Cómo Mobbin consigue un triaje de seguridad casi inmediato con Hacktron

«No veo de qué otra forma podríamos escalar esto.

«Nos ayuda mucho que Hacktron haga la primera pasada sobre nuestros problemas de seguridad.»

Jian Jie Liau
CTO

Sobre Mobbin

Mobbin se ha convertido en infraestructura esencial para los equipos de producto modernos. Más de dos millones de diseñadores usan su biblioteca de más de 600 000 pantallas de apps móviles, apps web y sitios web publicados para aprender de los mejores productos digitales del mundo.

El reto: los hallazgos aparecían después del lanzamiento, sin un responsable claro

La IA ha multiplicado la velocidad a la que el equipo de ingeniería de Mobbin escribe y publica código.

Los hallazgos de seguridad solían aparecer cuando la funcionalidad ya se había publicado. Para entonces no había un responsable claro, y el equipo tenía que buscar al ingeniero adecuado para investigar cada problema.

«Antes, un hallazgo de seguridad aparecía cuando la funcionalidad ya se había publicado. No había nadie asignado, así que teníamos que encontrar a alguien que se hiciera cargo.»

Jian Jie Liau
CTO

El reto: a la revisión manual le costaban los cambios transversales

Antes de Hacktron, la revisión de seguridad era manual. Los ingenieros escribían pruebas y revisaban ellos mismos los pull requests. Eso funcionaba con cambios pequeños y aislados. Los cambios transversales eran más difíciles, porque cada revisor solo podía tener en cuenta las interacciones del sistema que el equipo ya veía.

«En general, las unidades pequeñas y fáciles de probar no dan problemas. Pero en los cambios transversales, la batería de pruebas está limitada por lo que el equipo entiende de cómo interactúan los sistemas en todo el código.»

Jian Jie Liau
CTO

A medida que se aceleraba la generación de código, Mobbin necesitaba una revisión de seguridad que pudiera seguir el ritmo, aportar el contexto completo de la aplicación a cada cambio y ayudar a los ingenieros a decidir mientras el código aún estaba fresco.

Hacktron lleva la revisión de seguridad a cada pull request

Mobbin usa ahora Hacktron como primera pasada de seguridad en cada pull request. Cuando Hacktron identifica un hallazgo, este aparece dentro del proceso de revisión del PR, así que la revisión de seguridad avanza junto con el código y no después del lanzamiento. Hacktron revisa cada cambio frente al resto del código, rastrea cómo interactúa con la aplicación y publica sus hallazgos directamente en GitHub.

«Con Hacktron, el hallazgo de seguridad aparece en el proceso de revisión del PR, y el responsable del PR es también el responsable del hallazgo.»

Jian Jie Liau
CTO

Cuando el código cambia, Hacktron vuelve a revisarlo. Los ingenieros ven el hallazgo mientras el pull request sigue activo, examinan la evidencia y toman la decisión final de triaje.

«La velocidad a la que publicamos código ha aumentado muchísimo.

«Sin duda necesitábamos una herramienta automatizada de revisión de seguridad de PR como un par de ojos más.»

Jian Jie Liau
CTO

• Antes de Hacktron: los hallazgos solían aparecer después del lanzamiento, sin un responsable claro.
• Con Hacktron: los hallazgos aparecen durante la revisión del PR, y la seguridad forma parte del cambio en curso.

Contexto de todo el código

Hacktron agiliza el triaje de los hallazgos porque aporta el contexto de la aplicación a la decisión.

Hacktron puede relacionar un cambio con código de otras partes de la aplicación y señalar implicaciones de seguridad difíciles de ver en un diff aislado. También puede identificar cambios estructurales que podrían crear una ruta vulnerable a medida que evoluciona el código.

«Lo que valoro es que Hacktron no se limita a buscar vulnerabilidades de seguridad existentes.

«También señala superficies o cambios de alto riesgo: zonas que no suponen ningún riesgo cuando se escriben, pero que pueden acabar creando una vulnerabilidad con cambios futuros por cómo se estructuró el código.»

Jian Jie Liau
CTO

Los resultados: del hallazgo a la decisión en minutos

«Como Hacktron forma parte del proceso de revisión de PR, los ingenieros reaccionan a los hallazgos casi de inmediato.

«El responsable del PR es también el responsable del hallazgo de seguridad.»

Jian Jie Liau
CTO

Durante las primeras ocho semanas de Mobbin con Hacktron, 21 hallazgos llegaron a un veredicto final. La mediana del tiempo de triaje fue de unos 32 minutos. Incluso el caso más largo se clasificó en 10,3 horas. Al llevar la revisión de seguridad a cada pull request y reunir el contexto de la aplicación en torno a cada hallazgo, Hacktron convirtió el triaje, que era un traspaso posterior al lanzamiento, en parte del flujo de desarrollo activo.

Para un equipo de ingeniería nativo de IA, la revisión de seguridad ya puede seguir el ritmo de la generación de código y sacar a la luz los problemas pronto, para actuar mientras los cambios siguen en marcha.