Novo workshop de segurança de IaC da Snyk, HashiCorp e AWS na KubeCon Europe 2023 e sob demanda

Quando o conceito de DevSecOps surge em uma conversa, é fácil presumir que ele se refere principalmente a código proprietário de aplicações e componentes de terceiros. Mas, hoje em dia, o código não é usado apenas para criar as próprias aplicações. A infraestrutura como código (IaC) também usa código para definir tudo o que dá suporte às atividades de desenvolvimento — servidores, armazenamento etc. que operam nos bastidores. Em vez de usar servidores e armazenamento físicos, as equipes mantêm as configurações de todos os recursos de infraestrutura em arquivos de texto editáveis. A IaC transforma o desenvolvimento, pois evita desvios de configuração e automatiza processos que antes eram manuais e consumiam tempo e recursos.

Mas, assim como outros projetos baseados em código, a IaC pode se tornar um grande risco de segurança. Hoje, as equipes costumam priorizar a velocidade em detrimento da segurança, o que facilita a publicação acidental de IaC com configurações incorretas ou permissões excessivas. Felizmente, é totalmente possível criar IaC segura e ágil. Basta combinar as ferramentas, os processos e a cultura certos.

Novo workshop da Snyk, HashiCorp Terraform e AWS

Para mostrar como implementar a segurança de IaC com um conjunto específico de ferramentas, especialistas da Snyk, HashiCorp e Amazon Web Services (AWS) criaram um novo workshop que demonstra como uma ferramenta de segurança, uma solução de infraestrutura como código e um provedor de nuvem podem trabalhar juntos para oferecer uma experiência integrada aos desenvolvedores.

Para acompanhar uma demonstração guiada por especialistas da AWS, HashiCorp e Snyk, participe deste workshop na KubeCon Europe 2023, na terça-feira, 18 de abril, das 14h30 às 16h30 CEST. Inscreva-se neste evento virtual gratuito, realizado em paralelo. Se você não puder participar da KubeCon Europe, acesse o workshop sob demanda.

Snyk e HashiCorp

A HashiCorp capacita equipes de desenvolvimento a provisionar, proteger, conectar e executar aplicações que impulsionam a inovação. A empresa oferece um conjunto de produtos de automação de infraestrutura multinuvem, incluindo o Terraform Cloud — uma solução de automação que permite aos desenvolvedores provisionar, alterar e versionar recursos em qualquer ambiente.

Com a Snyk, usuários da HashiCorp podem proteger melhor seus ambientes de IaC contra as crescentes ameaças na nuvem, sem desacelerar a grande inovação proporcionada pelas ferramentas de automação da HashiCorp.

Snyk e AWS

A AWS tem quase 1,5 milhão de usuários e mais de 200 serviços completos. Em particular, desenvolvedores usam com frequência o AWS CodeBuild para automatizar implantações de IaC. A Snyk é uma AWS Partner Network (APN) Advanced Technology Partner, com AWS Competencies em DevOps e segurança.

Ao usar a Snyk com o pipeline da AWS, os desenvolvedores podem integrar facilmente a segurança aos fluxos de trabalho existentes, com uma configuração simples e familiar.

Como configurar a Snyk, a HashiCorp e a AWS

O workshop da AWS sob demanda mostra como configurar essas três soluções e usá-las em conjunto para oferecer uma experiência integrada de ponta a ponta na criação, implantação e segurança de IaC. Confira abaixo as principais etapas do workshop:

Configuração

Primeiro, é preciso instalar e configurar as soluções certas para essa integração. Para acompanhar este passo a passo, você precisa de:

• Uma conta da AWS em uma região compatível com:

  • AWS CodeCommit

  • AWS CodeBuild

  • AWS CodePipeline

  • Amazon EC2

  • Amazon S3

• Uma conta da Snyk com plano Team ou superior

• Snyk Cloud configurado e habilitado para integração com sua conta da AWS

• Os seguintes softwares instalados na sua estação de trabalho:

  • O TerraformCLI da HashiCorp

  • A Snyk CLI

  • A AWS CLI configurada para operar na região desejada

• Uma função de usuário da AWS com a política AWSCodeCommitPowerUser associada ao usuário

• Uma conta no GitHub para criar um fork e enviar suas edições e commits para um repositório público

Snyk IaC

Depois de configurar o ambiente, o workshop mostra como usar a Snyk para detectar e corrigir uma configuração incorreta de IaC. Para criar IaC com problemas de segurança, você pode clonar um repositório com uma instância EC2 configurada incorretamente. Em seguida, execute Snyk IaC digitando um único comando no repositório do AWS CodeBuild. Em poucos segundos, você verá três problemas de segurança de gravidade média e informações contextuais sobre cada um.

Em seguida, aprenda a corrigir as configurações incorretas de IaC seguindo as orientações de correção integradas à ferramenta. Por fim, sincronize esses resultados com a Snyk para manter a interface da Snyk atualizada.

HashiCorp Terraform

Nesta etapa, o workshop inclui um exercício com o HashiCorp Terraform, usando a mesma instância EC2 com os três problemas de gravidade média. Primeiro, você verá como integrar o Terraform Cloud, a AWS e a Snyk para que funcionem em conjunto. Depois, poderá examinar uma ramificação de um repositório existente e ver como o Terraform aparece na CLI nativa.

Em seguida, você poderá acessar o Terraform Cloud e executar um comando plan para ver as próximas alterações e aprender a corrigir com a Snyk os três problemas de gravidade média.

Principais aprendizados deste workshop

Ao longo do workshop, especialistas da AWS, Snyk e HashiCorp demonstram o poder da colaboração. Veja como essas ferramentas diferentes, mas igualmente poderosas, podem ser usadas para criar um pipeline automatizado de infraestrutura como código segura. Cada ferramenta — AWS CodeBuild, HashiCorp Terraform e Snyk IaC — torna o pipeline de IaC mais automatizado, ágil e seguro. Confira alguns dos principais aprendizados do workshop:

• O Terraform é uma ferramenta indispensável para implantar IaC. Com ele, basta alguns segundos para implantar recursos da AWS. Fica claro que as ferramentas automatizadas de IaC vieram para ficar: elas superam o provisionamento manual em velocidade e precisão.

• Configurações incorretas de IaC são comuns. Por mais poderosas que sejam as ferramentas de IaC, elas ainda não detectam problemas de segurança comuns. Neste workshop, a Snyk IaC sinaliza algumas vulnerabilidades de gravidade média em IaC. Esses problemas mostram que as configurações em um ambiente de IaC costumam ser inseguras por padrão.

• As ferramentas de segurança precisam se integrar aos fluxos de trabalho dos desenvolvedores. Detectar e corrigir riscos deve exigir o mínimo de tempo e esforço. Afinal, as equipes de desenvolvimento já têm muitas outras tarefas. Neste workshop, basta digitar um único comando para iniciar uma análise de segurança. E os resultados ficam prontos em segundos.

• Orientações para correção são essenciais nas ferramentas de segurança. As ferramentas precisam ir além de apenas sinalizar configurações incorretas. Elas também devem fornecer instruções passo a passo para que os desenvolvedores possam aplicar as correções com facilidade e voltar logo a programar.

Para saber mais sobre como automatizar e proteger IaC com HashiCorp, Snyk e AWS, confira este AWS Immersion Day recente. Você também pode acompanhar a versão em texto, com instruções passo a passo do workshop!