Nuevas funcionalidades y hoja de ruta

Durante los últimos meses, el equipo de Ostorlab ha trabajado intensamente en nuevas funcionalidades. Algunas de ellas ya están en producción o lo estarán en las próximas semanas y meses.

La funcionalidad más interesante en la que hemos estado trabajando es una mejora importante del escaneo del backend. Ostorlab ahora es capaz de rastrear endpoints HTML, con soporte para sitios web con uso intensivo de JavaScript y aplicaciones de una sola página (SPA) basadas en frameworks como Angular, React o Vue.js.

El nuevo backend se complementa con un nuevo escáner de cross-site scripting (XSS) basado en Chrome sin interfaz gráfica y con un nuevo escáner de backend que emplea un enfoque probabilístico novedoso. El nuevo escáner de backend admite inyección SQL en múltiples contextos (cláusula where, cláusula de ordenación, group by, cadenas...), inyección de plantillas Jinja e inyección de comandos, y planeamos añadir soporte para más de 100 vulnerabilidades de backend en los próximos meses, como la inyección de plantillas Mako, la inyección de expresiones de Spring, etc.

Ostorlab también ha realizado una reestructuración importante de su infraestructura, cambiando su planificador de escaneos para ofrecer mayor escalabilidad y robustez.

Otros cambios incluyen múltiples correcciones de errores, ajustes de la interfaz, correcciones de falsos positivos y nuevas reglas de detección, como las reglas de configuración de seguridad de red.

En los próximos meses, el equipo de Ostorlab se centrará en entregar nuevas funcionalidades o ampliar el soporte de las ya existentes. Todos los escaneos empresariales incluirán una sección de artefactos que reunirá registros de tráfico, capturas de pantalla, código fuente descompilado, etc. La funcionalidad está casi terminada y llegará a producción en algún momento de la próxima semana.

El equipo de Ostorlab también concentrará sus esfuerzos en mejorar el soporte de Xamarin. El motor de análisis de taint añadirá soporte para .Net IL y para la descompilación de código fuente. El escáner de backend continuará avanzando con la incorporación de más reglas y la mejora de la detección de XSS persistente y XSS mediante postMessage.

El equipo de Ostorlab agradece todos los comentarios y estará encantado de responder a todas sus preguntas.