Pruebas Continuas de Seguridad Móvil al Ritmo de Lanzamiento con Ostorlab
Bumble valida la seguridad en cada versión de iOS y Android empleando una combinación de herramientas, incluido Ostorlab, integradas directamente en su proceso de lanzamiento. Los escaneos se ejecutan de forma continua mediante flujos iniciados por CI/CD y se complementan con escaneos programados, lo que garantiza que Bumble evalúe la seguridad a medida que la aplicación cambia con el tiempo, y no solo en los hitos principales.
Los equipos de productos móviles realizan despliegues con frecuencia. Bumble necesitaba una manera de validar la seguridad en cada entrega mientras equilibraba el riesgo de seguridad con el ritmo del producto. El enfoque debía respaldar lo siguiente:
- Escalar de forma consistente a través de múltiples aplicaciones y equipos de producto
- Estandarizar las expectativas de qué se escanea, cuándo se ejecuta y qué bloquea una entrega
- Evitar bloquear versiones por hallazgos de menor riesgo sin dejar de garantizar que se solucionen
- Reducir la variabilidad y ambigüedad durante el triaje para que los ingenieros puedan avanzar rápidamente
Pruebas de seguridad continuas en el flujo de trabajo de entrega
Bumble ejecuta escaneos de seguridad consistentemente como parte del proceso de lanzamiento de iOS y Android. Esto se realiza principalmente a través de escaneos iniciados por CI/CD, complementados con escaneos programados para mantener una cobertura continua.
Este modelo ayuda a asegurar que el equipo evalúe continuamente la superficie de ataque evolutiva de la aplicación, en lugar de confiar únicamente en revisiones manuales de última hora.
Barreras de lanzamiento basadas en gravedad
Bumble usa guías claras para proteger a los usuarios sin ralentizar la entrega del producto.
- Hallazgos Altos o Críticos: el lanzamiento se bloquea hasta que se complete la remediación y se confirme que el problema está resuelto
- Hallazgos Medios, Bajos o Informativos: el lanzamiento no se bloquea automáticamente; el trabajo de remediación se crea y se prioriza a través del pipeline de correcciones
Este enfoque evita paralizar el trabajo para hallazgos de menor gravedad al tiempo que asegura que los problemas sigan siendo rastreados y abordados.
Bumble sigue el mismo proceso general de pruebas de seguridad en todo su portafolio. La estandarización proviene de:
- Ejecutar los mismos escaneos iniciados por CI/CD y los mismos escaneos programados en todas las aplicaciones
- Aplicar umbrales de gravedad centralizados para que las decisiones de publicación sean consistentes en todos los equipos
- Hacer que los resultados sean predecibles para que los equipos sepan qué se ejecutará, qué constituye un bloqueo y cómo se manejarán los hallazgos que no bloquean
Esto reduce la variabilidad entre las aplicaciones y los equipos y ayuda a escalar las prácticas de seguridad sin tener que reinventar el proceso para cada producto.
Al emplear un enfoque de escaneo consistente y umbrales de gravedad centralizados, reducimos la variabilidad entre aplicaciones y entre equipos en la forma en que se interpretan los hallazgos y se actúa sobre ellos.
— Bumble
Para Bumble, la automatización necesita reducir el tiempo del ciclo sin requerir personal adicional. Eso exige más que ejecutar comprobaciones estáticas. Requiere pruebas que sean relevantes, reproducibles y diseñadas para un triaje rápido.
Requisito 1: Pruebas que interactúen con la aplicación
Bumble enfatizó que las pruebas continuas y automatizadas de seguridad deben interactuar inteligentemente con la aplicación y realizar fuzzing de forma controlada, en lugar de depender únicamente del análisis estático.
Requisito 2: Relevancia para los endpoints reales
Un requisito clave es la capacidad de apuntar a los propios endpoints de Bumble para que los resultados sigan siendo relevantes y accionables para los equipos de ingeniería.
Requisito 3: Trazabilidad desde el resumen hasta la evidencia en bruto
Bumble también hizo hincapié en la trazabilidad a dos niveles:
- Visión general de alto nivel: qué se ejecutó, qué endpoints fueron probados y qué técnicas se intentaron
- Evidencia bruta completa: registros detallados que muestran las peticiones exactas, las cargas útiles (payloads), las respuestas y los pasos tomados para que los ingenieros puedan reproducir y validar rápidamente
Esto acelera la remediación al reducir las conjeturas y las idas y venidas durante el triaje.
Al desplazar a la izquierda las pruebas de seguridad y usar Ostorlab continuamente, Bumble aumentó la confianza en que la superficie de ataque de sus aplicaciones móviles públicamente disponibles no contiene defectos obvios y fácilmente explotables en el momento de la publicación.
Operacionalmente, integrar el escaneo continuo en el proceso respalda tanto los objetivos de velocidad como los de seguridad:
- Mantiene el ritmo de lanzamientos a la vez que impone barreras de seguridad claras
- Bloquea las entregas solo en caso de hallazgos de gravedad Alta y Crítica
- Mantiene una visibilidad constante sobre el riesgo en todo el portafolio de aplicaciones
Tener el escaneo continuo integrado en nuestro proceso respalda tanto nuestros objetivos de velocidad como los de seguridad.
— Bumble
Los cambios de código avanzan mediante el proceso normal de lanzamiento móvil
Las pruebas de seguridad iniciadas por CI/CD se ejecutan continuamente, complementadas por escaneos programados
Los hallazgos son evaluados utilizando umbrales de severidad centralizados
Los hallazgos Altos o Críticos bloquean la versión hasta que se solucionan y verifican
Los hallazgos Medios, Bajos e Informativos se derivan a un pipeline de remediación
Los ingenieros emplean el resumen del escaneo y la evidencia en bruto para reproducir y remediar eficientemente
El enfoque de Bumble demuestra cómo las pruebas de seguridad móvil pueden operacionalizarse como una práctica continua. Con barreras de publicación claras, escaneos estandarizados en todos los equipos y trazabilidad basada en evidencias, la seguridad se convierte en una capacidad inherente de la entrega de producto y no en un punto de control de última hora.
Comenzar
Vea cómo funciona esto en su pipeline CI/CD
Obtenga un tutorial sobre cómo los equipos configuran pruebas continuas de seguridad móvil con bloqueos de versiones basados en la gravedad y resultados ricos en evidencias en Ostorlab.
Solicitar una Demo