Gap Hunter Labs
Metodología
Cómo se encuentran, verifican y corrigen los problemas de seguridad, rendimiento y confiabilidad: rastreados hasta su causa raíz, respaldados con evidencia que cualquiera puede reproducir y reportados con su estado real. El mismo método está detrás de cada proyecto y de cada plugin del catálogo.
Cómo se hace una investigación
El mismo método sirve para un IDE lento, una dependencia vulnerable y un fallo en el tracker de una plataforma. Cada paso deja algo que se puede verificar.
- Encontrar la brecha. Partir de una evidencia que alguien pueda señalar: un reporte de congelamiento, un aviso de seguridad publicado, un fallo en un tracker, un control que ninguna herramienta hace. Reproducirla en la versión exacta donde ocurre.
- Entender la causa. Seguirla hasta el código que la provoca: el método que gasta el tiempo, la versión de la dependencia dentro del rango afectado de un aviso, el recorrido que no está sincronizado. Conservar la reproducción como un test o un control que cualquiera pueda volver a ejecutar.
- Construir la corrección. Enviar el cambio más pequeño que elimina la causa, con evidencia de antes y después: un pull request upstream, un reporte a los mantenedores o un plugin cuando la corrección corresponde fuera de la plataforma.
Los resultados se publican con su fuente (el ticket, el pull request, el reporte o el test) y con su estado real: un pull request abierto figura como abierto, y una corrección que los mantenedores hicieron de otra forma se presenta como suya. Consulta la evidencia de ingeniería.
Garantías, confidencialidad y límites
Para un responsable de seguridad o de ingeniería que evalúa si puede confiar en este trabajo, el método mantiene cinco compromisos en cada proyecto.
- Causa raíz, no síntomas. Cada hallazgo se rastrea hasta el código, la versión de la dependencia o la configuración exacta que lo causa, y se reproduce en la versión donde ocurre.
- Evidencia que puedes reproducir. Cada hallazgo viene con una medición, una traza de pila o una prueba, y un antes y después para todo lo que recibe una corrección.
- Ordenado por exposición real. Los hallazgos se ordenan por exposición real, no por el puntaje CVSS en bruto, y todo lo explotable se reporta primero y en privado por tu canal de seguridad.
- Sin hallazgos inflados. Los resultados llevan su estado real; el trabajo reporta lo que encuentra y no afirma que no exista otro problema.
- De solo lectura y confidencial. Una revisión es de solo lectura, así que no se sube nada a tu código; tu código y tus datos quedan confidenciales, y firmar tu NDA no es problema.
Cómo se aprueba un plugin
Un plugin enfocado solo avanza cuando cada pregunta pública y basada en evidencia tiene una respuesta clara.