As plataformas Low Code No Code não são livres de vulnerabilidades

O que é Low Code No Code?

Low Code No Code (LCNC) é um termo usado para descrever o desenvolvimento de aplicativos de software usando pouco ou nenhum código. Esse tipo de desenvolvimento geralmente é feito usando ferramentas visuais de arrastar e soltar, em vez de linguagens de codificação tradicionais. O LCNC pode ser usado para desenvolver aplicativos simples ou soluções corporativas complexas. O Gartner prevê que, até 2025, 70% dos novos aplicativos desenvolvidos pelas empresas usarão tecnologias de baixo código ou sem código — acima dos 25% em 2020

Quais são os benefícios de usar o LCNC?

1. Produtividade aumentada
2. Maior flexibilidade
3. Custos de desenvolvimento reduzidos
4. Tempos de desenvolvimento mais rápidos

A vulnerabilidade do LCNC é gratuita?

Os aplicativos Low Code No Code podem ter algumas vulnerabilidades, assim como qualquer software tradicional existente. O modelo de ameaça é um pouco diferente. Podemos dividir o modelo em dois:

• A estrutura — o núcleo da plataforma, como a plataforma WordPress
• Os plug-ins - plug-ins de terceiros são responsáveis ​​pela funcionalidade ou, em outras palavras, fazem a mágica Low Code No Code.

Vamos nos aprofundar neste modelo de ameaça

A estrutura é o mecanismo que combina todas as partes em um aplicativo funcional. A regra é simples, quanto mais framework genérico, mais recursos disponíveis e mais vulnerabilidades em potencial.

Os plug-ins são a funcionalidade real na plataforma LCNC. Esses plug-ins são obtidos de fornecedores terceirizados, como desenvolvedores de software de código aberto (OSS) ou plug-ins apoiados por empresas. Esses plug-ins podem ter vulnerabilidades “inocentes” que são cometidas por engano pelos desenvolvedores e/ou agentes de ameaças que estão contribuindo para esses plug-ins e que podem ser fatais. Podemos dividir o gerenciamento de riscos novamente em dois:

• Segurança da cadeia de software (SCS) — agentes de ameaças que adicionam código malicioso que atuará como a primeira cadeia de violação em outras (por exemplo, usando carga útil de JavaScript maliciosa). Portanto, ataque ativo.
• Vulnerabilidades “inocentes” – como qualquer outro software, esses plug-ins podem ter vulnerabilidades, mas um agente de ameaça precisará encontrá-los e explorá-los para obter algum impacto. Portanto, ataque passivo.

Low Code No Code é uma ferramenta de rápida adoção na indústria. Como qualquer nova ferramenta, levará tempo para entender todos os impactos de segurança. Aos meus olhos, vejo-o como qualquer outro software. Os plugins são as dependências e a plataforma é o framework. Hoje em dia, proteger a base de código tradicional é um padrão. Você também deve fazer o mesmo para seus aplicativos LCNC.