Por qué una base sólida de DevOps es fundamental para un DevSecOps eficaz

A medida que ha aumentado la adopción de DevOps, las organizaciones ponen código en producción más rápido que nunca. Sin embargo, el ritmo acelerado de DevOps ha llevado a muchos desarrolladores a considerar la seguridad un cuello de botella o algo secundario, lo que significa que los equipos de seguridad necesitan un nuevo enfoque para mantenerse al día. 

Te presentamos DevSecOps, la evolución natural de DevOps. La forma más obvia y casi trillada de describir DevSecOps es hablar de “adelantar la seguridad”, para incorporar las pruebas de seguridad desde las primeras etapas del ciclo de vida, en el proceso de diseño y entrega de software. Pero eso sería como decir que DevOps se trata únicamente de automatización. El verdadero objetivo de DevOps es entregar software con mayor rapidez y frecuencia, a la vez que se mejora la experiencia de los desarrolladores y se reduce el riesgo de agotamiento. Del mismo modo, DevSecOps es mucho más que adelantar las herramientas: debe respaldar los objetivos de entrega de software y reducir el agotamiento causado por la fatiga de seguridad.

Por eso, para adoptar DevSecOps, reducir riesgos y entregar software con mayor rapidez, se necesita una base sólida de DevOps. Al comprender el papel de los equipos de DevOps y desarrollo en la entrega de software seguro y brindarles las herramientas automatizadas adecuadas, las empresas pueden mejorar la madurez de sus programas de seguridad de aplicaciones. 

El papel de DevOps en DevSecOps

Al igual que el modelo colaborativo de DevOps, establecer un marco de DevSecOps exitoso comienza con la responsabilidad compartida de la seguridad de las aplicaciones entre desarrolladores, operaciones, equipos de DevOps y plataformas, y profesionales de seguridad. Sin embargo, los equipos de DevOps están en una posición única para aplicar la seguridad de manera amplia y profunda, ya que participan directamente en los procesos de desarrollo y operaciones. Entienden la necesidad de optimizar procesos y ofrecer una buena experiencia a los equipos de software, conocen las herramientas que se utilizan y sus puntos de integración, y saben cómo se entrega el software a producción; todo esto también es fundamental al implementar DevSecOps. El crecimiento de los portales y las plataformas para desarrolladores, que suelen estar a cargo de estos equipos, ofrece otro posible punto de integración para las herramientas de seguridad.

Una práctica madura de DevSecOps también debe considerar todos los componentes de la arquitectura de una aplicación, incluida la infraestructura y la seguridad de los pipelines. Los equipos modernos de DevOps son cada vez más responsables de proteger partes de las aplicaciones, a medida que aumenta la dependencia de la contenedorización y la infraestructura como código (IaC) para implementar y administrar software. Por eso, los equipos de DevOps deben priorizar la integración de la seguridad en sus flujos de trabajo actuales de administración de infraestructura como parte de un nuevo marco de DevSecOps. 

La seguridad en el ciclo de vida del desarrollo de software 

Además de los equipos de DevOps, es importante que los desarrolladores puedan hacerse cargo de muchas tareas de seguridad de forma independiente del equipo de seguridad durante el ciclo de vida del desarrollo de software (SDLC). Esto permite contar con un ciclo de vida de desarrollo de software seguro (SSDLC), donde la seguridad está presente en cada etapa del proceso de entrega.

Con la aceleración de la innovación y el aumento de la frecuencia de los lanzamientos, ya no basta con postergar la seguridad hasta el final del ciclo de desarrollo. Esto significa que la seguridad debe formar parte de las responsabilidades de los desarrolladores para detectar vulnerabilidades a tiempo y evitar cuellos de botella. Pero también es necesario considerar cómo se presentan los problemas y las indicaciones para corregirlos. Lo ideal es que: 

1. Los desarrolladores puedan seguir usando las mismas herramientas de todos los días. 

2. Los problemas que deben corregir expliquen claramente por qué requieren su atención.

3. Las acciones correctivas estén disponibles de inmediato (es decir, automatizadas y con un solo clic). 

Integrar DevSecOps en los pipelines de entrega

La mayoría de las organizaciones modernas de DevOps ya implementaron algún tipo de integración y entrega continuas (CI/CD). Este pipeline automatizado puede servir de base para DevSecOps y reducir la carga de seguridad tanto para los equipos de DevOps como para los de desarrollo.

La automatización de la seguridad puede comenzar por adelantarla al momento en que los desarrolladores escriben y confirman el código. Los procesos de integración continua suelen incluir compilaciones y pruebas automatizadas después de confirmar cambios en el código; también se pueden incorporar pruebas estáticas de seguridad de aplicaciones (SAST) para detectar posibles problemas de seguridad en el código fuente. La mayoría de las soluciones SAST analizan el código y lo comparan con las prácticas recomendadas de seguridad de aplicaciones y las bases de datos de vulnerabilidades, para que los desarrolladores reciban comentarios oportunos. Esto incluye las pruebas de IaC, un tipo especializado de pruebas SAST, y la detección de secretos, que se aplica tanto al código como a IaC y las configuraciones de los pipelines.

El análisis de composición de software (SCA), incluido el análisis de contenedores, también se puede automatizar en esta etapa para comprobar que las dependencias de código abierto no tengan vulnerabilidades. Esto es aún más importante ahora que los equipos de desarrollo adoptan más componentes de terceros y de código abierto; algunas estimaciones indican que hasta el 90% de una aplicación moderna es código abierto. Estas nuevas cadenas de suministro de software amplían considerablemente la superficie de ataque potencial de una aplicación y exigen medidas de seguridad adicionales. Más allá de las pruebas, que por naturaleza siempre son algo reactivas, un programa maduro de DevSecOps también debe guiar a los desarrolladores para que tomen decisiones seguras desde el principio. Para ello, se necesita colaboración entre equipos para comprender la arquitectura del software y los requisitos de seguridad, así como capacitación para garantizar que los equipos entiendan los principios de seguridad desde el diseño.

DevSecOps en producción

Un principio importante de DevOps es que los equipos de software sigan participando después de que se publica el código, y DevSecOps debe extender este principio. Probar el código y toda la pila de la aplicación antes de la entrega es fundamental, pero no todos los problemas se pueden prevenir de esta manera. Las vulnerabilidades de día cero ocurren y las arquitecturas de las aplicaciones cambian, lo que puede abrir nuevas vías de ataque. 

Hay muchas herramientas de seguridad para la nube y el entorno de ejecución que hacen un excelente trabajo al identificar vectores de amenazas y monitorear ataques. Aunque toda esta información puede resultar abrumadora para un desarrollador, es muy útil para determinar qué problemas requieren atención urgente. Conectar la seguridad de las aplicaciones con la seguridad de la nube y del entorno de ejecución para reducir los riesgos en las aplicaciones en funcionamiento es una característica indispensable de un programa maduro de DevSecOps. 

Establece las bases de DevSecOps con Snyk

Aunque “adelantar la seguridad” e incorporarla a los procesos de DevOps son aspectos fundamentales de DevSecOps, los principales objetivos de DevOps —lanzamientos frecuentes y rápidos, y menos agotamiento de los desarrolladores— son igual de importantes en una práctica de DevSecOps. Si eliges las herramientas de seguridad adecuadas, que se integren fácilmente en los flujos de trabajo existentes de desarrollo y DevOps, puedes reducir las fricciones durante la adopción y ampliar la seguridad a toda la organización.

Snyk es una plataforma de seguridad diseñada primero para desarrolladores, que te ayuda a integrar prácticas de DevSecOps en cada etapa del SDLC. Snyk AppRisk conecta la seguridad de las aplicaciones con la seguridad de la nube y ofrece una visión integral de los riesgos, clave para ayudar a los desarrolladores a entender qué deben corregir. Snyk Code y Snyk Open Source brindan herramientas a los desarrolladores en sus IDE, repositorios, solicitudes de extracción y solicitudes de combinación, entre otros, a través de CI/CD. Por su parte, Snyk Container y Snyk Infrastructure as Code ofrecen seguridad a los equipos de plataformas.

Programa una demostración hoy para descubrir cómo Snyk puede ayudarte a establecer las bases de DevSecOps.