Separar las preocupaciones de seguridad
Para asegurar adecuadamente los entornos DevOps, es importante que las empresas aprecien las diferencias entre el elemento de seguridad de DevSecOps y lo que significa crear un entorno DevOps seguro. El elemento de seguridad de DevSecOps se refiere a la práctica de cambiar a la izquierda para garantizar que las características de seguridad estén totalmente integradas en una aplicación desde el principio. Este es un paso importante para la entrega continua de la aplicación, pero el componente de seguridad se refiere a la seguridad de la aplicación.
By contrast, securing the DevOps environment means that a business has created a safe space in which to do their application development work. If DevSecOps ensures that no one can break into an application, securing the DevOps environment can prevent issues during the development process, such as the wrong individuals accessing a section of code, or securing the containers commonly used to segment applications today.
Gestión de problemas de acceso
Cuando se construye una aplicación, sólo ciertos miembros del equipo necesitan acceder al área de construcción, y generalmente es fácil utilizar tokens de acceso, autenticación de múltiples factores y otras herramientas para limitar su uso. Más difíciles de controlar son los dispositivos vinculados y las máquinas virtuales conectadas a través de la plataforma de codificación. Sin una configuración adecuada, estos dispositivos vinculados pueden obtener acceso no autorizado, y eso no es culpa de los proveedores. Más bien, aunque el proveedor generalmente protege estas conexiones, no puede controlar el código de su empresa.
Hacer que los miembros del equipo de seguridad consulten sobre la configuración puede ayudar a prevenir estos problemas de acceso, pero esto nos lleva de nuevo al problema de los silos de información. Los desarrolladores y los miembros del equipo de seguridad no siempre trabajan bien juntos ni hablan el mismo idioma, en el sentido técnico. Sin embargo, si su empresa ya se ha orientado con éxito hacia un enfoque DevSecOps, puede que esto no le suponga un obstáculo.
Containerization Concerns
A growing number of companies are using containers as an integral part of their development process, breaking down different parts of their applications into microcontainers. This can do a lot in terms of minimizing code issues, since it allows only those who absolutely need access to a container to work within it. Unfortunately, if your company is still new to using containers, containers can actually create more problems than they solve.
Uno de los estilos de contenedor más populares en uso es Kubernetes y, aunque su uso está muy extendido, muchos desarrolladores aún no se sienten del todo cómodos con él. No es de extrañar, ya que Kubernetes presenta un alto riesgo de configuración errónea, ya que se caracteriza por una abrumadora variedad de botones, palancas y ajustes. A pesar de este riesgo, Kubernetes se perfila como el sistema de contenedores dominante. Usarlo al unísono con Docker puede facilitar la navegación para los nuevos usuarios de contenedores.
En última instancia, cuando se trata de asegurar el entorno DevOps, los contenedores pueden ser valiosos, pero aquellos que no entienden el sistema harían bien en evitarlo hasta que se sientan más seguros navegando por la interfaz - simplemente no espere demasiado. Todo está cambiando en la dirección de la contenedorización, por lo que las empresas deben apoyar programas de capacitación que creen una fuerza laboral segura en los contenedores
Protegiendo el Código
Las empresas utilizan las restricciones de acceso y la contenedorización para tratar de proteger el código dentro de su ecosistema de desarrollo. La contenedorización, por ejemplo, puede contener errores de codificación, lo que facilita a los desarrolladores encontrar el origen de los problemas funcionales. Sin embargo, eso no es suficiente para proteger el código.
Una mejor manera de gestionar la seguridad del código dentro del ecosistema de desarrollo es utilizar herramientas de supervisión integradas como Prometheus o Sensu. Éstas, junto con herramientas de gestión de la configuración como CloudGuard Workload Protection, pueden proporcionar una copia de seguridad automatizada del código, identificando los problemas mediante el escaneo del código en busca de irregularidades. Esto puede parecer rudimentario en comparación con la habilidad que los mejores codificadores aportan al proceso, pero a veces se necesita una forma de eliminar el error humano de los procesos delicados.
Al elegir herramientas automatizadas para proteger su ecosistema DevOps, sus empresas también pueden beneficiarse de la selección de herramientas de gestión unificadas. La selección de herramientas dentro de la misma suite permite consolidar los informes y mejorar el control, sea cual sea su elección de infraestructura en la nube. Cuanto menos dispersos estén los datos, más fácil será interpretar e identificar problemas, crear directivas y proteger el código.
Creating A Security Culture
DevSecOps exige un tipo de cambio cultural en el sentido de que obliga a los equipos de una determinada empresa a trabajar de forma diferente para alcanzar sus objetivos, pero cuando se trata de asegurar el espacio DevOps, los desarrolladores necesitan fomentar un tipo diferente de cambio cultural. A diferencia de un cambio en los procesos de colaboración, éste se centra en el tipo de ajustes derivados del uso de dispositivos personales. Cuando los programadores no son lo suficientemente cautelosos en sus hábitos, dejando la información de autenticación en el producto final, por ejemplo, el espacio DevOp se vuelve arriesgado.
Another part of creating a dominant security culture within your organization is by simplifying elements wherever possible. The more components are in play, whether that’s multiple servers and containers or too many development phases occurring at once, the more likely it is there will be security issues. You should even minimize the number of computers your team does development on, and enforce the use of virtual operating systems.
Implementación continua, respuesta continua
DevOps siempre ha tenido que ver con la implementación continua, pero cuando las empresas intentan avanzar demasiado rápido, corren el riesgo de quedar expuestas a las amenazas a la seguridad. Es por eso que todas las empresas necesitan un soporte de seguridad integral. Póngase en contacto con Check Point hoy mismo para inscribirse en una demostración o prueba gratuita del sistema definitivo de automatización de respuesta a incidentes, CloudGuard. CloudGuardoofrece a las empresas una prevención nativa de amenazas basada en sus registros de uso de la nube, proporciona un valioso registro de auditoría y mucho más. También proporciona escaneado de vulnerabilidad durante CI/CD para garantizar que el código es seguro antes del lanzamiento, y con la capacidad de crear plantillas y reglas y políticas personalizadas. Es seguridad personalizada para todas sus necesidades DevOps.
Comentarios