Nouvel atelier sur la sécurité IaC avec Snyk, HashiCorp et AWS à KubeCon Europe 2023 et en ligne à la demande

Lorsqu’on évoque le DevSecOps, on peut facilement penser qu’il concerne principalement le code propriétaire des applications et les composants tiers. Pourtant, aujourd’hui, le code ne sert pas uniquement à créer les applications. L’infrastructure as code (IaC) utilise également du code pour définir tout ce qui héberge les activités de développement : serveurs, stockage, etc., qui fonctionnent en arrière-plan. Au lieu d’utiliser des serveurs et du stockage physiques, les équipes stockent la configuration de toutes les ressources d’infrastructure dans des fichiers texte modifiables. L’IaC change la donne pour les équipes de développement : elle évite la dérive de configuration et automatise des processus auparavant manuels, qui mobilisaient du temps et des ressources.

Mais, comme tout autre projet basé sur du code, l’IaC peut représenter un risque majeur pour la sécurité. Aujourd’hui, les équipes privilégient souvent la vitesse à la sécurité, et peuvent ainsi déployer par accident une IaC mal configurée ou trop permissive. Heureusement, il est tout à fait possible de créer une IaC à la fois sécurisée et agile. Il suffit de combiner les bons outils, processus et pratiques.

Nouvel atelier de Snyk, HashiCorp Terraform et AWS

Pour montrer comment mettre en œuvre la sécurité IaC à l’aide d’une suite d’outils spécifique, des experts de Snyk, HashiCorp et Amazon Web Services (AWS) ont créé un nouvel atelier. Il montre comment un outil de sécurité, une solution d’infrastructure as code et un fournisseur cloud peuvent s’associer pour offrir une expérience fluide aux développeurs.

Pour une présentation guidée par des experts d’AWS, HashiCorp et Snyk, participez à cet atelier à KubeCon Europe 2023, le mardi 18 avril, de 14 h 30 à 16 h 30 (CEST). Inscrivez-vous gratuitement à cet événement virtuel organisé en marge de la conférence. Si vous ne pouvez pas assister à KubeCon Europe, suivez l’atelier à la demande.

Snyk et HashiCorp

HashiCorp permet aux équipes de développement de provisionner, sécuriser, connecter et exécuter des applications qui favorisent l’innovation. L’entreprise propose une suite de produits d’automatisation de l’infrastructure multicloud, dont Terraform Cloud, une solution d’automatisation qui permet aux développeurs de provisionner, modifier et versionner leurs ressources dans n’importe quel environnement.

Avec Snyk, les utilisateurs de HashiCorp peuvent mieux protéger leurs environnements IaC contre la multiplication des menaces cloud, sans ralentir l’innovation considérable rendue possible par les outils d’automatisation de HashiCorp.

Snyk et AWS

AWS compte près de 1,5 million d’utilisateurs et propose plus de 200 services complets. AWS CodeBuild, en particulier, est souvent utilisé par les développeurs pour automatiser les déploiements IaC. Snyk est un partenaire AWS Partner Network (APN) de niveau Advanced Technology Partner, et possède des compétences AWS en DevOps et en sécurité.

En intégrant Snyk à leur pipeline AWS, les développeurs peuvent facilement incorporer la sécurité à leurs workflows existants grâce à une configuration simple et familière.

Configurer Snyk, HashiCorp et AWS

L’atelier AWS à la demande configure ces trois solutions pour offrir une expérience fluide de bout en bout, de la création et du déploiement de l’IaC à sa sécurisation. Découvrez ci-dessous les principales étapes de l’atelier :

Configuration

Pour commencer, les utilisateurs doivent installer et configurer les solutions nécessaires à cette intégration. Pour suivre cette présentation, vous aurez besoin des éléments suivants :

• Un compte AWS dans une région prenant en charge les services suivants :

  • AWS CodeCommit

  • AWS CodeBuild

  • AWS CodePipeline

  • Amazon EC2

  • Amazon S3

• Un compte Snyk avec un forfait Team ou supérieur

• Snyk Cloud configuré et activé pour s’intégrer à votre compte AWS

• Les logiciels suivants installés sur votre poste de travail :

  • La solution Terraform CLI de HashiCorp

  • La Snyk CLI

  • L’AWS CLI, configurée pour fonctionner dans la région de votre choix

• Un rôle utilisateur AWS auquel est associée la politique AWSCodeCommitPowerUser

• Un compte GitHub pour créer un fork et enregistrer vos modifications et commits dans un dépôt public

Snyk IaC

Après la configuration de l’environnement, l’atelier montre comment utiliser Snyk pour détecter et corriger une erreur de configuration IaC. Pour créer une IaC présentant des problèmes de sécurité, vous pouvez cloner un dépôt contenant une instance EC2 mal configurée. Exécutez ensuite Snyk IaC en saisissant une seule commande dans le dépôt AWS CodeBuild. En quelques secondes, vous verrez trois problèmes de sécurité de gravité moyenne, accompagnés d’informations contextuelles pour chacun.

Vous apprendrez ensuite à corriger les erreurs de configuration IaC en suivant les recommandations de correction intégrées à l’outil. Enfin, synchronisez ces résultats avec Snyk pour que l’interface Snyk soit à jour.

HashiCorp Terraform

À cette étape, l’atelier propose un exercice avec HashiCorp Terraform, à partir de la même instance EC2 présentant ces trois problèmes de gravité moyenne. Les utilisateurs apprennent d’abord à intégrer Terraform Cloud, AWS et Snyk pour leur permettre d’interagir. Ils peuvent ensuite examiner une branche de dépôt existante et découvrir comment Terraform s’affiche dans leur interface de ligne de commande habituelle.

Les utilisateurs peuvent ensuite utiliser Terraform Cloud et exécuter une commande plan pour consulter les changements à venir et découvrir comment corriger ces trois problèmes de gravité moyenne avec Snyk.

Les principaux enseignements de cet atelier

Tout au long de cet atelier, des experts d’AWS, de Snyk et de HashiCorp montrent les avantages de leur collaboration. Découvrez comment ces outils différents, mais tout aussi puissants, permettent de créer un pipeline automatisé pour une infrastructure as code sécurisée. AWS CodeBuild, HashiCorp Terraform et Snyk IaC contribuent chacun à rendre le pipeline IaC plus automatisé, agile et sécurisé. Voici quelques enseignements clés de l’atelier :

• Terraform est un outil précieux pour déployer l’IaC. Il ne faut que quelques secondes pour déployer des ressources AWS avec Terraform. L’automatisation de l’IaC est donc là pour durer : elle surpasse le provisionnement manuel en matière de rapidité et de précision.

• Les erreurs de configuration IaC sont fréquentes. Malgré toute la puissance des outils IaC, ils ne détectent pas toujours les problèmes de sécurité courants. Dans cet atelier, Snyk IaC signale plusieurs vulnérabilités IaC de gravité moyenne. Ces problèmes montrent que les paramètres d’un environnement IaC sont souvent non sécurisés par défaut.

• Les outils de sécurité doivent s’intégrer aux workflows des développeurs. La détection et la correction des risques devraient demander un minimum de temps et d’efforts. Après tout, les équipes de développement ont déjà beaucoup d’autres tâches à gérer. Dans cet atelier, une seule commande suffit pour lancer une analyse de sécurité, qui renvoie des résultats en quelques secondes.

• Les recommandations de correction sont essentielles dans les outils de sécurité. Les outils ne doivent pas se contenter de signaler les erreurs de configuration. Ils doivent aussi fournir des instructions de correction étape par étape afin que les développeurs puissent appliquer facilement les correctifs et reprendre leur travail.

Pour en savoir plus sur l’automatisation et la sécurisation de l’IaC avec HashiCorp, Snyk et AWS, consultez cette récente journée AWS Immersion Day. Vous pouvez également suivre l’atelier à l’aide de notre guide écrit étape par étape !