¿En qué se diferencia la seguridad de los entornos DevOps de DevSecOps?
DevSecOps is considered the gold standard in application development. Integrating security earlier on in the development process, DevSecOps aims to allow for secure, continuous service delivery, and the prevention of the all too common siloes – the hoarding of information and lack of collaboration.
En los últimos años, la transición de DevOps a DevSecOps ha sido una de las principales prioridades de las empresas líderes. Las brechas de responsabilidad se han vuelto aún más estrechas e interconectadas. A menos que las empresas aseguren adecuadamente su entorno DevOps, el espacio en el que se produce el desarrollo, los esfuerzos por asegurar los productos finales fracasarán inevitablemente.
Separar las preocupaciones de seguridad
Para asegurar adecuadamente los entornos DevOps, es importante que las empresas aprecien las diferencias entre el elemento de seguridad de DevSecOps y lo que significa crear un entorno DevOps seguro. El elemento de seguridad de DevSecOps se refiere a la práctica de cambiar a la izquierda para garantizar que las características de seguridad estén totalmente integradas en una aplicación desde el principio. Este es un paso importante para la entrega continua de la aplicación, pero el componente de seguridad se refiere a la seguridad de la aplicación.
By contrast, securing the DevOps environment means that a business has created a safe space in which to do their application development work. If DevSecOps ensures that no one can break into an application, securing the DevOps environment can prevent issues during the development process, such as the wrong individuals accessing a section of code, or securing the containers commonly used to segment applications today.
Gestión de problemas de acceso
Cuando se construye una aplicación, sólo ciertos miembros del equipo necesitan acceder al área de construcción, y generalmente es fácil utilizar tokens de acceso, autenticación de múltiples factores y otras herramientas para limitar su uso. Más difíciles de controlar son los dispositivos vinculados y las máquinas virtuales conectadas a través de la plataforma de codificación. Sin una configuración adecuada, estos dispositivos vinculados pueden obtener acceso no autorizado, y eso no es culpa de los proveedores. Más bien, aunque el proveedor generalmente protege estas conexiones, no puede controlar el código de su empresa.
Hacer que los miembros del equipo de seguridad consulten sobre la configuración puede ayudar a prevenir estos problemas de acceso, pero esto nos lleva de nuevo al problema de los silos de información. Los desarrolladores y los miembros del equipo de seguridad no siempre trabajan bien juntos ni hablan el mismo idioma, en el sentido técnico. Sin embargo, si su empresa ya se ha orientado con éxito hacia un enfoque DevSecOps, puede que esto no le suponga un obstáculo.
Containerization Concerns
A growing number of companies are using containers as an integral part of their development process, breaking down different parts of their applications into microcontainers. This can do a lot in terms of minimizing code issues, since it allows only those who absolutely need access to a container to work within it. Unfortunately, if your company is still new to using containers, containers can actually create more problems than they solve.
Uno de los estilos de contenedor más populares en uso es Kubernetes y, aunque su uso está muy extendido, muchos desarrolladores aún no se sienten del todo cómodos con él. No es de extrañar, ya que Kubernetes presenta un alto riesgo de configuración errónea, ya que se caracteriza por una abrumadora variedad de botones, palancas y ajustes. A pesar de este riesgo, Kubernetes se perfila como el sistema de contenedores dominante. Usarlo al unísono con Docker puede facilitar la navegación para los nuevos usuarios de contenedores.
En última instancia, cuando se trata de asegurar el entorno DevOps, los contenedores pueden ser valiosos, pero aquellos que no entienden el sistema harían bien en evitarlo hasta que se sientan más seguros navegando por la interfaz - simplemente no espere demasiado. Todo está cambiando en la dirección de la contenedorización, por lo que las empresas deben apoyar programas de capacitación que creen una fuerza laboral segura en los contenedores
Protegiendo el Código
Las empresas utilizan las restricciones de acceso y la contenedorización para tratar de proteger el código dentro de su ecosistema de desarrollo. La contenedorización, por ejemplo, puede contener errores de codificación, lo que facilita a los desarrolladores encontrar el origen de los problemas funcionales. Sin embargo, eso no es suficiente para proteger el código.
A better way to manage code security within the development ecosystem is to use built-in monitoring tools like Prometheus or Sensu. These, coupled with configuration management tools like Check Point Workload Protection, can provide an automated backup for the code, identifying problems by scanning the code for irregularities. This may seem rudimentary compared to the skill that top coders bring to the process, but sometimes you need a way of eliminating human error from delicate processes.
Al elegir herramientas automatizadas para proteger su ecosistema DevOps, sus empresas también pueden beneficiarse de la selección de herramientas de gestión unificadas. La selección de herramientas dentro de la misma suite permite consolidar los informes y mejorar el control, sea cual sea su elección de infraestructura en la nube. Cuanto menos dispersos estén los datos, más fácil será interpretar e identificar problemas, crear directivas y proteger el código.
Creating A Security Culture
DevSecOps exige un tipo de cambio cultural en el sentido de que obliga a los equipos de una determinada empresa a trabajar de forma diferente para alcanzar sus objetivos, pero cuando se trata de asegurar el espacio DevOps, los desarrolladores necesitan fomentar un tipo diferente de cambio cultural. A diferencia de un cambio en los procesos de colaboración, éste se centra en el tipo de ajustes derivados del uso de dispositivos personales. Cuando los programadores no son lo suficientemente cautelosos en sus hábitos, dejando la información de autenticación en el producto final, por ejemplo, el espacio DevOp se vuelve arriesgado.
Another part of creating a dominant security culture within your organization is by simplifying elements wherever possible. The more components are in play, whether that’s multiple servers and containers or too many development phases occurring at once, the more likely it is there will be security issues. You should even minimize the number of computers your team does development on, and enforce the use of virtual operating systems.
Implementación continua, respuesta continua
DevOps has always been about continuous deployment, but when businesses try to move too quickly, they risk leaving themselves open to security threats. That’s why every company needs comprehensive security support. Contact Check Point today to sign up for a demo or free trial of the ultimate incident response automation system, Check Point. Check Pointoffers companies native threat prevention based on their cloud use logs, provides a valuable audit trail, and so much more. It also provides vulnerability scanning during CI/CD to ensure code is secure prior to launch, and with the ability to create templates and customized rules and policies. It’s personalized security for all your DevOps needs.
