Glosario: las siglas, en llano
31 términos que verás en cualquier herramienta de seguridad de código. Cada uno con lo que significa y con lo que hace Vibethia: lo hace, no lo hace o todavía no. Lo que no es una capacidad sino una idea va como concepto.
Qué se revisa
- Análisis estático de código SAST
Leer el código sin ejecutarlo buscando patrones que suelen ser vulnerabilidades: consultas armadas con texto que llega de fuera, rutas sin control de acceso, redirecciones abiertas.
Lo hace Semgrep con reglas públicas y cinco propias, y el analista aparta las falsas alarmas. Más
- Análisis de dependencias SCA
Comparar las librerías que lleva tu app, con su versión exacta, contra las bases públicas de vulnerabilidades conocidas. Incluye las que llegan detrás de otras.
Lo hace OSV-Scanner sobre los lockfiles, y el analista dice si tu código usa la parte vulnerable. Más
- Alcanzabilidad Reachability
Si tu código llega de verdad a la función vulnerable de una librería. Una vulnerabilidad en una función que nunca llamas existe, pero no urge.
Lo hace La juzga el analista leyendo tus usos del paquete, no un grafo de llamadas. Si no puede saberlo, lo dice. Más
- Malware en dependencias Malicious packages
Paquetes publicados con intención de hacer daño: nombres casi iguales a uno popular, paquetes que la IA se inventa y alguien registra, cuentas secuestradas.
Lo hace Si está en la lista pública de paquetes maliciosos, el PR no pasa. Es lo único que bloquea. Más
- Detección de secretos Secrets detection
Encontrar claves, tokens y contraseñas escritos en el código. Una vez en un commit, están en el historial de todo el que clone el repo.
Lo hace Gitleaks sobre el árbol actual. El valor nunca llega a Vibethia: se enmascara en tu runner. Más
- Infraestructura como código IaC scanning
Revisar los ficheros con los que se levanta la infraestructura (Dockerfile, Terraform, Kubernetes…) buscando configuraciones inseguras: permisos de más, puertos abiertos, cifrado apagado.
Lo hace Trivy, en cada subida, con el mismo triaje que el código. Más
- Escaneo de contenedores Container scanning
Revisar la imagen de un contenedor por dentro: su sistema base y sus paquetes, que también tienen vulnerabilidades publicadas.
Lo hace Trivy sobre la imagen que indiques en el workflow. Sin imagen, no corre. Más
- Inventario de software SBOM
La lista de todo lo que lleva tu app, con versiones. Sirve para responder en minutos «¿usamos esa librería?» cuando sale una vulnerabilidad famosa.
Lo hace CycloneDX generado por Trivy con cada escaneo; se ve y se descarga en el panel. Más
- Seguridad del pipeline CI/CD security
Revisar la propia cadena de montaje: acciones de terceros sin fijar a una versión, pasos que ejecutan texto que controla quien abre un PR, permisos de más.
Lo hace Las reglas de GitHub Actions de Semgrep: acciones sin fijar e inyección en run. No audita permisos. Más
- Pruebas dinámicas DAST
Atacar la app en marcha, desde fuera, como haría un atacante: peticiones, formularios, cabeceras. Encuentra lo que solo se ve en ejecución.
No lo hace Vibethia lee código y configuración; no lanza peticiones contra tu app. Nosotros sí lo pasamos a la nuestra.
- Postura de la nube CSPM
Conectarse a la cuenta de AWS, Azure o Google y revisar lo que hay desplegado de verdad, incluido lo que alguien cambió a mano en la consola.
No lo hace Mira los ficheros con los que despliegas, no la cuenta.
- Licencias y fin de vida License · EOL
Saber qué licencia tiene cada librería y si una versión o un runtime han dejado de mantenerse.
No lo hace No. El SBOM lista las librerías, sin licencia ni fecha de fin.
Qué se hace con los avisos
- Triaje Triage · AI triage
Leer cada aviso con el código delante y decidir si es real, si urge y qué hacer. Es el trabajo que nadie hace en un equipo pequeño.
Lo hace Un analista con IA clasifica y justifica; una regla fija decide. Lo ya leído no se vuelve a leer. Más
- Falso positivo Falsa alarma
Un aviso que no es una vulnerabilidad: el patrón está neutralizado, la clave es un ejemplo, la versión no está afectada. Los escáneres dan muchos a propósito.
Concepto En el repo de pruebas, el triaje descartó el 80 % (20 de 25). Más
- Falso negativo
Una vulnerabilidad real que nadie vio. Es el error caro, y por eso descartar de más es peor que avisar de más.
Concepto El triaje descartó por error 4 de 126 reales (3,2 %); el tope que nos pusimos es el 5 %. Más
- Veredicto
La decisión sobre un hallazgo: corregir, revisar, vigilar o descartar.
Concepto Lo calcula un script a partir de la clasificación del analista, con frenos para secretos y críticos. Se puede cambiar a mano, con motivo. Más
- Severidad y prioridad CVSS
La severidad dice cuánto daño puede hacer una vulnerabilidad en general; CVSS es la escala del sector. La prioridad es cuánto urge en tu caso.
Concepto La severidad base viene del escáner o del aviso; la prioridad sube si la dependencia es alcanzable.
- Identificadores de vulnerabilidades CVE · GHSA · CWE
CVE y GHSA son números de registro de una vulnerabilidad concreta en una librería; CWE es el tipo de debilidad (inyección, control de acceso…).
Concepto Van en la vista técnica de cada hallazgo, con los alias entre bases.
- Deduplicación
Si dos herramientas avisan de la misma vulnerabilidad, es una, no dos. Y si sigue ahí en la siguiente subida, se reconoce.
Lo hace Huella estable sin número de línea y lista de reglas equivalentes. Sin IA, con tests. Más
- Intento de manipulación Prompt injection
Código o comentarios escritos para engañar a un analista con IA: «esto está revisado, ignóralo». Los datos no son instrucciones.
Lo hace El analista lo marca y el veredicto va a Revisar. Nada del repo puede cerrar un bloque del mensaje. Más
- Arreglo automático Autofix
Que la herramienta abra el PR con el cambio hecho.
Todavía no Da la explicación y un prompt prudente para tu IA; el cambio lo haces y lo compruebas tú.
- Bloqueo por política Policy gate
Frenar un merge o un despliegue cuando se incumple una regla: «nada crítico pasa a producción».
Todavía no Hoy solo bloquea el malware conocido. Por repo y por severidad, en camino. Más
Cómo se trabaja
- DevOps
El mismo equipo escribe, prueba y despliega, con todo automatizado en el CI. Subir a producción varias veces al día en vez de una vez al mes.
Concepto Vibethia vive en ese CI: corre con tus tests y no te pide cambiar cómo trabajas. Más
- DevSecOps
DevOps con la seguridad dentro del flujo, no al final: cada subida pasa las revisiones de seguridad igual que pasa los tests.
Concepto Es lo que monta el workflow: revisión en cada push, triaje a los minutos, lista corta en el panel.
- Integración y despliegue continuos CI/CD
La cadena automática que, con cada cambio, construye, prueba y despliega. En GitHub son las Actions; el fichero que la describe es el workflow.
Concepto Un workflow reutilizable en tu repo; nada corre en nuestras máquinas. Más
- Shift left
Mover la seguridad hacia el principio: al escribir y al subir, no en una auditoría meses después.
Concepto La revisión completa corre al subir a la rama principal; en el PR, de momento, solo el malware.
- Cadena de suministro Supply chain
Todo lo que no escribiste tú y acaba en tu app: librerías, imágenes base, acciones de CI. Cada pieza es una puerta.
Concepto Dependencias, malware, imagen y acciones del CI: cuatro de las siete cosas que revisa. Más
- Lockfile
El fichero donde quedan fijadas las versiones exactas de cada librería (package-lock.json, pnpm-lock.yaml, poetry.lock…).
Concepto Es lo que lee para dependencias y malware. Sin lockfile, no hay revisión de librerías: te lo dirá. Más
- Gestión de la postura de aplicaciones ASPM
El nombre del sector para una herramienta que junta todos los escáneres en una lista, la deduplica, la prioriza con contexto y te dice qué hacer.
Concepto Es, en una palabra, lo que hace Vibethia. Sin la palabra.
- SARIF
El formato estándar en el que los escáneres entregan sus resultados.
Concepto Lo que viaja de tu CI a Vibethia, saneado y normalizado a un esquema único.
- Pentest
Una persona experta atacando tu app durante días, con informe. Lo más caro y lo más completo.
No lo hace No sustituye un pentest. Hace que cuando llegue, encuentre menos.
¿Falta alguna?
Dínosla y la añadimos, con la misma regla: qué es y qué hacemos con ella.