Developer-First-Security von Snyk im Terraform-Cloud-Workflow

Mit der zunehmenden Verbreitung von Technologien wie HashiCorp Terraform, Docker und Kubernetes schreiben und pflegen Entwicklerinnen und Entwickler immer mehr Konfigurationen – zusätzlich zur eigentlichen Anwendungsentwicklung. Die zunehmende Nutzung von Infrastructure as Code bringt komplexe Sicherheitsanforderungen und potenzielle Risiken mit sich. Damit haben Entwicklerinnen und Entwickler oft zu kämpfen, wenn ihre Workloads wachsen und fortgeschrittenere Kenntnisse erforderlich sind.

Wir freuen uns, eine neue Partnerschaft mit HashiCorp und die Verfügbarkeit einer Snyk-Integration für HashiCorp Terraform Cloud bekannt zu geben. Sie hilft Entwicklerinnen und Entwicklern, zentrale Herausforderungen bei der Absicherung von Konfigurationen zu lösen, die beim Bereitstellen von Infrastructure as Code entstehen. Terraform Cloud ermöglicht Unternehmen eine bessere Zusammenarbeit bei Infrastructure as Code. Nutzerinnen und Nutzer von Terraform Cloud können jetzt mithilfe einer Funktion namens Run Tasks Drittanbieter-Tools in den Terraform-Workflow integrieren. Snyk Infrastructure as Code (Snyk IaC) bietet eine der ersten Integrationen für diesen Workflow. Damit lassen sich Konfigurationsprobleme direkt im Code erkennen und Risiken bei der Bereitstellung von Infrastruktur reduzieren. Diese Funktion ist über eine Beta-Version verfügbar, für die eine Einladung erforderlich ist. Melden Sie sich hier für den Zugang zur Terraform-Cloud-Beta an: https://hashi.co/tfc-beta.

Infrastruktur mit Terraform sicher bereitzustellen, kann eine Herausforderung sein. Im aktuellen Bericht State of Cloud Native Application security report stellte die Snyk-Forschung fest, dass mehr als die Hälfte der Befragten von Fehlkonfigurationen oder bekannten, nicht behobenen Schwachstellen in ihren Cloud-nativen Anwendungen betroffen war. Ein weiterer Branchenbericht ergab, dass Fehlkonfigurationen inzwischen die häufigste Ursache für Sicherheitsverletzungen sind. Das zeigt deutlich: Werden Konfigurationsdateien nicht korrekt gehandhabt, können sie Sicherheitsprobleme verursachen.

Die Lösung: auf Entwicklerinnen und Entwickler zugeschnittene Infrastruktur-Sicherheit, die früh im Softwareentwicklungszyklus sofortiges Feedback liefert.

„Fehlkonfigurationen und bekannte Schwachstellen sind die größten Sorgen und häufige Auslöser von Sicherheitsvorfällen. Deshalb müssen wir überdenken, wie Entwicklerteams ihre Sicherheitsarbeit priorisieren sollten. Mit Snyk IaC für Terraform Cloud können Entwicklerinnen und Entwickler Fehlkonfigurationen schnell und einfach zu Beginn des Entwicklungszyklus beseitigen“, sagte Jill Wilkins, Senior Director, Global Technical Alliances bei Snyk.

Developer-First-Security für HashiCorp-Nutzerinnen und -Nutzer

HashiCorp Terraform OSS ist ein Open-Source-Tool für Infrastructure as Code, das einen einheitlichen CLI-Workflow zur Verwaltung Hunderter Cloud-Services bietet. Terraform stellt ein automatisiertes Bereitstellungstool bereit, mit dem sich Infrastruktur auf einer Vielzahl von Plattformen und Produkten bereitstellen und verwalten lässt. Das umfangreiche Provider-Ökosystem von HashiCorp Terraform ermöglicht die Interaktion mit mehr als 1.000 Produkten und Tools. HashiCorp Terraform Cloud ist Terraform als Managed Service. Der Dienst bietet Fachleuten, Teams und globalen Unternehmen alles, was sie benötigen, um Infrastruktur zu erstellen und gemeinsam daran zu arbeiten sowie Risiken in Bezug auf Sicherheit, Compliance und betriebliche Einschränkungen zu verwalten.

HashiCorp geht eine Partnerschaft mit Snyk ein, um unsere bewährte Developer-First-Security zu nutzen. Sie behebt Schwachstellen früh in der Entwicklung von Infrastructure as Code. Durch die neue Partnerschaft wird es für Unternehmen so einfach wie möglich, IaC einzuführen und Fehlkonfigurationen zu beseitigen.

Die neue Snyk-Integration bietet während der Phase terraform plan hilfreiche Korrekturen und Sicherheitsempfehlungen für Snyk-IaC-Konfigurationen. So lassen sich potenziell riskante Konfigurationen erkennen, bevor der Code zur Überprüfung eingereicht wird.

So können Entwicklerinnen und Entwickler Probleme beheben, bevor diese in Produktionsumgebungen bereitgestellt werden. Um zusätzliche Einblicke in die IaC-Sicherheit und Kontext zu den in der Terraform-Cloud-Benutzeroberfläche angezeigten Fehlkonfigurationen zu erhalten, werden sie zurück zu Snyk geleitet. Dort können sie unsichere Konfigurationen schnell korrigieren und mit dem Programmieren fortfahren. Snyk hilft Entwicklerinnen und Entwicklern nicht nur, Probleme zu erkennen, sondern unterstützt sie auch dabei, mit Kontext und Empfehlungen zu deren Behebung Maßnahmen zu ergreifen.

„Wir freuen uns, Snyk als Technologiepartner zu haben“, sagte Asvin Ramesh, Senior Director, Alliances bei HashiCorp. „Snyk bietet eine einfache und kostenlose Möglichkeit, proaktiv sicherzustellen, dass Anwendungen und Infrastrukturkonfigurationen für Unternehmen sicher sind, die Terraform in ihren Entwicklungsteams einsetzen.“

Die Dokumentation zur Integration von Snyk in Terraform Cloud finden Sie hier.

Weitere Informationen zur IaC-Sicherheit von Snyk finden Sie in diesen Ressourcen:

• Alle Konfigurationsprobleme in Snyk Infrastructure as Code anzeigen und melden

• Die Snyk-IaC-Scan-Verbesserungen umfassen Infrastructure as Code für Azure und AWS

• Wie sichern wir Infrastructure-as-Code-Tools?

• Snyk IaC

Ein kostenloses Snyk-IaC-Konto bietet nicht nur Einblick in Konfigurationsprobleme in Terraform-Dateien. Es ermöglicht Entwicklerinnen und Entwicklern auch, Schwachstellen in Code, Open Source und Containern automatisch zu finden, zu beheben und zu überwachen – für einen umfassenden Überblick über die Anwendungssicherheit.

Legen Sie einfach los: Erstellen Sie ein kostenloses Snyk-Konto und folgen Sie den Anweisungen, um ein Projekt aus Ihrem Repository anzulegen. Innerhalb weniger Minuten erhalten Sie konkrete Empfehlungen zur Behebung aller gefundenen Probleme. Um Snyk mit Terraform Cloud zu nutzen, wenden Sie sich an das HashiCorp-Vertriebsteam.