GitHub compra la plataforma de análisis de código Semmle

GitHub ha anunciado la compra de Semmle, una compañía dedicada al desarrollo de una plataforma de análisis de código pensada para ayudar tanto a desarrolladores como a investigadores de seguridad a descubrir vulnerabilidades en su código. Esta herramienta, que ofrece un lenguaje de preguntas y un motor de análisis semántico de código, evita que los desarrolladores tengan que realizar a mano muchas pruebas de seguridad.

Los expertos de seguridad utilizan Semmle para encontrar vulnerabilidades en el código mediante preguntas declarativas simples. A continuación, estos expertos comparten los resultados de sus preguntas con la comunidad de Semmle, con el objetivo de mejorar la seguridad de más código almacenado en otras bases.

Esta es una parte crucial de la filosofía de Semmle, que ve la seguridad del software como un esfuerzo comunitario y que plantea que ninguna compañía puede encontrar todas las vulnerabilidades o securizar la cadena de suministro open source que hay detrás del código de los demás ella sola. Por lo tanto, ven a su enfoque para identificar y prevenir vulnerabilidades de seguridad centrado en la comunidad como el mejor modo para avanzar.

La plataforma, que hasta ahora ha ayudado a descubrir miles de vulnerabilidades en algunas de las mayores bases de código del mundo, cuenta con clientes de bastante peso, entre los que se encuentran Uber, Microsoft, Google y la NASA. Según apuntan desde Semmle, los usuarios actuales de la plataforma no experimentarán ningún cambio en los productos que utilizan. Así, su plataforma LGTM.com seguirá estando disponible de manera gratuita para repositorios públicos y para código open source. Además, su equipo continuará con su investigación en seguridad open source.

Se desconoce el precio que ha pagado Github por la compañía, que lanzó su actividad de manera oficial tras salir de la fase de investigación donde nació en 2006, de la Universidad de Oxford. Con el tiempo, tiene planes de integrar su herramienta en el flujo de trabajo de GitHub.

El CEO de GitHub, Nat Friedman, ha destacado que están «encantados de que se nos una el equipo de Semmle y de dar la bienvenida a sus ingenieros e investigadores de seguridad a Github. Juntos llevaremos su trabajo a todas las comunidades open source, así como a nuestros clientes. Como comunidad de desarrolladores, mantenedores e investigadores, podemos trabajar juntos para conseguir un software más seguro para todos«.

Por su parte, Oege De Moor, CEO de Semmle y uno de sus fundadores, ha subrayado que «GitHub es el punto de encuentro de la comunidad, donde colaboran expertos de seguridad y personas que mantienen herramientas open source, y donde los consumidores de open source encuentran lo que necesitan. Los pasos recientes que ha dado Github para securizar el ecosistema; con consejos de seguridad para mantenedores, soluciones de seguridad automatizadas, escaneo de tokens y muchos otros avances en desarrollo de seguridad; son todos piezas de l mismo puzzle. La visión y tecnología de Semmle encaja en GitHub«.