JÑDÍ dé fórmá prédétérmíñádá. Ál úsár ésá fúñcíóñ, lós átácáñtés púédéñ éñvíár méñsájés cúídádósáméñté cóñstrúídós á úñá áplícácíóñ, ló qúé óblígá á lá áplícácíóñ á éjécútár códígó cárgádó désdé sérvídórés LDÁP ú ótrós púñtós fíñálés bájó él cóñtról dél átácáñté. Ésé códígó pódríá íñstálár málwáré, éxfíltrár dátós ó réálízár ótrás áccíóñés málícíósás éñ lá réd dé lá áplícácíóñ.]

[Lóg4j és ámplíáméñté útílízádó. Góóglé éstímá qúé éstá éñ 4 pór cíéñtó dé lós páqúétés Jává éñ él Répósítóríó Céñtrál dé Mávéñ, ámplíáméñté récóñócídó cómó él répósítóríó dé páqúétés Jává más ímpórtáñté. Lóg4j sé útílízá éñ tódó típó dé sóftwáré qúé váñ désdé áplícácíóñés wéb hástá sérvícíós báck-éñd ý áplícácíóñés pérsóñálízádás párá díspósítívós ÍóT.]

[Táñ próñtó cómó sé áñúñcíó éstá vúlñérábílídád, lós éqúípós dé ségúrídád dé TÍ cóméñzáróñ á récórrér sús rédés, búscáñdó ñómbrés dé árchívós ý ótrás íñdícácíóñés dé lá préséñcíá dé Lóg4j éñ cúálqúíér díréctóríó dé sú éñtórñó. Lós éqúípós dé DévÓps támbíéñ sé púsíéróñ ócúpádós, búscáñdó á trávés dé sús própíós árchívós búscáñdó cúálqúíér úsó dé Lóg4j éñ sús própíás áplícácíóñés.]

[Háý múchó éñ júégó. Lós cíbérdélíñcúéñtés ýá háñ útílízádó éstá vúlñérábílídád párá láñzár átáqúés dé ráñsómwáré, íñstálár sóftwáré dé míñéríá dé móñédás éñ rédés córpórátívás é íñfíltrársé éñ él Míñístéríó dé Déféñsá bélgá. Lós átácáñtés éstáñ díséñáñdó ñúévás fórmás dé málwáré dírígídás á lá vúlñérábílídád. Pór éjémpló, él ñúévó ráñsómwáré Ñíght Ský ápúñtá Vúlñérábílídádés dé Lóg4j éñ él sóftwáré VMwáré Hórízóñ.]

[Él pá~ñórá~má gé~ñérá~l: lás~ vúlñ~éráb~ílíd~ádés~ dél c~ódígó~ fúéñ~té ý l~ós rí~ésgó~s qúé~ pláñ~téáñ~]

[Lá vúlñérábílídád Lóg4j résáltá dós próblémás máýórés párá lás órgáñízácíóñés dé désárrólló íñtérñó. Príméró, ñó ímpórtá cúáñ bíéñ órgáñízádós éstéñ sús hérrámíéñtás ý prócésós DévÓps, lá máýóríá dé lás órgáñízácíóñés tíéñéñ dífícúltádés párá détérmíñár tódós lós cómpóñéñtés útílízádós éñ sús áplícácíóñés, éspécíálméñté sí ésós cómpóñéñtés éstáñ íñtégrádós cómó bíblíótécás ó sé áccédé á éllós á trávés dé dépéñdéñcíás cóñ ótrós sérvícíós.]

[Éñ él cásó dé Lóg4j, pór éjémpló, és pósíblé íñclúír lá útílídád éñ úñá áplícácíóñ síñ déjár úñ árchívó JÁR Lóg4j éñ úñ répósítóríó. Éñcóñtrár tódás lás vérsíóñés dé tódós lós cómpóñéñtés dé sóftwáré, dé códígó ábíértó ó dé ótró típó, éñ lás áplícácíóñés és úñ trábájó dífícíl ý léñtó.]

[Éñ ségúñdó lúgár, sí sé déscúbré qúé úñá áplícácíóñ éstá bájó átáqúé débídó á úñá vúlñérábílídád, lós éqúípós dé ségúrídád ñécésítáñ úñá fórmá dé áíslár él átáqúé íñmédíátáméñté áñtés dé qúé él átáqúé púédá própágársé á ótrós sístémás dé lá réd.]

[Dété~ñér ý~ dété~ñér l~ós át~áqúé~s dé L~óg4j é~s ímp~órtá~ñté ñ~ó sól~ó pár~á pró~tégé~r lós~ dátó~s cóñ~fídé~ñcíá~lés ý~ gárá~ñtíz~ár lá~ cóñt~íñúí~dád ó~pérá~tívá~, áúñq~úé és~ós ób~jétí~vós s~óñ ób~víám~éñté~ crítí~cós.]

[Péró támbíéñ háý úñ áñgúló dé cúmplímíéñtó. Él 4 dé éñéró dé 2022, él Lá Cómísíóñ Fédérál dé Cómércíó dé Éstádós Úñídós (FTC) áñúñcíó qúé áplícáríá sáñcíóñés ý múltás cóñtrá émprésás qúé pérmítíáñ qúé sé víólárá lá íñfórmácíóñ cóñfídéñcíál dé lós cóñsúmídórés cómó résúltádó dé lás vúlñérábílídádés dé Lóg4j.]

[Cítáñdó sú Sáñcíóñ dé 700 míllóñés dé dólárés cóñtrá Éqúífáx pór fíltrár dátós dé lós cóñsúmídórés débídó á úñá vúlñérábílídád síñ párchés éñ él márcó Ápáché Strúts, lá FTC áñúñcíó qúé “tíéñé lá íñtéñcíóñ dé útílízár sú pléñá áútórídád légál párá pérségúír á lás émprésás qúé ñó tóméñ médídás rázóñáblés párá prótégér lós dátós dé lós cóñsúmídórés dé lá éxpósícíóñ cómó résúltádó dé Lóg4j, ó vúlñérábílídádés cóñócídás símílárés éñ él fútúró”.]

[Lóg4j, résúltá, és lá púñtá dé úñ ícébérg másívó dé áméñázás pótéñcíálés. Párá éñcóñtrár ý sólúcíóñár vúlñérábílídádés ñó sóló rélácíóñádás cóñ Lóg4j síñó cóñ cúálqúíér cómpóñéñté dé sóftwáré éñ sús própíás áplícácíóñés ó áplícácíóñés dé tércérós qúé éstáñ éjécútáñdó, lás émprésás ñécésítáñ úñá vísíbílídád cómplétá dé sús éñtórñós dé sóftwáré. Ñó éñcóñtrár éstás vúlñérábílídádés áñtés dé qúé résúltéñ éñ úñá víólácíóñ dé dátós púédé dár lúgár á fúértés múltás régúlátóríás ý dáñós dúrádérós á lá márcá dé úñá órgáñízácíóñ.]

[Áfór~túñá~dámé~ñté, D~évSé~cÓps~ púéd~é áýú~dár.]

[Él pá~pél d~é Dév~SécÓ~ps éñ~ lá mí~tígá~cíóñ d~é ámé~ñázá~s dé v~úlñé~rábí~lídá~d dé s~óftw~áré]

[Lá ídéá détrás dé DévSécÓps és símplé: lá ségúrídád ñó débéríá sér úñá ídéá tárdíá cúáñdó sé trátá dé désárróllár é ímpléméñtár sóftwáré. Éñ sú lúgár, lá ségúrídád débé íñclúírsé éñ cádá pásó dé DévÓps, désdé él díséñó hástá él désárrólló, pásáñdó pór lás prúébás, él láñzámíéñtó ý lá ádmíñístrácíóñ dé ópérácíóñés. DévSécÓps és lá práctícá dé íñcórpórár ségúrídád éñ lás áplícácíóñés dé sóftwáré désárrólládás ý ádmíñístrádás á trávés dé lós prócésós DévÓps.]

[¿Cómó p~úédé~ DévS~écÓp~s áýú~dár á~ résó~lvér~ prób~lémá~s cóm~ó lá v~úlñé~rábí~lídá~d Lóg~4j¿]

[Éñ pr~ímér~ lúgá~r, lás~ méjó~rés p~ráctí~cás d~é Dév~SécÓ~ps ré~qúíé~réñ q~úé ló~s éqú~ípós~ dé dé~sárr~ólló~ útíl~ícéñ~ vérs~íóñé~s áct~úálí~zádá~s dé c~ómpó~ñéñt~és có~mó Ló~g4j ál~ créá~r ý ád~míñí~strá~r ápl~ícác~íóñé~s.]

[Éñ ségúñdó lúgár, DévSécÓps támbíéñ llámáríá á lás órgáñízácíóñés dé désárrólló ý prúébás párá rástréár lás vérsíóñés dé tódós lós cómpóñéñtés, íñclúídós lós cómpóñéñtés dé códígó ábíértó, útílízádós éñ lás áplícácíóñés. Dé ésá máñérá, sí lá cómúñídád dé ségúrídád dé TÍ áñúñcíá úñá vúlñérábílídád éñ úñ cómpóñéñté éñ pártícúlár, lá órgáñízácíóñ DévSécÓps púédé détérmíñár rápídáméñté cúálés dé sús própíás áplícácíóñés, sí lás háý, sé véñ áféctádás.]

[Ígúálméñté ímpórtáñté, lás méjórés práctícás dé DévSécÓps réqúíéréñ lá íñcórpórácíóñ dé cóñtrólés dé ségúrídád déñtró dé lás áplícácíóñés, dé módó qúé cúáñdó, íñévítábléméñté, sé éñcúéñtré vúlñéráblé ótrá bíblíótécá ó cómpóñéñté dé códígó ábíértó, lós éqúípós púédáñ éstár prépárádós párá cóñtéñér cúálqúíér átáqúés dé díá céró cóñtrá ésá vúlñérábílídád dé máñérá rápídá ý éféctívá. Sí ýá éxístéñ médídás déféñsívás, lá órgáñízácíóñ púédé áctúár párá déféñdérsé dé úñ átáqúé, íñclúsó sí fáltáñ díás ó sémáñás párá úñ párché párá lá vúlñérábílídád.]

[Úñó dé lós méjórés cóñtrólés dé ségúrídád párá íñcrústár és úñá sólúcíóñ dé Ségméñtácíóñ dé Cóñfíáñzá Céró qúé útílízá lós fíréwálls íñtégrádós éñ lós sístémás párá áplícár pólítícás dé ségúrídád qúé límítáñ él tráfícó dé réd sóló á úsúáríós ý prócésós áútórízádós. Ál rédúcír drástícáméñté lós páths dé réd díspóñíblés párá lós átácáñtés, lá Ségméñtácíóñ dé Cóñfíáñzá Céró íñclúýé á lós átácáñtés ý lós áíslá éñ lós pócós sístémás qúé íñícíálméñté pódríáñ llégár á cómprómétér. Cóñ lá Ségméñtácíóñ dé Cóñfíáñzá Céró ímpléméñtádá, lós átácáñtés ñó pódríáñ déscárgár ý éjécútár códígó dé úñ sítíó málícíósó.]

[Sí úñ átáqúé sé áíslá éñ lá réd, lós cíbérdélíñcúéñtés ñó púédéñ própágár ráñsómwáré á ótrós sístémás. Ñó púédéñ éxplórár sígílósáméñté lá réd, búscáñdó dátós válíósós párá éxfíltrárlós. Éstáñ átrápádós éñ sú lúgár cómó úñ désvéñtúrádó ládróñ qúé há lógrádó cáér pór úñ trágálúz sóló párá éñcóñtrársé éñ úñá trámpá párá ósós. Sé métíéróñ, péró ñó váñ á ñíñgúñá párté. Ý sé há sóñádó úñá álármá.]

[Íllú~míó p~rópó~rcíó~ñá lá~ vísí~bílí~dád ý~ áútó~mátí~zácí~óñ qúé~ ñécé~sítá~ñ lós~ éqúí~pós d~é Dév~SécÓ~ps]

[Ségméñtácíóñ dé cóñfíáñzá céró dé Íllúmíó és úñá sólúcíóñ dé ségúrídád válíósá párá cúálqúíér órgáñízácíóñ DévSécÓps pórqúé fácílítá á lós éqúípós dé désárrólló lá íñcórpórácíóñ dé rígúrósós cóñtrólés dé ségúrídád éñ lás áplícácíóñés síñ téñér qúé ápréñdér lás cómpléjídádés dé lás práctícás dé réd ó ségúrídád.]

[Íllúmíó prótégé lás áplícácíóñés ál fácílítár qúé lós désárrólládórés ý lós éqúípós dé ségúrídád défíñáñ pólítícás dé Ségméñtácíóñ dé Cóñfíáñzá Céró. Úñá véz créádás, lás órgáñízácíóñés púédéñ áplícár fácílméñté ésás pólítícás útílízáñdó Íllúmíó Ñódó dé áplícácíóñ vírtúál (VÉÑ) júñtó cóñ lós fíréwálls básádós éñ hóst ýá íñtégrádós éñ lós sístémás dóñdé sé éjécútáñ lás áplícácíóñés dé lá órgáñízácíóñ. Él Íllúmíó VÉÑ és úñ clíéñté lígéró ý á prúébá dé fállás qúé sé púédé íñclúír fácílméñté éñ lás cómpílácíóñés dé sóftwáré. Ñó sé réqúíéréñ gráñdés cámbíós dé díséñó.]

[Lá sólúcíóñ Íllúmíó útílízá fíréwálls, péró lés pérmíté á lós désárrólládórés lá móléstíá dé téñér qúé prógrámár cóñjúñtós cómpléjós dé réglás dé fíréwáll. Éñ sú lúgár, pérmíté qúé lós désárrólládórés ý él éqúípó dé ségúrídád défíñáñ lás pólítícás qúé qúíéréñ qúé sé áplíqúéñ, pérmítíéñdó qúé sóló él tráfícó ñécésáríó pásé á trávés dé sús áplícácíóñés ý lúégó éñvíár ésás pólítícás á lós VÉÑ íñtégrádós éñ lás áplícácíóñés párá sú cúmplímíéñtó.]

[Lás ó~rgáñ~ízác~íóñé~s Dév~SécÓ~ps pú~édéñ~ ájús~tár l~ás pó~lítíc~ás pá~rá dí~vérs~ás áp~lícá~cíóñ~és ý é~ñtór~ñós. É~spéc~ífícá~méñt~é, púé~déñ d~éfíñ~ír pó~lítíc~ás bá~sádá~s éñ:]

• [Rólé~s déñ~tró d~é lá á~plíc~ácíóñ~]
• [Lá áp~lícá~cíóñ é~ñ sí]
• [Él éñ~tórñ~ó éñ é~l qúé~ sé éj~écút~á lá á~plíc~ácíóñ~, cómó~ désá~rról~ló, pr~úébá~ ó pró~dúcc~íóñ]
• [Lá úb~ícác~íóñ dé~l éñt~órñó~: pór é~jémp~ló, úñ~ éñtó~rñó d~é pró~dúcc~íóñ éñ~ úñ cé~ñtró~ dé dá~tós d~é lá c~óstá~ óést~é dé É~stád~ós Úñ~ídós~]

[Lúégó, él éqúípó dé DévSécÓps símpléméñté ágrégá úñ Íllúmíó VÉÑ á úñá cómpílácíóñ dé sóftwáré. Úñá véz qúé sé éjécútá éñ él éñtórñó dé áplícácíóñés, él VÉÑ áplícá Pólítícás dé cóñfíáñzá céró, géñérá álértás cúáñdó sé détéctá úñ móvímíéñtó látérál sóspéchósó ý fréñtá él tráfícó éñ réspúéstá á átáqúés áctívós, áísláñdó lós éñdpóíñts íñféctádós dél réstó dé lá réd.]

[Íllúmíó támbíéñ ófrécé úñ Clíéñté C-VÉÑ ý sérvícíó Kúbélíñk párá sú úsó éñ éñtórñós éñ cóñtéñédórés, qúé sóñ pópúlárés éñ árqúítéctúrás dé mícrósérvícíós. C-VÉÑ és úñ ágéñté lígéró dé Íllúmíó, qúé sé éjécútá cómó úñ pód éñ cádá ñódó dé úñ clústér dé Kúbérñétés, qúé prótégé él ñódó ý tódós lós póds qúé sé éjécútáñ éñ él. Éñtrégádó cómó DáémÓñsét, C-VÉÑ éscálá hácíá árríbá ý hácíá ábájó á médídá qúé évólúcíóñá él clústér. Kúbélíñk és úñ sérvícíó dé Íllúmíó qúé móñítóréá él sérvídór ÁPÍ dé Kúbérñétés párá ápréñdér sóbré lós récúrsós déñtró dél clústér ý própórcíóñár cóñtéxtó Kúbérñétés ál PCÉ. Sé éñtrégá cómó úñ páqúété ý réqúíéré sóló úñá réplícá pór clústér, ló qúé áýúdá á qúé lás sólúcíóñés dé cóñtéñédórés dé Íllúmíó séáñ áltáméñté éscáláblés.]

[Lós éqúípós dé DévSécÓps tíéñéñ dós fórmás dé íñtéráctúár cóñ él PCÉ dé Íllúmíó: á trávés dé lá íñtérfáz dé úsúáríó dé PCÉ ó sús ÁPÍ RÉST bíéñ dócúméñtádás. Lós éqúípós dé DévSécÓps púédéñ úsár lás ÁPÍ párá íñtégrár Íllúmíó éñ cáñálízácíóñés dé CÍ/CD, dé módó qúé lá Ségméñtácíóñ dé Cóñfíáñzá Céró sé cóñvíértá éñ úñá párté éstáñdár dé lós flújós dé trábájó dé DévSécÓps. Lás ÁPÍ támbíéñ pérmítéñ á lós éqúípós dé ségúrídád íñtégrár Íllúmíó cóñ ótrás hérrámíéñtás dé ségúrídád ý flújós dé trábájó.]

[Él có~ñjúñ~tó dé~ pród~úctó~s Íll~úmíó~ próp~órcí~óñá S~égmé~ñtác~íóñ dé~ Cóñf~íáñz~á Cér~ó dóñ~déqú~íérá~ qúé s~é ímp~lémé~ñtéñ~ áplí~cácí~óñés~ ý sér~vící~ós, íñ~clúí~dós é~ñdpó~íñts~ éñ:]

• [Céñt~rós d~é dát~ós: Ñúc~léó d~é Íll~úmíó~]
• [Ñúbé~s públ~ícás~, prív~ádás~ ó híbr~ídás~: Íllú~míó C~lóúd~Sécú~ré]
• [Dísp~ósít~ívós~ dé pú~ñtó f~íñál~: Íllú~míó É~dgé]

[Lóg4j ñó sérá él últímó cómpóñéñté dé sóftwáré qúé íñclúýá úñá vúlñérábílídád pélígrósá. Ál ádóptár lás práctícás dé DévSécÓps ý úsár Íllúmíó párá áplícár lá Ségméñtácíóñ dé Cóñfíáñzá Céró éñ lás áplícácíóñés éñ tódás pártés, lás órgáñízácíóñés púédéñ éstár prépárádás párá prótégér sús dátós, áplícácíóñés ý pérsóñás míéñtrás cóñtíñúá él léñtó trábájó dé éscáñéó dé rédés ý búsqúédá dé áméñázás.]

[Párá~ óbté~ñér m~ás íñf~órmá~cíóñ:]

• [Cóñs~últé~ él ré~súmé~ñ dé l~á sól~úcíóñ~, Íllú~míó p~árá D~évSé~cÓps~.]
• [Cóñt~áctáñ~ós pá~rá úñ~á dém~óstr~ácíóñ~.]