Introdução
Nesta conversa técnica recente, exploramos como montar um pipeline simples de segurança para apps móveis usando MobSF (Mobile Security Framework) de forma open source. O foco foi analisar APKs e IPAs, gerar relatórios automatizados (PDF e JSON/SARIF), e entender como containerizar o MobSF para rodar em DevOps. Também comparamos ferramentas de mercado com soluções gratuitas, para ver o que é possível entregar sem grandes custos.
Resumo
Durante a discussão, foi apresentado um pipeline básico que trabalha com dois artefatos móveis (APKs/ IPAs) dentro de um repositório, alternando entre eles para gerar relatórios de segurança. O objetivo era produzir relatórios em PDF e, posteriormente, extrair formatos estruturados (JSON/SARIF) para automação em CI/CD. O MobSF, apesar de ser open source, foi mostrado como capaz de competir com ferramentas líderes de mercado, especialmente quando executado em containers que facilitam a integração em pipelines DevOps. A apresentação destacou que existem repositórios de referência com aplicações propositalmente vulneráveis, úteis para estudo e comparação de resultados entre diferentes abordagens de teste.
Opinião e Análise
Sem opiniões explícitas no vídeo.
Insights e Pontos Fortes
- MobSF é uma solução open source madura para análise de segurança móvel, com suporte a Android e iOS e API/Interface Web para automação.
- Rodar MobSF via container (Docker) facilita a integração em pipelines DevOps, reduz custos com ambiente e facilita a repetição dos scans em qualquer OS.
- A geração de diferentes formatos de relatório (PDF, JSON, SARIF) permite automação de pipeline e publicação de resultados de forma clara para equipes de segurança.
- A conversão de Scorecard JSON para SARIF e a visualização via extensões de SARIF no VS Code ajudam a tornar os resultados mais consumíveis por equipes técnicas.
- A comparação entre ferramentas open source (MobSF, Checkov, KICS) e soluções pagas mostra que existem opções gratuitas que entregam resultados relevantes, especialmente para infraestrutura como código e análises móveis.