Nuevo taller de seguridad de IaC de Snyk, HashiCorp y AWS en KubeCon Europe 2023 y a pedido

Cuando se habla de DevSecOps, es fácil suponer que se trata principalmente de código de aplicaciones propietario y componentes de terceros. Pero hoy en día, el código no solo se usa para crear las aplicaciones. La infraestructura como código (IaC) también usa código para definir todo lo que aloja las actividades de desarrollo: los servidores, el almacenamiento, etc. que funcionan en segundo plano. En lugar de usar servidores y almacenamiento físicos, los equipos guardan las configuraciones de todos los recursos de infraestructura en archivos de texto editables. La IaC cambia las reglas del juego para los equipos de desarrollo, ya que evita la desviación de configuración y automatiza procesos que antes eran manuales y consumían tiempo y recursos.

Pero, al igual que otros proyectos basados en código, la IaC puede convertirse en un gran riesgo de seguridad. Los equipos de hoy suelen priorizar la velocidad sobre la seguridad, lo que significa que podrían implementar accidentalmente IaC mal configurada o con permisos excesivos. Por suerte, es totalmente posible crear IaC que sea segura y ágil. Solo se necesita la combinación adecuada de herramientas, procesos y cultura.

Nuevo taller de Snyk, HashiCorp Terraform y AWS

Para mostrar cómo implementar la seguridad de IaC con un conjunto específico de herramientas, expertos de Snyk, HashiCorp y Amazon Web Services (AWS) crearon un nuevo taller que demuestra cómo una herramienta de seguridad, una solución de infraestructura como código y un proveedor de nube pueden combinarse para ofrecer una experiencia fluida a los desarrolladores.

Para ofrecer una guía paso a paso con expertos de AWS, HashiCorp y Snyk presentarán este taller en KubeCon Europe 2023 el martes 18 de abril, de 14:30 a 16:30 CEST. Inscríbete en este evento virtual gratuito, que se realiza junto con KubeCon. Y si no puedes asistir a KubeCon Europe, toma el taller a pedido.

Snyk y HashiCorp

HashiCorp permite a los equipos de desarrollo aprovisionar, proteger, conectar y ejecutar aplicaciones que impulsan la innovación. Ofrece un conjunto de productos de automatización de infraestructura multinube, incluido Terraform Cloud, una solución de automatización que permite a los desarrolladores aprovisionar, modificar y versionar sus recursos en cualquier entorno.

Con Snyk, los usuarios de HashiCorp pueden proteger mejor sus entornos de IaC frente a las crecientes amenazas en la nube, sin frenar la gran innovación que ofrecen las herramientas de automatización de HashiCorp.

Snyk y AWS

AWS cuenta con casi 1.5 millones de usuarios y más de 200 servicios con todas sus funciones. En particular, los desarrolladores suelen usar AWS CodeBuild para automatizar las implementaciones de IaC. Snyk es un socio de AWS Partner Network (APN) Advanced Technology Partner y cuenta con AWS Competencies en DevOps y seguridad.

Al usar Snyk junto con su pipeline de AWS, los desarrolladores pueden integrar fácilmente la seguridad en sus flujos de trabajo actuales mediante una configuración sencilla y familiar.

Cómo configurar Snyk, HashiCorp y AWS

El taller de AWS a pedido configura estas tres soluciones para ofrecer una experiencia fluida e integral de creación, implementación y seguridad de IaC. Explora las partes principales del taller a continuación:

Configuración

Primero, los usuarios deben instalar y configurar las soluciones adecuadas para esta integración. Para seguir esta guía, se necesita lo siguiente:

• Una cuenta de AWS en una región compatible con:

  • AWS CodeCommit

  • AWS CodeBuild

  • AWS CodePipeline

  • Amazon EC2

  • Amazon S3

• Una cuenta de Snyk con un plan Team o superior

• Snyk Cloud configurado y habilitado para integrarse con tu cuenta de AWS

• El siguiente software instalado en tu estación de trabajo:

  • TerraformCLI de HashiCorp

  • Snyk CLI

  • AWS CLI configurado para funcionar en la región que quieras

• Un rol de usuario de AWS con la política AWSCodeCommitPowerUser adjunta

• Una cuenta de GitHub para bifurcar tus cambios y commits en un repositorio público

Snyk IaC

Después de configurar el entorno, el taller muestra cómo usar Snyk para detectar y corregir una configuración incorrecta de IaC. Para crear IaC con problemas de seguridad, puedes clonar un repositorio con una instancia de EC2 mal configurada. Luego, ejecuta Snyk IaC escribiendo un solo comando en el repositorio de AWS CodeBuild. En unos segundos, verás tres problemas de seguridad de gravedad media y la información contextual de cada uno.

A continuación, aprende a corregir las configuraciones incorrectas de IaC siguiendo las indicaciones de remediación integradas en la herramienta. Por último, sincroniza estos resultados con Snyk para que la interfaz de usuario de Snyk esté actualizada.

HashiCorp Terraform

En esta etapa, el taller incluye un ejercicio con HashiCorp Terraform que usa la misma instancia de EC2 con esos tres problemas de gravedad media. Primero, se guía a los usuarios para que integren Terraform Cloud, AWS y Snyk, de modo que puedan interactuar entre sí. Después, los usuarios podrán revisar una rama existente del repositorio y explorar cómo aparece Terraform en su CLI nativa.

Luego, los usuarios pueden configurar Terraform Cloud y ejecutar un comando plan para ver los próximos cambios y aprender a corregir esos tres problemas de gravedad media con Snyk.

Principales conclusiones del taller

A lo largo del taller, expertos de AWS, Snyk y HashiCorp demuestran el poder de trabajar en conjunto. Descubre cómo estas herramientas diferentes, pero igualmente potentes, pueden usarse para crear un pipeline automatizado de infraestructura como código segura. Cada herramienta —AWS CodeBuild, HashiCorp Terraform y Snyk IaC— hace que el pipeline de IaC sea más automatizado, ágil y seguro. Estas son algunas de las principales conclusiones del taller:

• Terraform es una herramienta invaluable para implementar IaC. Implementar recursos de AWS con Terraform toma solo unos segundos. Está claro que las herramientas automatizadas de IaC llegaron para quedarse, porque superan al aprovisionamiento manual en velocidad y precisión.

• Las configuraciones incorrectas de IaC son comunes. Pero, aunque las herramientas de IaC son potentes, no detectan todos los problemas de seguridad comunes. En este taller, Snyk IaC marca algunas vulnerabilidades de IaC de gravedad media. Estos problemas de seguridad muestran que, a menudo, los ajustes de un entorno de IaC son inseguros de forma predeterminada.

• Las herramientas de seguridad deben integrarse en los flujos de trabajo de los desarrolladores. Detectar y corregir riesgos debería requerir el mínimo tiempo y esfuerzo. Al fin y al cabo, los equipos de desarrollo ya tienen muchas otras tareas. En este taller, basta con escribir una sola línea de comando para iniciar un análisis de seguridad. Y los resultados aparecen en segundos.

• Las indicaciones para corregir problemas son una parte esencial de las herramientas de seguridad. Las herramientas deben hacer más que solo informar sobre configuraciones incorrectas. También deben proporcionar instrucciones paso a paso para que los desarrolladores puedan aplicar las correcciones fácilmente y volver al código.

Si quieres aprender más sobre cómo automatizar y proteger IaC con HashiCorp, Snyk y AWS, consulta este AWS Immersion Day reciente. También puedes seguir el taller con nuestra versión de texto paso a paso.