Metas de segurança para desenvolvedores em 2022

O início de 2022 é uma ótima época para definir metas para o ano que vem. Não se preocupe: não esperamos que você vire especialista em CrossFit nem que bata recordes mundiais na Peloton. Que tal, em vez disso, definir objetivos para aprimorar suas habilidades como desenvolvedor seguro?

Muitas vezes, escolhemos metas que acabam nos levando ao fracasso. Uma abordagem melhor é estabelecer objetivos realistas. Pensando nisso, queremos sugerir metas de segurança para desenvolvedores que você pode cumprir sem sair da cadeira do escritório.

Continue lendo para conhecer cinco metas de segurança para desenvolvedores em 2022.

1. Vou assinar minhas imagens de contêiner!

Quando o assunto é segurança de contêineres, muitas imagens de contêiner correm o risco de sofrer ataques man-in-the-middle (MITM), nos quais uma imagem obtida de um registro é adulterada antes de chegar ao cliente Docker. Por isso, uma das nossas 10 práticas recomendadas de segurança para Docker é assinar e verificar todas as imagens Docker.

Uma ótima opção para assinar imagens é o cosign, uma ferramenta simples da Sigstore que é “segura para ser colocada em um repositório do GitHub junto com seu código, permitindo descriptografar/assinar com uma senha armazenada em um gerenciador de segredos como parte do seu sistema de CI”. Como alternativa, se quem publica uma imagem de contêiner a assinar usando o Docker Notary, quem a utiliza poderá confiar que ela mantém sua integridade ao ser transferida de um registro público ou privado. Assim, as equipes de desenvolvimento podem ativar o Docker Content Trust para exigir que todas as imagens sejam assinadas e verificadas antes do uso nos projetos. Isso impede ataques MITM contra aplicações em contêineres.

Não se esqueça: o Snyk Container ajuda a analisar contêineres em busca de vulnerabilidades diretamente no fluxo de trabalho de desenvolvimento que você já usa, aprimorando a segurança dos contêineres. A análise de contêineres vai ajudar você a cumprir essa meta com louvor!

2. Vou executar todos os contêineres com um sistema de arquivos raiz somente para leitura!

Executar contêineres com segurança no Kubernetes pode ser um desafio para muitas equipes. Uma ferramenta poderosa oferecida pelo Kubernetes é o securityContext, que reúne configurações de segurança disponíveis em todos os manifests de Pod e Container. Mas o securityContext precisa ser configurado corretamente para oferecer proteção adequada.

Uma configuração incorreta com consequências devastadoras é executar contêineres com sistemas de arquivos raiz graváveis. Isso permitiria que agentes mal-intencionados elevassem seus privilégios de segurança e adulterassem sua aplicação. Ao configurar o sistema de arquivos raiz como somente para leitura no securityContext, você protege seus contêineres contra ataques.

Precisa de ajuda para cumprir essa meta? O Snyk Infrastructure as Code pode analisar suas configurações do Kubernetes para verificar se há configurações incorretas ou outros riscos de segurança.

3. Não vou instalar pacotes npm que executam comandos arbitrários!

Embora os pacotes npm de código aberto ajudem os desenvolvedores a criar aplicações muito mais rápido, eles também podem introduzir vulnerabilidades de segurança. Um vetor de ataque específico identificado pela Snyk são pacotes npm que incluem scripts de pré ou pós-instalação capazes de executar comandos arbitrários.

Ao ignorar scripts de execução, você impede que scripts arbitrários sejam executados durante a instalação dos pacotes e protege sua cadeia de suprimentos de software contra adulterações. Isso reduz a superfície de ataque disponível para agentes mal-intencionados.

O Snyk Open Source ajuda você a analisar as dependências de código aberto das suas aplicações em busca de vulnerabilidades. A Snyk também detecta problemas em dependências indiretas, que foram a origem do impacto da recente vulnerabilidade Log4j na maioria das organizações. Portanto, a análise de dependências pode encontrar pacotes maliciosos em projetos que usam várias linguagens de programação, não apenas JavaScript.

4. Só vou integrar PRs que passaram por uma revisão automatizada de código!

Criar e implantar software rapidamente é essencial para a maioria das organizações, mas isso não significa que devam abrir mão de etapas importantes de segurança de aplicações. Ao revisar todo o código antes de integrá-lo ao repositório central, as equipes de desenvolvimento podem melhorar muito a postura de segurança das aplicações.

O problema é que as revisões manuais de código consomem muito tempo, e quem revisa pode não identificar todos os problemas de segurança. Por isso, a análise automatizada de cada alteração de código é fundamental para proteger as aplicações com eficiência.

Com as integrações da Snyk com sistemas de controle de código-fonte, como GitHub e Bitbucket, você pode analisar automaticamente o código em busca de vulnerabilidades a cada pull request (PR), antes da integração.

5. Vou sempre adotar práticas de programação segura!

Empresas que querem antecipar a segurança para as primeiras etapas do desenvolvimento podem começar adotando padrões de programação segura. Com as práticas recomendadas de programação segura, os desenvolvedores podem identificar e eliminar vulnerabilidades antes que elas entrem no código-fonte de uma aplicação.

Que maneira melhor de aprimorar suas habilidades de programação segura neste ano do que com o Snyk Learn? Nossa nova plataforma de educação em segurança ajuda os desenvolvedores a elevar suas habilidades de programação segura com conteúdo selecionado e relevante para seus próprios projetos de código.

A segurança precisa estar integrada aos fluxos de trabalho de desenvolvimento existentes. Por isso, faz sentido que a educação em segurança também esteja disponível onde os desenvolvedores trabalham. Com o Snyk Learn, você pode aprender e aplicar práticas de programação segura imediatamente, enquanto escreve código.

Um brinde a um 2022 mais seguro!

Ao contrário de quem começa a correr cheio de disposição, mas perde o fôlego no fim de janeiro, esperamos que você mantenha essas metas por muitos anos! Isso melhoraria bastante a postura de segurança das suas aplicações daqui para frente.

Feliz Ano-Novo e mantenha-se seguro!

Equipes de DevRel e SecRel da Snyk