Propósitos de seguridad para desarrolladores en 2022

Con el inicio de 2022, es un buen momento para fijarte propósitos para el año que comienza. No te preocupes, no esperamos que te conviertas en un gurú de CrossFit ni que rompas récords mundiales en tu Peloton. Mejor, ¿qué te parece proponerte mejorar tus habilidades como desarrollador seguro?

Con demasiada frecuencia, elegimos propósitos que nos llevan directo al fracaso. Un mejor enfoque es fijarnos metas realistas. Con eso en mente, queremos sugerirte propósitos de seguridad para desarrolladores que puedes cumplir desde la comodidad de tu silla de oficina.

Sigue leyendo para conocer cinco de nuestros propósitos de seguridad para desarrolladores en 2022.

1. ¡Firmaré mis imágenes de contenedor!

En cuanto a la seguridad de contenedores, muchas imágenes de contenedor corren el riesgo de sufrir ataques de intermediario (MITM), en los que alguien manipula una imagen obtenida de un registro antes de que llegue al cliente de Docker. Por eso, una de nuestras 10 prácticas recomendadas de seguridad para Docker consiste en firmar y verificar cada imagen de Docker.

Una excelente opción para firmar imágenes es cosign, una herramienta sencilla de Sigstore que permite «guardarla de forma segura en un repositorio de GitHub junto al código, para descifrar o firmar con una contraseña almacenada en un administrador de secretos como parte del sistema de CI». Otra opción es que, si quien publica una imagen de contenedor la firma con Docker Notary, quienes la consumen pueden tener la confianza de que mantiene su integridad al transferirse desde un registro público o privado. Así, los equipos de desarrollo pueden habilitar Docker Content Trust para exigir que todas las imágenes estén firmadas y verificadas antes de usarlas en sus proyectos. En definitiva, esto evita los ataques MITM contra aplicaciones en contenedores.

No lo olvides: Snyk Container te ayuda a analizar contenedores en busca de vulnerabilidades directamente en tu flujo de trabajo de desarrollo actual para mejorar su seguridad. ¡El análisis de contenedores te ayudará a cumplir este propósito con éxito!

2. ¡Ejecutaré todos los contenedores con un sistema de archivos raíz de solo lectura!

Ejecutar contenedores de forma segura en Kubernetes puede ser un desafío para muchos equipos. Una herramienta eficaz que ofrece Kubernetes es securityContext, que proporciona ajustes de seguridad que pueden usar todos los manifiestos de Pods y contenedores. Sin embargo, es necesario configurar correctamente securityContext para ofrecer una seguridad adecuada.

Una configuración incorrecta con consecuencias devastadoras es ejecutar contenedores con sistemas de archivos raíz que permiten escritura. Esto permitiría que actores maliciosos elevaran sus privilegios de seguridad y manipularan tu aplicación. Si configuras el sistema de archivos raíz como de solo lectura en la configuración de securityContext, puedes proteger tus contenedores contra ataques.

¿Necesitas ayuda para cumplir este propósito? Snyk Infrastructure as Code puede analizar tus configuraciones de Kubernetes para asegurarse de que no haya configuraciones incorrectas ni otros riesgos de seguridad.

3. ¡No instalaré paquetes npm que ejecuten comandos arbitrarios!

Aunque los paquetes npm de código abierto ayudan a los desarrolladores a crear aplicaciones mucho más rápido, también pueden introducir vulnerabilidades de seguridad. Un vector de ataque específico que Snyk descubrió son los paquetes npm que incluyen scripts de preinstalación o posinstalación que ejecutan comandos arbitrarios.

Al ignorar los scripts de ejecución, puedes impedir que se ejecuten scripts arbitrarios al instalar paquetes y proteger tu cadena de suministro de software contra manipulaciones. Así reduces la superficie de ataque potencial que pueden aprovechar los actores maliciosos. 

Snyk Open Source puede ayudarte a analizar las dependencias de código abierto de tus aplicaciones en busca de vulnerabilidades. Snyk también puede detectar problemas en dependencias indirectas, que fue la vía por la que la mayoría de las organizaciones se vieron afectadas por la reciente vulnerabilidad de Log4j. Por eso, el análisis de dependencias puede ayudar a detectar paquetes maliciosos en proyectos escritos en diversos lenguajes, además de JavaScript.

4. ¡Solo integraré pull requests que hayan pasado por una revisión de código automatizada!

Desarrollar e implementar software rápidamente es esencial para la mayoría de las organizaciones, pero eso no significa que deban tomar atajos en la seguridad de las aplicaciones. Al revisar todo el código antes de integrarlo en el repositorio central, los equipos de desarrollo pueden mejorar considerablemente la postura de seguridad de sus aplicaciones.

El problema es que las revisiones manuales de código toman mucho tiempo y es posible que quienes revisan el código no detecten todos los problemas de seguridad. Por eso, analizar automáticamente cada cambio de código es fundamental para proteger eficazmente las aplicaciones.

Con las integraciones de Snyk con administradores de control de versiones, como GitHub y Bitbucket, puedes analizar automáticamente el código en busca de vulnerabilidades con cada pull request (PR), antes de integrarlo.

5. ¡Siempre aplicaré prácticas de programación segura!

Las empresas que quieren adoptar un enfoque de seguridad desde el inicio pueden comenzar implementando estándares de programación segura. Al adoptar las mejores prácticas de programación segura, los desarrolladores pueden reconocer y eliminar vulnerabilidades antes de introducir problemas en el código fuente de una aplicación.

¿Qué mejor manera de mejorar tus habilidades de programación segura este año que con Snyk Learn? Nuestra nueva plataforma de capacitación en seguridad ayuda a los desarrolladores a perfeccionar sus habilidades de programación segura con contenido seleccionado y relevante para sus propios proyectos de código.

La seguridad debe integrarse en los flujos de trabajo de desarrollo existentes, así que creemos que la capacitación en seguridad también debe estar disponible donde trabajan los desarrolladores. Con Snyk Learn, puedes capacitarte y aplicar de inmediato prácticas de programación segura mientras escribes código.

¡Brindemos por un 2022 más seguro!

A diferencia de quienes salen a correr con entusiasmo y se quedan sin energía a fines de enero, ¡esperamos que mantengas estos propósitos durante muchos años! Esto mejoraría considerablemente la postura de seguridad de tus aplicaciones en adelante.

¡Feliz Año Nuevo y mantente seguro!

Los equipos de DevRel y SecRel de Snyk