Las dependencias transitivas (las dependencias de sus dependencias, y las dependencias de estas, y así sucesivamente) constituyen la mayoría de los componentes de software de una aplicación moderna. Una aplicación de producción puede tener cincuenta dependencias directas, pero esas cincuenta dependencias pueden tener en conjunto miles de dependencias transitivas. La vulnerabilidad en una dependencia directa, en la que se centra la mayoría de los equipos de seguridad, es el riesgo visible. La vulnerabilidad en una dependencia transitiva de profundidad tres o cuatro, a tres o cuatro pasos de los requisitos directos de la aplicación, es el riesgo que la mayoría de los equipos de desarrollo no gestiona activamente y que muchas herramientas de SCA no cubren por completo en su alcance configurado.
El problema de la profundidad de la exposición es el desafío concreto de la gestión de riesgos. Una vulnerabilidad en una dependencia directa es manejable: se puede identificar la dependencia, determinar la versión vulnerable y aplicar la actualización a los requisitos directos de la aplicación. Una vulnerabilidad en una dependencia transitiva de profundidad tres exige: identificar que la dependencia transitiva está en el árbol, determinar cuáles de las dependencias directas o indirectas de la aplicación la incluyen, encontrar una ruta de actualización de la dependencia transitiva que sea aceptable para todas las dependencias intermedias entre la aplicación y el paquete vulnerable, y verificar que la actualización no rompa las dependencias intermedias. Esto suele ser difícil y a veces imposible sin cambios importantes en el árbol de dependencias.
El caso de Log4Shell es el ejemplo ilustrativo definitivo. La vulnerabilidad de Log4j afectó a millones de aplicaciones, la mayoría de las cuales no habían declarado directamente una dependencia de Log4j: lo usaban de forma transitiva a través de marcos de registro, servidores de aplicaciones y software intermedio que incluían Log4j como dependencia transitiva. Muchas organizaciones descubrieron que estaban afectadas solo cuando se publicó el CVE y ejecutaron un análisis completo de dependencias transitivas, no porque su gestión de dependencias directas fuera inadecuada, sino porque las dependencias transitivas en varios niveles de profundidad no se monitoreaban de forma continua.
Por qué es importante
El riesgo de las dependencias transitivas es importante para TPRM porque los proveedores de software cuyos productos usted implementa tienen árboles de dependencias transitivas que pueden contener componentes vulnerables que no monitorean de forma activa. Un proveedor cuyo análisis de SCA cubre solo las dependencias directas puede producir informes de SCA limpios mientras ejecuta dependencias transitivas vulnerables. Preguntar por la cobertura de las dependencias transitivas es la pregunta que revela si la gestión de vulnerabilidades del proveedor se extiende a todo el árbol de dependencias.
- SCA configurado solo para las dependencias directas: la profundidad transitiva no está totalmente cubierta
- Descubrimiento tardío de vulnerabilidades transitivas: encontradas mediante investigación externa y no mediante monitoreo interno
- Complejidad de la ruta de actualización de las dependencias transitivas no evaluada
- Profundidad del SBOM: si el SBOM cubre el árbol transitivo completo o solo las dependencias directas
- Exposición al estilo de Log4Shell: la inclusión de dependencias transitivas no se monitorea de forma continua
Cómo se ve una buena práctica
Los programas maduros de gestión del riesgo de las dependencias transitivas implementan SCA con análisis de profundidad transitiva completa, mantienen SBOM que incluyen el árbol completo de dependencias transitivas, monitorean las vulnerabilidades recién publicadas en todo el árbol de dependencias y no solo en las dependencias directas, e incluyen la cobertura de dependencias transitivas como pregunta de evaluación de proveedores.
- Análisis de SCA con profundidad transitiva completa: no limitado a las dependencias directas
- SBOM transitivo completo: todas las dependencias en todas las profundidades
- Monitoreo continuo de vulnerabilidades en todo el árbol de dependencias
- Evaluación de la viabilidad de la ruta de actualización para las vulnerabilidades transitivas
- Pregunta sobre la cobertura transitiva en las evaluaciones de seguridad del software de los proveedores
Herramientas
SCA con profundidad completa: Snyk, Dependabot, OWASP Dependency-Check con análisis transitivo completo
Las herramientas de SCA varían en su cobertura de dependencias transitivas: algunas analizan solo las dependencias directas de forma predeterminada; otras analizan el árbol de dependencias completo. Para los profesionales de TPRM, preguntar si las herramientas de SCA de un proveedor analizan el árbol completo de dependencias transitivas y con qué profundidad constituye una pregunta concreta sobre la cobertura. Tanto Snyk como Dependabot ofrecen el análisis transitivo completo como opción configurable.
Integridad del SBOM: Syft para generar un SBOM transitivo completo; Dependency-Track para la gestión del SBOM transitivo
Las herramientas de generación de SBOM que producen el árbol completo de dependencias transitivas, y no solo las dependencias directas, aportan el inventario completo de componentes que requiere la evaluación del riesgo transitivo. Syft puede generar SBOM en formato CycloneDX con una cobertura configurable de la profundidad transitiva.
Desafíos de gobernanza
El desafío de gobernanza del riesgo de las dependencias transitivas es la complejidad de la corrección. Las vulnerabilidades de las dependencias transitivas pueden no tener rutas de actualización sencillas: actualizar una dependencia transitiva puede requerir esperar a que una dependencia anterior en la cadena publique una actualización, o puede requerir anular el árbol de dependencias de formas que generan riesgos de compatibilidad. La solución de gobernanza es priorizar la corrección de las vulnerabilidades transitivas según su alcanzabilidad, es decir, si la aplicación ejecuta realmente la ruta de código vulnerable.
- Configure SCA con profundidad transitiva completa, no solo para las dependencias directas
- Genere SBOM transitivos completos: todos los niveles de dependencia
- Monitoree de forma continua la publicación de vulnerabilidades transitivas
- Evalúe la alcanzabilidad de las vulnerabilidades transitivas: si el código vulnerable se llama realmente
- Incluya la cobertura transitiva en la evaluación del programa de SCA del proveedor
Si usted forma parte de un equipo pequeño
Ejecute un análisis completo de dependencias transitivas en su aplicación de producción con Snyk u OWASP Dependency-Check con el modo transitivo habilitado. Compare los hallazgos con su último informe de SCA que cubría solo las dependencias directas. La diferencia, es decir, las vulnerabilidades encontradas en dependencias transitivas que no aparecían en el análisis de dependencias directas, es su brecha actual de exposición transitiva. Para cada vulnerabilidad crítica de esa diferencia transitiva, evalúe si la ruta de código vulnerable es alcanzable desde su aplicación y priorice en consecuencia.
- Ejecute un análisis completo de dependencias transitivas y compárelo con el análisis solo de dependencias directas
- Identifique la diferencia de exposición transitiva
- Evalúe la alcanzabilidad de las vulnerabilidades transitivas críticas
- Incluya la cobertura transitiva en las preguntas de evaluación de proveedores
Qué exigir
Pregunte directamente:
"¿Su análisis de SCA cubre todo su árbol de dependencias transitivas, no solo las dependencias directas, y su SBOM incluye todos los componentes transitivos? ¿Y cómo identificaron la vulnerabilidad Log4Shell y respondieron a ella, dado que Log4j suele ser una dependencia transitiva y no directa?"
Evidencia que debe esperar
- Confirmación del análisis de SCA transitivo completo
- SBOM transitivo completo
- Cronología de la respuesta a Log4Shell como caso de estudio de vulnerabilidad transitiva
- Proceso de monitoreo de vulnerabilidades transitivas
A un proveedor que confirma la gestión de vulnerabilidades mediante SCA se le debe preguntar por la cobertura de la profundidad transitiva. El SCA de las dependencias directas es un punto de partida. El análisis transitivo completo es el panorama completo. Log4Shell es el caso de prueba por excelencia para saber si esa distinción se ha puesto en práctica.
Cómo demostrarlo
- Registros del análisis de SCA transitivo completo
- SBOM transitivo completo
- Implementación del monitoreo de vulnerabilidades transitivas
- Proceso de evaluación de la alcanzabilidad
Conclusión clave
Dependencias directas: cero vulnerabilidades críticas. Profundidad transitiva cuatro: vulnerabilidad crítica en la cadena de dependencias de un marco de registro. Alcance del SCA: dependencias directas. Profundidad cuatro: fuera del alcance. Log4Shell llegó a millones de aplicaciones a través de dependencias transitivas que sus equipos no habían declarado directamente. El análisis transitivo completo encuentra lo que el análisis solo de dependencias directas pasa por alto. Los SBOM transitivos completos inventarían lo que encontró el análisis completo. La evaluación de la alcanzabilidad prioriza lo que identificó el inventario. La pregunta «¿su SCA cubre todo su árbol transitivo?» es el caso de prueba para saber si la cobertura del programa coincide con el modelo de amenazas.