Automatización de la seguridad en el desarrollo del SW

Abstract

Este Trabajo Fin de Máster aborda la integración de herramientas de análisis de seguridad de aplicaciones en un pipeline automatizado DevSecOps, con el objetivo de garantizar la identificación y mitigación temprana de vulnerabilidades durante el ciclo de desarrollo de software. El proyecto se centra en herramientas SAST y SCA, configuradas en un entorno CI/CD mediante GitHub Actions. La memoria documenta las etapas clave: investigación, selección de herramientas, diseño del entorno de laboratorio y configuración del pipeline. Se detalla cómo estas herramientas automatizan pruebas específicas en puntos críticos del flujo de desarrollo, mejorando la eficiencia en la detección de vulnerabilidades y facilitando la priorización de remediaciones. Adicionalmente, se realiza un análisis introductorio del OWASP Benchmark Project, y se identifican posibles líneas de evolución, como la integración de herramientas DAST e IAST. Entre las lecciones aprendidas, destacan la relevancia de la automatización, la importancia de adaptar las herramientas al flujo de trabajo del desarrollador y la necesidad de priorizar vulnerabilidades según el riesgo. Este proyecto contribuye al entendimiento práctico de DevSecOps y proporciona una base replicable para integrar seguridad en entornos de desarrollo modernos.

This Master's Thesis addresses the integration of application security testing tools into an automated DevSecOps pipeline, with the goal of ensuring the early identification and mitigation of vulnerabilities during the software development lifecycle. The project focuses on SAST and SCA tools, configured within a CI/CD environment using GitHub Actions. The thesis documents the key stages: research, tool selection, laboratory environment design, and pipeline configuration. It details how these tools automate specific tests at critical points in the development workflow, improving the efficiency of vulnerability detection and facilitating the prioritization of remediations. Additionally, an introductory analysis of the OWASP Benchmark Project is conducted, and potential lines of evolution are identified, such as the integration of DAST and IAST tools. Among the lessons learned, the importance of automation, the adaptation of tools to the developer's workflow, and the prioritization of vulnerabilities based on risk stand out. This project contributes to the practical understanding of DevSecOps and provides a replicable foundation for integrating security into modern development environments.