Detecta la desviación de infraestructura y los recursos no administrados con Snyk IaC

Como desarrollador, probablemente usas algún proveedor de servicios en la nube para tu infraestructura. Y es probable que automatices algunas partes con infraestructura como código (IaC), para que las implementaciones sean repetibles, consistentes, fáciles de implementar y, en general, más seguras, porque el código hace que los parámetros sean más visibles.

Al final, todos terminamos con recursos activos en nuestro proveedor de servicios en la nube, pero puede que no conozcamos el estado actual de todos ellos. ¿Alguien cambió manualmente la configuración de un bucket de S3? ¿Un colega creó una nueva ruta en nuestra implementación de API Gateway? ¿Cómo sabemos si algunos recursos predeterminados están mal configurados? Y, tarde o temprano, terminas con recursos en la cuenta del proveedor de servicios en la nube que no aparecen en ninguna implementación de Terraform, que se modificaron o que se eliminaron por completo. Esta brecha entre cómo creemos que están configurados los recursos en la nube y cómo están configurados realmente se conoce como desviación de infraestructura.

Snyk Infrastructure as Code (Snyk IaC) ahora detecta todos los tipos de desviación de infraestructura y los reporta como recursos de Terraform, para que los desarrolladores tengan visibilidad completa y puedan corregirlos a tiempo.Esto incluye cambios o eliminaciones de recursos «administrados» (recursos implementados realmente desde IaC) y «no administrados» (los que aún no están bajo el control de IaC). Los reportes que genera la CLI de Snyk se pueden consultar directamente en la terminal, integrar en un pipeline o una verificación recurrente, o exportar como HTML para compartirlos.

Snyk admite todos los estados de Terraform y almacena estos archivos localmente en distintos tipos de almacenamiento de objetos, como Amazon S3, GCS, Azure, HTTPS, Terraform Cloud y más. El almacenamiento se puede combinar para reflejar la estructura de tu IaC, tanto si tienes varios repositorios de Terraform en distintos equipos como si usas un modelo más centralizado. Además, funciona con los principales proveedores de servicios en la nube —AWS, GCP y Azure— y requiere el mínimo de permisos posible.

En esta publicación, veremos algunos de los problemas que la gestión de desviaciones de Snyk IaC puede resolver, entre ellos:

• Ampliar la cobertura de IaC en tus entornos de nube

• Identificar desviaciones de infraestructura en una funcionalidad o aplicación

• Detectar desviaciones en un servicio específico de la nube

Beneficios de gestionar las desviaciones

Esta es la historia de un servicio y muchos recursos. Tomemos como ejemplo sencillo una implementación de API Gateway. En AWS, la experiencia está muy bien integrada en la consola web. En Terraform, se divide en entre 10 y 25 recursos, según la versión de API Gateway. Los métodos, las respuestas, los modelos, las rutas, las etapas… todos son recursos distintos.

Si estás empezando a escribir código de Terraform a partir de servicios existentes, contar con una lista completa de recursos de Terraform no administrados, clasificados por servicio en la nube y tipo de recurso, te permitirá identificarlos fácilmente y ahorrar mucho tiempo, en lugar de tener que averiguar cómo se estructura en Terraform cada funcionalidad de cada servicio en la nube.

Si ya tenemos nuestro API Gateway bajo control en Terraform, nada impide que alguien agregue una ruta o una respuesta HTTP manualmente, ¡y es posible que nadie se entere! La detección de desviaciones garantiza que estos cambios se detecten y reporten para mitigar posibles incoherencias o problemas de configuración.

En resumen, queremos hacer visibles las desviaciones para:

• Mejorar la cobertura de nuestro código y así analizar el código en busca de errores de configuración antes de la implementación.

• Tomar medidas de inmediato, como eliminar el recurso o revertir el cambio antes de que cause daños.

Ampliar la cobertura de tu IaC

Si eres como muchos equipos, probablemente aún no tengas todo cubierto en los numerosos repositorios de Terraform que usas y compartes entre equipos. Entonces, ¿cómo funciona la detección de recursos no administrados en Snyk IaC?

Snyk IaC combinará todos los estados de Terraform que le proporciones en un gran mapa consolidado y lo comparará con lo que encuentre en tu cuenta de AWS. Las diferencias son desviaciones, que se reportan como recursos de Terraform.

Usar describe de Snyk IaC con la opción --only-unmanaged nos ayudará a lograrlo:

1$ snyk iac describe --only-unmanaged
2[...]
3Snyk Scanning Infrastructure As Code Discrepancies...
4
5  Info:    Resources under IaC, but different to terraform states.
6  Resolve: Reapply IaC resources or update into terraform.
7
8Unmanaged resources: 5
9
10Service: aws_iam [ Unmanaged Resources: 3 ]
11
12  Resource Type: aws_iam_policy_attachment
13    ID: user1-84i30k-arn:aws:iam::aws:policy/AdministratorAccess
14
15  Resource Type: aws_iam_user
16    ID: labs
17
18  Resource Type: aws_iam_user_policy
19    ID: dat-user:manuals3policy
20
21Service: aws_s3 [ Unmanaged Resources: 2 ]
22
23  Resource Type: aws_s3_bucket
24    ID: manual-bucket-2022
25    ID: test-resource-exposure-caxyxllsajfrzbwe
26
27Test Summary
28
29  Managed Resources: 4
30  Unmanaged Resources: 5
31
32  IaC Coverage: 44%

Como desarrolladores, podemos aprovechar fácilmente este resultado:

• Empezamos sabiendo que la cobertura de nuestro código es del 44 %, lo que facilita el seguimiento del progreso hacia la adopción de IaC.

• Hay dos buckets de S3 (tipo: aws_s3_bucket) que no están en Terraform y tenemos sus nombres. Podemos decidir fácilmente si importarlos o eliminarlos.

• Hay algunas incoherencias en nuestra configuración de IAM: 

  • Se creó manualmente un usuario de IAM llamado «labs» (tipo: aws_iam_user_policy). ¿Qué hace este usuario?

  • Se adjuntó manualmente una política de acceso «Administrator» a un usuario de IAM administrado llamado «user1-84i30k» (tipo: aws_iam_policy_attachment). ¿Nuestros equipos entienden las consecuencias?

  • Se agregó manualmente una política completa de IAM (tipo aws_iam_user_policy). Si alguien la cambia, ¿quién controla su contenido?

Identificar los cambios desde tu última implementación

Otro caso de uso común para los desarrolladores es gestionar desviaciones dentro de un ámbito específico. A menudo, los desarrolladores son responsables de una funcionalidad con un alcance de infraestructura muy definido. Necesitamos detectar qué cambió dentro del ámbito que definimos, no recibir información sobre toda la cuenta en la nube.

Una primera opción es simplemente ingresar todos los estados de Terraform en Snyk IaC y descubrir qué recursos faltan y cuáles cambiaron:

1$ snyk iac describe --only-managed
2Snyk Scanning Infrastructure As Code Discrepancies...
3
4  Info:    Resources under IaC, but different to terraform states.
5  Resolve: Reapply IaC resources or update into terraform.
6
7Changed resources: 1
8
9State: tfstate://terraform.tfstate [ Changed Resources: 1 ]
10
11  Resource Type: aws_s3_bucket
12    ID: somebucket-84i30k
13    ~ versioning.0.enabled: false => true
14
15Missing resources: 1
16
17State: Generated [ Missing Resources: 1 ]
18
19  Resource Type: aws_iam_policy_attachment
20    ID: user1-84i30k-arn:aws:iam::aws:policy/ReadOnlyAccess
21
22Test Summary
23
24  Managed Resources: 3
25  Changed Resources: 1
26  Missing Resources: 1
27
28  IaC Coverage: 75%

Este reporte nos brinda información interesante:

• Podemos agregar todos los estados de Terraform que usamos y obtener información sobre las desviaciones solo dentro de ese ámbito.

• El reporte muestra en qué estado de Terraform se encuentra cada desviación o cambio.

• Esta función es liviana, ya que solo requiere los permisos mínimos necesarios en la cuenta de la nube. ¡No vuelvas a usar las credenciales de implementación de Terraform de CI/CD!

Detectar recursos faltantes en un servicio de la nube

Como desarrolladores, quizá solo queramos revisar con más precisión un único servicio de la nube, como «S3» o «IAM». Para ello, podemos usar los filtros de recursos de Snyk IaC (--filter="aws_resource_name"), pero tendríamos que conocerlos y enumerarlos todos, y mantener la lista actualizada. ¡Qué tedioso! En esos casos, usamos la opción --service para incluir un servicio completo sin tener que saber cuántos recursos abarca.

1$ snyk iac describe --only-managed --service=aws_iam
2Snyk Scanning Infrastructure As Code Discrepancies...
3
4  Info:    Resources under IaC, but different to terraform states.
5  Resolve: Reapply IaC resources or update into terraform.
6
7Missing resources: 1
8
9State: Generated [ Missing Resources: 1 ]
10
11  Resource Type: aws_iam_policy_attachment
12    ID: user1-84i30k-arn:aws:iam::aws:policy/ReadOnlyAccess
13
14Test Summary
15
16  Managed Resources: 2
17  Missing Resources: 1
18
19  IaC Coverage: 66%
20  Info: To reach full coverage, remove resources or move it to Terraform.

En este caso de uso, obtendremos un reporte de todo lo que se encuentre dentro del servicio AWS IAM. Así, cubrimos de una vez decenas de recursos de Terraform (claves de acceso, grupos, adjuntos, políticas, roles, etc.).

La gestión de desviaciones ya está disponible en Snyk IaC

Tanto si eres un desarrollador que está empezando con IaC como si formas parte de un equipo experimentado con flujos de trabajo de IaC establecidos y sofisticados, la gestión de desviaciones de Snyk IaC puede ayudarte a tener más visibilidad de lo que se está ejecutando realmente en tus cuentas de la nube y a actuar con rapidez, usando la menor cantidad posible de permisos de acceso.

La gestión de desviaciones de Snyk IaC puede ejecutarse localmente en las laptops de los desarrolladores a pedido mediante la CLI, en pipelines de CI/CD o como trabajos cron programados para obtener reportes específicos (a partir de la versión 1.918.0).

La gestión de desviaciones está disponible en todos los planes de Snyk, incluido nuestro plan gratuito, así que empieza hoy mismo a proteger tu infraestructura como código.