Neuer IaC-Security-Workshop von Snyk, HashiCorp und AWS auf der KubeCon Europe 2023 und auf Abruf

Wenn in einem Gespräch das Konzept DevSecOps zur Sprache kommt, liegt die Annahme nahe, dass es dabei hauptsächlich um proprietären Anwendungscode und Komponenten von Drittanbietern geht. Doch heutzutage dient Code nicht nur dazu, Anwendungen zu erstellen. Auch Infrastructure as Code (IaC) nutzt Code, um alles zu beschreiben, was Entwicklungsaktivitäten unterstützt – die Server, den Speicher usw., die im Hintergrund laufen. Anstatt physische Server und Speicher zu verwenden, speichern Teams die Konfigurationen aller Infrastrukturressourcen in editierbaren Textdateien. IaC ist ein echter Gamechanger für Entwicklungsteams: Es verhindert Konfigurationsabweichungen und automatisiert zuvor manuelle Prozesse, die Zeit und Ressourcen kosteten.

Doch wie bei anderen codebasierten Projekten kann IaC zu einem erheblichen Sicherheitsrisiko werden. Teams räumen heute oft Geschwindigkeit Vorrang vor Sicherheit ein. So kann es leicht passieren, dass falsch konfigurierte oder übermäßig freizügige IaC versehentlich in die Produktivumgebung gelangt. Zum Glück lässt sich IaC so erstellen, dass es sowohl sicher als auch agil ist. Dazu braucht es nur die richtige Kombination aus Tools, Prozessen und Unternehmenskultur.

Neuer Workshop von Snyk, HashiCorp Terraform und AWS

Um zu zeigen, wie sich IaC-Sicherheit mit einer konkreten Tool-Suite umsetzen lässt, haben Expertinnen und Experten von Snyk, HashiCorp und Amazon Web Services (AWS) einen neuen Workshop erstellt. Er zeigt, wie ein Security-Tool, eine Infrastructure-as-Code-Lösung und ein Cloud-Anbieter zusammenwirken und Entwicklerinnen und Entwicklern ein nahtloses Erlebnis bieten können.

Für einen geführten Rundgang präsentieren Expertinnen und Experten von AWS, HashiCorp und Snyk diesen Workshop am Dienstag, den 18. April, von 14:30 bis 16:30 Uhr MESZ auf der KubeCon Europe 2023. Melden Sie sich für dieses kostenlose virtuelle Begleitevent an. Falls Sie nicht an der KubeCon Europe teilnehmen können, absolvieren Sie den Workshop auf Abruf.

Snyk und HashiCorp

HashiCorp unterstützt Entwicklungsteams dabei, Anwendungen bereitzustellen, zu sichern, zu verbinden und auszuführen, die Innovationen vorantreiben. Das Unternehmen bietet eine Suite von Multi-Cloud-Infrastruktur-Automatisierungsprodukten, darunter Terraform Cloud – eine Automatisierungslösung, mit der Entwicklerinnen und Entwickler ihre Ressourcen in jeder Umgebung bereitstellen, ändern und versionieren können.

Mit Snyk können HashiCorp-Nutzerinnen und -Nutzer ihre IaC-Umgebungen besser vor zunehmenden Cloud-Bedrohungen schützen, ohne die umfassenden Innovationen auszubremsen, die durch die Automatisierungstools von HashiCorp ermöglicht werden.

Snyk und AWS

AWS kann fast 1,5 Millionen Nutzerinnen und Nutzer sowie mehr als 200 voll ausgestattete Services vorweisen. AWS CodeBuild wird insbesondere häufig von Entwicklerinnen und Entwicklern zur Automatisierung von IaC-Bereitstellungen verwendet. Snyk ist ein Advanced Technology Partner des AWS Partner Network (APN) und verfügt über AWS Competencies in den Bereichen DevOps und Security.

Wenn Entwicklerinnen und Entwickler Snyk zusammen mit ihrer AWS-Pipeline nutzen, können sie Sicherheit mit einer vertrauten, unkomplizierten Konfiguration ganz einfach in ihre bestehenden Workflows integrieren.

Snyk, HashiCorp und AWS einrichten

Im AWS-Workshop auf Abruf werden die drei Lösungen eingerichtet und zu einem nahtlosen End-to-End-Erlebnis für die Erstellung, Bereitstellung und Absicherung von IaC zusammengeführt. Sehen Sie sich die wichtigsten Workshop-Abschnitte an:

Konfiguration

Zunächst mussten die Nutzerinnen und Nutzer die passenden Lösungen für diese Integration installieren und konfigurieren. Für diesen Rundgang benötigen Sie Folgendes:

• Ein AWS-Konto in einer Region, die Folgendes unterstützt:

  • AWS CodeCommit

  • AWS CodeBuild

  • AWS CodePipeline

  • Amazon EC2

  • Amazon S3

• Ein Snyk-Konto mit einem Team- oder höheren Tarif

• Snyk Cloud konfiguriert und aktiviert, um die Integration mit Ihrem AWS-Konto zu ermöglichen

• Die folgende Software ist auf Ihrem Arbeitsplatzrechner installiert:

  • Die HashiCorp-TerraformCLI 

  • Die Snyk CLI 

  • Die AWS CLI, konfiguriert für die gewünschte Region

• Eine AWS-Benutzerrolle, der die AWSCodeCommitPowerUser-Richtlinie zugewiesen ist

• Ein GitHub-Konto, um Ihre Änderungen und Commits in einem öffentlichen Repository zu forken

Snyk IaC 

Nach der Einrichtung ihrer Umgebung zeigt der Workshop, wie Sie mit Snyk eine IaC-Fehlkonfiguration erkennen und beheben. Um IaC mit Sicherheitsproblemen zu erstellen, können Sie ein Repository mit einer falsch konfigurierten EC2-Instanz klonen. Führen Sie dann Snyk IaC aus, indem Sie im AWS-CodeBuild-Repository einen einzigen Befehl eingeben. Innerhalb weniger Sekunden werden drei mittelschwere Sicherheitsprobleme sowie kontextbezogene Informationen zu jedem Problem angezeigt. 

Als Nächstes erfahren Sie, wie Sie IaC-Fehlkonfigurationen mithilfe der integrierten Behebungsempfehlungen des Tools beheben. Synchronisieren Sie diese Ergebnisse schließlich mit Snyk, damit die Snyk-Benutzeroberfläche auf dem neuesten Stand ist. 

HashiCorp Terraform

In dieser Phase umfasst der Workshop eine HashiCorp-Terraform-Übung mit derselben EC2-Instanz und den drei mittelschweren Sicherheitsproblemen. Zunächst erfahren Sie, wie Sie Terraform Cloud, AWS und Snyk integrieren, damit sie zusammenarbeiten können. Anschließend können Sie sich einen bestehenden Repository-Branch ansehen und erkunden, wie Terraform in Ihrer nativen CLI angezeigt wurde.

Anschließend können Sie Terraform Cloud verwenden und einen Plan-Befehl ausführen, um bevorstehende Änderungen zu sehen und zu erfahren, wie Sie die drei mittelschweren Sicherheitsprobleme mit Snyk beheben. 

Die wichtigsten Erkenntnisse aus diesem Workshop

Im gesamten Workshop zeigen Expertinnen und Experten von AWS, Snyk und HashiCorp, wie leistungsstark die Zusammenarbeit ist. Erfahren Sie, wie sich diese unterschiedlichen, aber gleichermaßen leistungsstarken Tools nutzen lassen, um eine automatisierte Pipeline für sichere Infrastructure as Code aufzubauen. Jedes Tool – AWS CodeBuild, HashiCorp Terraform und Snyk IaC – macht die IaC-Pipeline automatisierter, agiler und sicherer. Zu den wichtigsten Erkenntnissen aus diesem Workshop gehören:

• Terraform ist ein unverzichtbares Tool für die Bereitstellung von IaC. Mit Terraform lassen sich AWS-Ressourcen in Sekundenschnelle bereitstellen. Automatisierte IaC-Tools sind also gekommen, um zu bleiben, denn sie sind schneller und präziser als die manuelle Bereitstellung.

• Fehlkonfigurationen in IaC sind weit verbreitet. Doch so leistungsstark IaC-Tools auch sind, sie erkennen gängige Sicherheitsprobleme nicht immer. In diesem Workshop kennzeichnet Snyk IaC einige mittelschwere IaC-Schwachstellen. Diese Sicherheitsprobleme zeigen, dass die Einstellungen in einer IaC-Umgebung häufig standardmäßig unsicher sind.

• Sicherheitstools müssen sich in die Arbeitsabläufe von Entwicklerinnen und Entwicklern einfügen. Die Erkennung und Behebung von Risiken sollte nur minimalen Zeit- und Arbeitsaufwand erfordern. Schließlich haben Entwicklungsteams ohnehin viele andere Aufgaben. In diesem Workshop genügt ein einziger Befehl, um einen Sicherheitsscan zu starten. Die Ergebnisse liegen innerhalb weniger Sekunden vor. 

• Behebungsempfehlungen sind ein wesentlicher Bestandteil von Sicherheitstools. Tools sollten nicht nur Fehlkonfigurationen melden. Sie müssen auch Schritt-für-Schritt-Anleitungen zur Behebung bereitstellen, damit Entwicklerinnen und Entwickler Korrekturen problemlos umsetzen und anschließend direkt weiterprogrammieren können.

Wenn Sie mehr darüber erfahren möchten, wie Sie IaC mit HashiCorp, Snyk und AWS automatisieren und absichern können, sehen Sie sich diesen aktuellen AWS Immersion Day an. Folgen Sie auch unserer Schritt-für-Schritt-Textversion des Workshops!