Tu infraestructura y tus contenedores
Tu app no es solo tu código: es el contenedor en el que corre, los servidores que se levantan con un fichero y la base de datos que alguien configuró un martes. Esos ficheros también los escribe la IA, también funcionan a la primera, y también dejan puertas abiertas. Vibethia los lee igual que el código.
El contenedor que corre como administrador
Un Dockerfile de ocho líneas despliega tu app en cualquier sitio. Si no dice lo contrario, corre con todos los permisos. Si alguien entra por una vulnerabilidad del código, se encuentra la casa abierta.
La base de datos abierta a internet.
Un fichero de infraestructura que abre el puerto de la base a cualquier dirección. Para probar. Se queda.
El bucket público.
El almacén de ficheros de tus usuarios, legible por cualquiera que adivine la URL. Es el origen de buena parte de las filtraciones que salen en prensa.
La imagen con vulnerabilidades dentro.
Tu contenedor parte de una imagen base con su propio sistema y sus librerías. Esas también envejecen y también tienen vulnerabilidades publicadas.
No saber qué llevas.
Cuando sale una vulnerabilidad grave en una librería famosa, la primera pregunta es «¿la usamos?». Sin una lista, se tarda días en responder.
Lee los ficheros con los que despliegas
Dockerfiles, ficheros de Terraform, de Kubernetes y los demás con los que se levanta tu infraestructura. Busca las configuraciones inseguras conocidas: permisos de más, puertos abiertos, cifrado apagado, secretos en claro. Y si le das la imagen de tu contenedor, la revisa por dentro.
- Configuración, en cada subida. Cada cambio en un fichero de despliegue pasa por la misma revisión que el código, con el mismo triaje: lo que está en un ejemplo o en un entorno de desarrollo no te llega como urgente.
- La imagen, si quieres. Dile al workflow qué imagen construyes y revisa su sistema base y sus paquetes contra las vulnerabilidades publicadas.
- La lista de todo lo que llevas. Con cada escaneo se guarda el inventario de tu app: cada librería, con su versión. El día que salga la siguiente vulnerabilidad famosa, la respuesta está en el panel.
- Lo que las grandes no dan gratis. En nuestra comparativa, el plan gratuito de Xygeni no mira la configuración. Aquí entra en todos los planes.
Veintiocho de veintiocho
En nuestro repo de pruebas sembramos 28 configuraciones inseguras. Vibethia las vio todas.
- Configuraciones inseguras sembradas, vistas 28 de 28.
El plan gratuito de Xygeni: 0 de 28. No las mira.
- Lo que no se puede medir ahí La imagen.
El repo de pruebas no construye imágenes; la revisión de la imagen no entra en la cifra.
Trivy: config, image y el SBOM
Un solo escáner para las tres cosas, en vuestras Actions, con imagen fijada por digest. Salida SARIF para los hallazgos y CycloneDX para el inventario.
- IaC
trivy config .: Dockerfile, Terraform, Kubernetes, Helm, CloudFormation, docker-compose y los demás que admite Trivy. Las reglas son las de Trivy, con su id y su severidad base.- Imagen
trivy imagesobre la que indiquéis en el inputimagendel workflow: sistema base y paquetes del SO y de lenguaje. Sin input, no corre.- SBOM
- CycloneDX generado en el mismo workflow y adjunto al escaneo; se ve en el panel y se puede descargar.
- Semgrep también
- Las reglas de Kubernetes de
p/default(contenedor privilegiado, socket de Docker expuesto,runAsNonRoot…) se funden con las de Trivy cuando son la misma cosa: un hallazgo, no dos. - Exclusiones
- Las mismas que el resto: dependencias instaladas, builds, fixtures. Configurables en el workflow.
- Triaje
- El analista ve el fragmento del fichero y juzga si la configuración se aplica a algo desplegado o a un ejemplo o entorno de desarrollo. «Improbable» va a Vigilar.
Ficheros, no la nube
- No Postura de la cuenta de nube (CSPM)
No se conecta a AWS, Azure ni Google Cloud. Lo que se cambió a mano en la consola no se ve.
- No Drift
No compara lo declarado en los ficheros con lo que hay desplegado.
- No Construir la imagen
La imagen la construye vuestro CI y le decís cuál es. Vibethia no tiene acceso a vuestro registro.
- Todavía no Registro de SBOM entre escaneos
Buscar «¿quién usa esta librería?» en todos los repos de la cuenta. En camino.
- Medido Repo de pruebas
28 de 28 configuraciones inseguras (Xygeni gratuito: 0 de 28). La tabla.
Lo demás que revisa
- El código que te escribe la IA SAST
- Las librerías que no elegiste SCA
- El paquete que no es el que parece Malware en dependencias
- La clave que se fue en un commit Secrets detection
- Tu CI y tu pipeline CI/CD security
- Alguien lee cada aviso AI triage · Reachability
Del ruido a la decisión
Conecta un repo y mira qué hay que corregir. Sin hablar con nadie.