The Secure Developer: retrospectiva de 2021

Se os últimos anos foram um exercício de adaptação, 2021 nos deu tempo para refletir sobre nosso desempenho. O choque da pandemia que dominou 2020 deu lugar a uma perspectiva mais concreta dos desafios que superamos na vida pessoal e profissional.

Como apresentador de The Secure Developer, Guy Podjarny (fundador e presidente da Snyk) nos mostrou de perto como a segurança de aplicações evoluiu. Os 22 episódios deste ano reuniram 23 convidados de diferentes setores para compartilhar suas perspectivas únicas. No episódio de encerramento do ano, Guy conversou com Simon Maple, Field CTO da Snyk, sobre os temas, conselhos e expectativas para o futuro que marcaram os episódios deste ano.

Temas comuns em todo o setor

Ao longo deste ano, os convidados de The Secure Developer trouxeram inúmeros pontos interessantes. Ao refletirem, Guy e Simon identificaram três temas que apareceram na maioria dos episódios do podcast.

Contratação de desenvolvedores para equipes de segurança

O primeiro foi a tendência de contratar desenvolvedores (ou pessoas com experiência em engenharia de software) para formar equipes de segurança. Historicamente, essas equipes eram compostas por especialistas em segurança que, apesar de todo o conhecimento, ficavam distantes do trabalho diário de desenvolvimento. A segurança era mais uma etapa de aprovação para os desenvolvedores, não uma parte integrada do trabalho.

Integrar desenvolvedores à equipe de segurança traz uma grande vantagem. Como explicou Daniel Bryant (diretor de DevRel na Ambassador Labs): “Os desenvolvedores [...] estão assumindo cada vez mais responsabilidade de ponta a ponta. Você mencionou testes e observabilidade. E os desenvolvedores gostam de interagir com as ferramentas de determinada maneira. É preciso encontrar [...] os engenheiros onde eles estão.” (ep. 90)

Uma coisa é tentar ensinar empatia às equipes de segurança, explicando a perspectiva dos desenvolvedores e os desafios que enfrentam. Quando você contrata um desenvolvedor desde o início, isso já vem de fábrica. Não é preciso treinar nem traduzir, porque a equipe de segurança entende naturalmente a perspectiva de quem desenvolve. Isso aumenta o engajamento e abre caminho para que as equipes de desenvolvimento e segurança se integrem com mais eficiência.

Segurança voltada para desenvolvedores

Outro tema importante de 2021 foi a necessidade de as equipes de segurança se adaptarem ao desenvolvimento — e não o contrário. Há poucos anos, as equipes de segurança mitigavam vulnerabilidades listando os problemas no fim do ciclo de desenvolvimento. A separação entre as equipes de desenvolvimento e segurança fazia os desenvolvedores sentirem que os problemas eram deixados para eles resolverem no fim de cada ciclo, enquanto os profissionais de segurança assumiam um papel regulatório (e muitas vezes crítico).

Nos últimos anos, as empresas perceberam que a segurança precisa estar integrada às práticas existentes de SDLC e ser adaptada às necessidades dos desenvolvedores. Mais uma vez, vemos a importância da empatia e da parceria entre desenvolvedores e profissionais de segurança. Dev Akhawe (chefe de segurança da Figma) destacou isso ao falar sobre como abordava questões de segurança com os desenvolvedores. Quando liderava a implantação de chaves de segurança na Figma, ele “costumava pedir desculpas, dizendo: ‘Sinto muito. Ainda não implantamos as chaves de segurança.’ É preciso ter cuidado com phishing. [O] truque que provavelmente tem sido muito eficaz é lembrar que, na verdade, cabe à equipe de segurança garantir que os sistemas que usamos e criamos não apresentem comportamentos inesperados. Em vez de dizer aos desenvolvedores que eles precisam fazer estas cem coisas.” (ep. 88)

Essa mudança não aconteceu em apenas uma direção. O universo das ferramentas para desenvolvedores também reconhece cada vez mais que “segurança não é algo à parte. Toda ferramenta para desenvolvedores tem alguma responsabilidade de incorporar a segurança aos fluxos de trabalho”. À medida que desenvolvimento e segurança se integram, fica claro que, enquanto “a segurança se adapta às ferramentas e práticas de desenvolvimento, os líderes de desenvolvimento também estão abraçando a segurança e pensando na responsabilidade por ela”.

Segurança em escala

O terceiro tema foi a importância de manter a higiene de segurança em escala. Proteger sistemas no ritmo do setor é essencial para o sucesso de uma empresa. Isso significa acertar o básico, não se preparar para ataques cibernéticos dignos de um filme. O equivalente, em AppSec, a trancar portas e janelas costuma ser suficiente para proteger uma empresa contra ataques de baixo nível e prepará-la para agir com eficiência diante de uma vulnerabilidade grave. “Conseguir fazer [o básico] em escala e com rapidez é muito difícil. Quase todos os programas e iniciativas [...] deste ano se concentraram nesse conceito de fazer o essencial direito, em escala e com rapidez.”

Quando os desenvolvedores conhecem os fundamentos para manter seus sistemas seguros, podem preparar estratégias para lidar com problemas maiores — como a recente vulnerabilidade Log4Shell. Enquanto algumas empresas corriam para entender o que havia acontecido e como isso as afetava, outras (com uma estrutura e uma higiene de segurança abrangentes) conseguiram, em grande parte, continuar operando normalmente. “O que vimos na Snyk foi [...] um grande aumento de pessoas adicionando projetos. Então, acho que isso também trouxe [...] mais urgência. Até para quem estava no caminho certo, serviu de lembrete de que é preciso ter [...] visibilidade de todos os projetos. Não dá para fazer essa transição aos poucos, e essa é uma das principais diferenças entre desenvolvimento e segurança.” (ep. 106) Embora as ferramentas de desenvolvimento muitas vezes sejam usadas localmente e ampliadas caso a caso, as soluções de segurança precisam oferecer cobertura ampla desde o início para serem eficazes. Nenhuma das abordagens está errada, mas a Log4Shell e outros incidentes semelhantes nos ensinaram que é arriscado tratar as ferramentas de segurança como trataríamos uma solução de desenvolvimento.

Destaques dos episódios de 2021

A Log4Shell pode ter sido nossa lição mais recente, mas está longe de ser a única que 2021 nos deixou. Confira alguns episódios imperdíveis.

A violação de segurança da Codecov (#1022)

Guy recebeu Jerrod Engelberg, CEO da CodeCov, e Eli Hooten, CTO, para conversar sobre como lidaram com a violação de segurança ocorrida em 2021. O episódio trouxe várias perspectivas sobre como lidar com as prioridades conflitantes de um incidente de segurança. Engelberg e Hooten começaram contando a Guy como a equipe reagiu internamente. Engelberg disse: “Se mesmo um cliente não conseguir receber notícias nossas [...] e tomar a medida adequada, já é um cliente a mais.” A partir daí, a conversa passou da ética da divulgação aos riscos implícitos que precisamos gerenciar como setor. “Sempre existe esse acordo, certo? Podemos tornar esse acordo cada vez mais sofisticado, mas é algo em que penso bastante”, disse Engelberg.

Contêineres, processos e o futuro da segurança (#103)

Liz Rice, diretora de Open Source na Isovalent, apresentou uma introdução ao eBPF e compartilhou suas ideias sobre a importância das redes cloud native. “Estamos vendo uma adoção muito rápida de tecnologias de nuvem. Acho que usar a nuvem será requisito básico para qualquer empresa. Com certeza, não falaremos mais de pioneiros”, disse Rice.

Segurança de aplicações no setor público (#86, #95):

Vários episódios abordaram a crescente adoção de DevSecOps por governos e as semelhanças com empresas de software privadas. Robert Wood, do CMS (Centers for Medicare & Medicaid Services), participou do ep. 95; já Nicolas Chaillan, CSO da Força Aérea dos EUA, participou do ep. 86. Ambos enfrentavam o desafio de levar organizações historicamente independentes a adotar a mentalidade de plataforma necessária para DevOps. Para Wood, isso significa “dar sentido a todos esses dados que acumulamos, porque normalmente temos todas essas atividades de segurança isoladas em silos. Cada uma funciona de forma independente ou [...] gera insights, mas não gera dados que possam ser conectados a outra coisa para produzir insights ainda mais valiosos”.

A conversa de Chaillan com Guy destacou uma das diferenças mais claras entre DevOps nos setores público e privado. Para os governos, as desvantagens de estar na vanguarda são mais evidentes que as vantagens, o que leva à menor tolerância a riscos e à adoção mais lenta características das organizações governamentais. Chaillan acredita que “a cibersegurança vai evoluir. Acho que será muito voltada à capacidade de monitoramento contínuo. Acredito que o grande risco está nas dependências ou nos produtos usados sobre os quais sabemos pouco”.

Temas de interesse para 2022

Ao mesmo tempo que absorvemos as lições deste ano, também tentamos prever o que 2022 nos reserva. Guy pede a todos os convidados que façam exatamente isso e imaginem o futuro do nosso setor no fim de cada episódio. Para encerrar o ano, Simon inverteu os papéis e pediu a Guy sua lista de prioridades e expectativas. No âmbito do setor, três áreas serão essenciais: cadeia de suprimentos, nuvem e novas formas de medir a segurança à medida que ela se torna cada vez mais descentralizada.

Segurança da cadeia de suprimentos

Incidentes envolvendo SolarWinds, CodeCov, Log4Shell e outros mostraram a importância da segurança da cadeia de suprimentos. “Criamos uma rede de dependências entre serviços, componentes e pessoas, e precisamos entender como ela funciona.” À medida que as empresas se tornam cada vez mais interligadas, precisamos unir esforços como setor para definir e enfrentar os riscos da cadeia de suprimentos.

Segurança na nuvem

Tradicionalmente, a segurança na nuvem é vista como uma extensão da segurança de TI. No entanto, provavelmente veremos um reconhecimento cada vez maior de que a nuvem é software e exige ferramentas de segurança no nível do software para proteger informações confidenciais.

Mensuração da AppSec

Medir a segurança é importante porque precisamos relacionar diretamente a atividade do código ao risco. À medida que DevOps continua evoluindo, esses dados serão essenciais para a estratégia de negócios. Correlacionar métricas de disponibilidade com métricas de sucesso dos negócios garante que a segurança continue ganhando espaço e importância.

De forma mais ampla, Guy espera que voltemos a pensar na aplicação como um todo — uma única entidade com muitas partes móveis. Estamos chegando rapidamente a um ponto em que será impossível corrigir todas as vulnerabilidades isoladamente. Por isso, a visão fragmentada da segurança não vai funcionar. Precisamos olhar para as aplicações e para a cadeia de suprimentos como um todo e criar a taxonomia e o conjunto de ferramentas necessários para discutir segurança em um nível mais amplo.

Aqui na Snyk, nosso objetivo é criar ferramentas que tornem a segurança algo natural. Facilitamos o trabalho dos desenvolvedores, ajudando-os a encontrar e corrigir vulnerabilidades em apenas 5 minutos. Conte com a gente para reforçar sua equipe de segurança de aplicações e descobrir o que você pode realizar hoje.