Cómo proteger aplicaciones nativas de la nube: la perspectiva del VP de Seguridad de la Información de ActiveCampaign

La tecnología nativa de la nube es una tendencia en crecimiento, a medida que las organizaciones abandonan la infraestructura local y los ciclos de lanzamiento de software más largos para adoptar un enfoque de desarrollo más iterativo, con herramientas e infraestructura basadas en la nube. Si bien las aplicaciones nativas de la nube permiten implementaciones rápidas y una mayor escalabilidad, este enfoque emergente de desarrollo de software también plantea desafíos de seguridad.

Durante un seminario web reciente, Prácticas recomendadas para proteger las aplicaciones nativas de la nube modernas, Simon Maple, VP de Relaciones con Desarrolladores y Comunidad en Snyk, conversó con Chaim Mazal, VP de Seguridad de la Información en ActiveCampaign, sobre la evolución del panorama de seguridad de aplicaciones y su impacto en ActiveCampaign. Esto fue lo que comentaron.

Cómo han cambiado las aplicaciones modernas

En el pasado, las aplicaciones consistían principalmente en código personalizado escrito por desarrolladores y bibliotecas de código abierto, mientras que los equipos de operaciones se encargaban de los servidores, las máquinas virtuales, la red y otra infraestructura necesaria para ejecutar el software. El desarrollo nativo de la nube —en el que las empresas adoptan metodologías DevOps, arquitecturas de microservicios, contenedores y más— está cambiando el alcance de las aplicaciones modernas.

“Si pensamos que nuestro código personalizado y las bibliotecas de código abierto se incluyen en un contenedor de Docker, junto con IaC u otros archivos de configuración para implementar en el entorno”, dijo Maple, “las personas no solo implementan código, sino también sus entornos”.

Este mayor alcance de las aplicaciones trae consigo problemas de seguridad adicionales que ahora son responsabilidad de los desarrolladores. Esto significa que, además de las vulnerabilidades en el código y las dependencias de código abierto, la seguridad de las aplicaciones ahora abarca otros aspectos, como los contenedores, los archivos de configuración y más.

La evolución de la pila tecnológica moderna

“Todos hemos escuchado la frase de moda,transformación digital, para referirnos a la migración a un entorno de nube”, dijo Maple. “El alcance de las aplicaciones y la responsabilidad de los desarrolladores están cambiando, y esto genera nuevas preocupaciones de seguridad que recaen en ellos”.

ActiveCampaign, que ayuda a más de 150 000 empresas en 170 países a conectar e interactuar mejor con sus clientes, es un ejemplo de una compañía que está modernizando su pila tecnológica. La plataforma de ActiveCampaign optimiza las experiencias de sus clientes a escala mediante la automatización del marketing, las ventas y muchos otros procesos empresariales.

El enorme crecimiento y la escala de ActiveCampaign exigían un nuevo enfoque de desarrollo de software para seguir entregando funciones e integraciones a un ritmo acelerado. De hecho, la pila tecnológica de la empresa ha evolucionado desde su aplicación monolítica inicial en PHP hasta incluir microservicios en contenedores con Python y Java, una aplicación de página de destino en .NET y JavaScript para la interfaz de la plataforma. A pesar de contar con una pila tecnológica tan diversa, ActiveCampaign nunca dejó de priorizar la seguridad.

“Snyk es compatible con todas estas tecnologías”, explicó Mazal. “No importaba en qué etapa estuviéramos ni en qué punto de nuestra evolución nos encontráramos al implementar y mantener activamente nuestro software. Con muchas de las herramientas que ofrece Snyk, podemos obtener una cobertura [de seguridad] completa”.

Un enfoque de seguridad centrado en los desarrolladores

Al adoptar un enfoque que empodera a los desarrolladores, ActiveCampaign buscaba una herramienta como Snyk, centrada en ellos y fácil de integrar en los procesos habituales de desarrollo. Este enfoque de DevSecOps ha permitido que los desarrolladores de ActiveCampaign publiquen código a su propio ritmo, dentro de límites que impiden introducir nuevas vulnerabilidades de seguridad.

“La seguridad es un valor cultural en ActiveCampaign”, dijo Mazal. “Todos somos responsables de la seguridad, pero nuestro equipo ayuda a impulsarla y facilita que los equipos tengan éxito con la menor interferencia o fricción posible. Es fundamental contar con límites, pero también con flexibilidad”.

La seguridad en la cadena de suministro de software

La cadena de suministro de software actual suele incluir código personalizado, dependencias de código abierto, contenedores e infraestructura como código (IaC). Snyk ofrece soluciones de análisis de seguridad para cada una de estas áreas de riesgo, que ActiveCampaign ha adoptado para lograr una seguridad integral de las aplicaciones nativas de la nube.

Al implementar el análisis de seguridad en herramientas de entornos de desarrollo locales, como IntelliJ IDE y la línea de comandos, ActiveCampaign puede detectar la mayoría de los problemas antes de que lleguen a los entornos de prueba. Antes, la mayoría de las empresas detectaban las vulnerabilidades de seguridad y los errores de software principalmente en los entornos de prueba y producción. Este enfoque proactivo permite recibir comentarios en tiempo real durante el desarrollo.

“Hoy podemos recibir comentarios en tiempo real en los entornos de desarrollo locales y a través de nuestra canalización de CI/CD, gracias a diversas integraciones y herramientas”, dijo Mazal. “Esto nos permite recibir comentarios continuos e instantáneos desde las primeras etapas de la creación del código, para que los desarrolladores puedan tomar decisiones oportunas que reduzcan los riesgos en toda nuestra plataforma”.

Las herramientas de seguridad son fundamentales

A medida que las empresas incorporan más tecnologías, la seguridad de las aplicaciones y la visibilidad se vuelven mucho más difíciles de gestionar. Sin embargo, al invertir en las herramientas de seguridad adecuadas, las organizaciones pueden aprovechar la automatización para recibir comentarios continuos y corregir vulnerabilidades dentro de los procesos de desarrollo existentes. Así, pueden ampliar sus iniciativas de seguridad en toda la organización con menos obstáculos para la adopción.

“Si no tienes las herramientas adecuadas o no tienes visibilidad, es difícil hacer los ajustes necesarios”, explicó Mazal. “Sin una forma rápida y sencilla de recibir comentarios instantáneos, es muy difícil hacer iteraciones continuas que mejoren tu postura de riesgo general”.

Con Snyk, ActiveCampaign también obtuvo paneles detallados y métricas que antes no tenía. Las estadísticas granulares a nivel de producto y de equipo fomentan una competencia sana en ActiveCampaign, que motiva a los desarrolladores de la organización a dar lo mejor de sí.

Además, los datos prácticos permiten a ActiveCampaign perfeccionar sus procesos de DevSecOps y mejorar su postura de seguridad a futuro. Por eso, las herramientas fáciles de usar para desarrolladores y diseñadas para aplicaciones nativas de la nube son fundamentales para los equipos de seguridad de aplicaciones actuales.

Esperamos que hayas disfrutado de este resumen de la conversación de Snyk con ActiveCampaign sobre la evolución del panorama de seguridad de aplicaciones. Si quieres conocer más sobre la transición de ActiveCampaign a la nube nativa y la adopción de Snyk por parte de la empresa, puedes ver el seminario web completo aquí.

Cómo optimizar la experiencia de DevOps en AWS

Como cliente de AWS, ActiveCampaign busca constantemente nuevas formas de aprovechar con flexibilidad servicios como Amazon ECR y Amazon EKS para administrar sus cargas de trabajo en contenedores.

“Si analizamos a grandes rasgos nuestros entornos de prueba y producción, usamos Elastic Load Balancers y Elastic Kubernetes Service (Amazon EKS)… ahora también usamos el registro de contenedores de Amazon (Amazon ECR) y hacemos cosas muy interesantes con Snyk para asegurarnos de que todo lo que hay en ese registro esté supervisado. Así evitamos introducir elementos que no se hayan probado, lo cual ha sido de gran ayuda... De esta manera, nos aseguramos de que todos nuestros contenedores e imágenes estén aprobados y verificados, y de no incorporar nada más en ninguna etapa del proceso de desarrollo. Los desarrolladores usan Snyk para asegurarse de que su código no tenga paquetes vulnerables. Cuando se publica una imagen en Amazon ECR, ya les hemos proporcionado [a los desarrolladores] herramientas estandarizadas que nos permiten tener visibilidad total y evitar preguntas como: “Oye, ¿de dónde sacaste esa imagen? ¿De un registro cualquiera en internet? ¿De dónde obtienes esa imagen base del contenedor?”

Al asociarse con proveedores de seguridad modernos como Snyk, el equipo de ingeniería de ActiveCampaign puede crear aplicaciones con confianza y dejar que el equipo de Mazal gestione la gobernanza en la organización, mientras los equipos de desarrollo aprovechan las integraciones de Snyk con las herramientas de AWS para detectar automáticamente vulnerabilidades en las cargas de trabajo de contenedores en Amazon ECR y supervisar los clústeres de Amazon EKS para encontrar nuevas vulnerabilidades y errores de configuración, todo mientras aceleran la entrega de aplicaciones nativas de la nube.