Ir al contenido principal

Glossary

Glosario SAST y seguridad

Definiciones de cada término usado en este sitio. Enlazadas al estándar o regla que referencian, para verificar y profundizar.

Air-gapped CSP CSRF CVE CWE DAST F1 Score HIPAA IAST Insecure Deserialization ISO/IEC 27001 NIS2 NIST CSF 2.0 OWASP ASVS OWASP Top 10 PCI-DSS Precision Prototype Pollution Recall SARIF SAST SBOM SOC 2 SQL Injection SSRF Taint analysis XSS XXE

Air-gapped

Entorno informático físicamente y lógicamente aislado de redes externas (sin internet, sin DNS, sin medios removibles). Requerido para entornos de datos clasificados (SCIF, zona restringida) y muchos despliegues de defensa / infraestructuras críticas.

→ /for-regulated-industries.php

CSP

Content Security Policy — cabecera HTTP de respuesta que indica al navegador qué fuentes de script, estilo, imagen, etc. están permitidas. Mitiga XSS bloqueando scripts inline y CDNs no autorizados.

CSRF

Cross-Site Request Forgery — ataque donde una víctima autenticada es engañada para enviar una petición elegida por el atacante, abusando de la cookie de sesión de la víctima. Mitigado por tokens anti-CSRF o cookies SameSite. CWE-352.

CVE

Common Vulnerabilities and Exposures — identificador único de una vulnerabilidad divulgada públicamente (p.ej. CVE-2021-44228 = log4shell). Sirve para rastrear qué versión de una librería está afectada.

CWE

Common Weakness Enumeration — lista desarrollada por la comunidad de debilidades de software (p.ej. CWE-89 « Inyección SQL ») mantenida por MITRE. Cada regla StaticCodeAudit está etiquetada con al menos un identificador CWE.

→ /standards.php

DAST

Dynamic Application Security Testing — análisis de una aplicación en ejecución desde fuera (peticiones HTTP, flujos de login). Complementario al SAST. No puede encontrar issues en rutas de código no alcanzables.

F1 Score

La media armónica de precisión y recall — una sola cifra que resume el equilibrio entre ambos (2 × P × R / (P + R)). Cómodo para comparar rápidamente, pero oculta cuál de los dos está realmente afectando el resultado, por eso los benchmarks detallados también publican precisión y recall por separado.

→ /language-benchmarks.php

HIPAA

US Health Insurance Portability and Accountability Act. La Security Rule (45 CFR §164.302–318) exige salvaguardas técnicas sobre la información de salud protegida electrónica (ePHI), incluyendo controles de acceso, logs de auditoría y verificación de integridad.

IAST

Interactive Application Security Testing — combina SAST y DAST instrumentando la aplicación en runtime. Requiere un agente en el proceso de la app, lo que limita el uso sin conexión.

Insecure Deserialization

Deserializar bytes controlados por el atacante (pickle, Java ObjectInputStream, PHP unserialize, .NET BinaryFormatter) lleva a la ejecución de código arbitrario vía cadenas de gadgets. CWE-502.

ISO/IEC 27001

Estándar internacional para sistemas de gestión de seguridad de la información. El Anexo A lista 93 controles (revisión 2022). La certificación prueba que una organización ha implementado y opera un ISMS.

→ /standards.php

NIS2

Directiva UE 2022/2555 sobre ciberseguridad para entidades « esenciales » e « importantes » (energía, bancos, sanidad, infraestructura digital, etc.). El artículo 21 ordena medidas de gestión de riesgos incluyendo seguridad de la cadena de suministro y prueba SBOM.

→ /for-regulated-industries.php

NIST CSF 2.0

NIST Cybersecurity Framework, versión 2.0 (2024). Cinco funciones: Identify, Protect, Detect, Respond, Recover. Ampliamente adoptado por agencias federales US y operadores de infraestructuras críticas.

→ /standards.php

OWASP ASVS

Application Security Verification Standard — checklist OWASP de 280+ requisitos de verificación agrupados en 14 capítulos. Niveles 1 (básico) / 2 (estándar) / 3 (avanzado). Versión actual: 5.0.0.

→ /standards.php

OWASP Top 10

Lista OWASP actualizada regularmente de los 10 riesgos de seguridad web más críticos (última actualización: 2021). Incluye A01 Broken Access Control, A03 Injection, A07 Identification & Authentication Failures, etc.

→ /standards.php

PCI-DSS

Payment Card Industry Data Security Standard. Requerido por Visa/MC/Amex para cualquier comerciante o procesador que maneje datos de tarjetas de pago. La versión 4.0 (2024) §6.2 exige prácticas de desarrollo seguro incluyendo revisión de código.

Precision

De todas las alertas que genera un escáner, la proporción que son vulnerabilidades reales (TP / (TP + FP)). Una precisión baja significa muchos falsos positivos que revisar — un escáner con 74% de precisión implica que aproximadamente 1 de cada 4 alertas es ruido.

→ /language-benchmarks.php

Prototype Pollution

Vulnerabilidad específica de JavaScript donde el atacante puede contaminar Object.prototype mediante claves forjadas (__proto__, constructor). Afecta a todos los objetos derivados. CWE-1321.

→ /javascript-sast.php

Recall

De todas las vulnerabilidades reales que existen, la proporción que un escáner realmente encuentra (TP / (TP + FN)). Un recall bajo significa que se pasan por alto vulnerabilidades reales — el modo de fallo más peligroso para una herramienta de seguridad, ya que un fallo no detectado llega a producción.

→ /language-benchmarks.php

SARIF

Static Analysis Results Interchange Format — formato JSON estándar OASIS (v2.1.0) para salidas SAST agnósticas. Ingerido por GitHub Code Scanning, GitLab Security Dashboard, ServiceNow, RSA Archer, etc.

SAST

Static Application Security Testing — análisis del código fuente (o bytecode compilado) sin ejecutarlo, para encontrar vulnerabilidades. Opuesto al DAST. StaticCodeAudit es una herramienta SAST.

→ /product.php

SBOM

Software Bill of Materials — inventario legible por máquina de cada componente (librería, versión, licencia) en un software. Requerido por la Executive Order 14028 US y la directiva NIS2 UE para atestaciones de cadena de suministro de software. Formatos comunes: CycloneDX, SPDX.

SOC 2

Service Organisation Control 2 — framework de auditoría AICPA para proveedores de servicios, cubriendo 5 « criterios de servicio de confianza » (seguridad, disponibilidad, integridad del procesamiento, confidencialidad, privacidad). Las auditorías Tipo II cubren un periodo (típicamente 6-12 meses).

SQL Injection

Vulnerabilidad donde una entrada de usuario se concatena en una consulta SQL sin parámetro bind, permitiendo al atacante alterar la lógica de la consulta (leer otras filas, eliminar tablas, exfiltrar datos). CWE-89.

→ /python-sast.php

SSRF

Server-Side Request Forgery — vulnerabilidad donde el atacante engaña a un servidor para que haga peticiones HTTP a servicios internos (endpoints metadata cloud, RDS, microservicios internos) que el atacante no puede alcanzar directamente. CWE-918.

Taint analysis

Seguimiento de cómo una entrada de usuario no confiable (« source ») fluye por el código hasta alcanzar una función peligrosa (« sink ») sin pasar por un sanitizer. La técnica detrás de la detección de inyecciones SQL, XSS, SSRF, command injection.

XSS

Cross-Site Scripting — vulnerabilidad donde una entrada controlada por el atacante se refleja en el HTML sin escape, permitiendo al atacante ejecutar JavaScript en el navegador de la víctima. Variantes: stored, reflected, DOM-based.

→ /javascript-sast.php

XXE

XML External Entity — vulnerabilidad de parsers XML que resuelven entidades externas (referencias DTD). Permite al atacante leer archivos locales, hacer SSRF, o disparar denegación de servicio (billion laughs). CWE-611.

→ /java-sast.php

Authoritative sources

Every definition in this glossary is derived from a publicly maintained specification. Verify directly: