Guía completa para iniciar una Transformación DevSecOps exitosa
DevSecOps está de moda en estos días, sin embargo todavía hay una gran área gris en lo que a garantizar la seguridad de su plataforma, infraestructura y aplicaciones se refiere. Esta guía tiene como objetivo proporcionar todo lo que se necesita saber sobre cómo planificar el cumplimiento y cómo implementar una transformación DevSecOps con una estrategia nativa de la nube.
Iniciando con DevSecOps
Un cambio cultural y técnico hacia una estrategia DevSecOps permite que las empresas manejen mejor los riesgos de seguridad en tiempo real. En lugar de ser un impedimento para la agilidad, los equipos de seguridad deben verse como un activo útil que puede evitar retrasos. La identificación temprana de una aplicación mal construida e incapaz de escalar en la nube, por ejemplo, le ahorra a las organizaciones tiempo, recursos y dinero.
La escalabilidad en la nube requiere una gama más amplia de medidas de seguridad. A medida que las organizaciones impulsadas por la tecnología se expanden rápidamente, se requiere el modelado continuo de amenazas y el control de las compilaciones del sistema. Con esto en mente, es fácil ver por qué el análisis de código, el cambio de administración, el monitoreo de cumplimiento, la investigación de amenazas, la evaluación de vulnerabilidades y la capacitación en seguridad son componentes esenciales de un enfoque DevSecOps.
Si aún no lo has hecho, ahora es el momento de combinar tus objetivos de seguridad con DevOps y adoptar las mejores prácticas de DevSecOps utilizando “Security as Code”.
Adopción DevSecOps
La mayoría de las empresas de DevOps contemporáneas dependen de una combinación de tecnologías de integración e implementación continuas en forma de una canalización de estas (CI / CD). Una estrategia de pipeline es un excelente punto de partida para una variedad de tareas de validación y pruebas de seguridad automatizadas que no requieran el trabajo manual de un operador humano.
Antes incluso de que se produzca la primera línea de código se pueden comenzar a incluir objetivos de seguridad en el desarrollo inicial de una aplicación. Durante la idea básica del sistema, la aplicación o la narrativa del usuario individual, se puede incluir la seguridad y puede comenzar un modelado de amenazas efectivo. Cada vez que un desarrollador verifica el código se pueden usar análisis estáticos, linters y motores de políticas para asegurarse de que se resuelva cualquier problema antes de que los cambios avancen.
El análisis de la composición del software se puede utilizar de manera integral para garantizar que las dependencias de código abierto estén libres de vulnerabilidades y cuenten con las licencias adecuadas. Los desarrolladores tienen un sentido de propiedad por la seguridad de sus aplicaciones como resultado de esto y reciben retroalimentación instantánea sobre la seguridad relativa del código que han creado.
Se pueden comenzar a utilizar las pruebas de integración de seguridad una vez que el código se haya incorporado y compilado. Es posible realizar pruebas automatizadas de llamadas de red, validación de entrada y autorización cuando el código se ejecuta en un contenedor aislado. Estas pruebas brindan retroalimentación inmediata, lo que permite una iteración rápida y la clasificación de cualquier problema que surja mientras causan la menor cantidad de interrupciones en el flujo general. Si las pruebas fallan debido a llamadas de red inexplicables o entradas no higienizadas, la canalización produce comentarios procesables en forma de informes y alertas a los equipos apropiados.
Después de pasar la primera batería de pruebas de integración, el artefacto de implementación avanza al siguiente nivel: el de pruebas de integración. Es entonces que se implementará en una caja de arena más grande una versión reducida del entorno de producción final. También es posible que se realicen más pruebas de integración de seguridad en este punto, pero con un objetivo diferente en mente.
En este punto es posible probar cosas como el registro adecuado y los controles de acceso. ¿El programa registra adecuadamente las métricas de seguridad y rendimiento relevantes? ¿El acceso está restringido a un grupo específico de personas (o se niega por completo)? El fracaso conduce a que los elementos de acción se envíen una vez más a los equipos correspondientes.
Finalmente, la aplicación se lanza a la naturaleza mientras DevSecOps, por otro lado, continúa trabajando con diligencia. La administración de parches y configuración está automatizada para garantizar que el entorno de producción siempre tenga las versiones más recientes y seguras de las dependencias de software. La infraestructura inmutable, en teoría, significa que todo el entorno a menudo se descompone y reconstruye y que todo el flujo está continuamente expuesto a una batería de pruebas.
El uso de una canalización de DevSecOps CI / CD le permite a los equipos incorporar objetivos de seguridad en cada fase sin introducir burocracia y controles innecesarios, lo que le permite retener la entrega rápida de valor comercial.
Cómo puedes iniciar tu implementación DevSecOps
DevSecOps necesita la división de responsabilidades de seguridad entre los equipos de desarrollo y operaciones; implica proporcionar información y herramientas de seguridad a los trabajadores de desarrollo, DevOps y TI para que los riesgos puedan identificarse y eliminarse tan pronto como sea posible. Las empresas en un viaje de transformación digital pueden utilizar DevSecOps de diversas formas:
1) Analizar el código de la interfaz
Debido a la gran cantidad de vulnerabilidades documentadas y preocupaciones de seguridad, los ciberdelincuentes optan por apuntar al código de front-end. Es necesario utilizar canalizaciones de CI / CD para descubrir problemas de seguridad con anticipación y alertar a los desarrolladores para que puedan resolver el problema. Una buena práctica para incluir en su flujo de trabajo sería verificar que no se haya insertado ningún código malicioso; los contenedores son un método fantástico para verificar la inmutabilidad.
2) Asegurar los datos sensibles
En la actualidad, existen varias tecnologías de código abierto que pueden exponer información de identificación personal (PII), secretos y claves de acceso, entre otras cosas. Una simple verificación de datos confidenciales puede ahorrarle mucho tiempo y dinero: una credencial filtrada en un repositorio de GitHub podría significar un desastre para sus datos e infraestructura.
3) Uso de extensiones IDE
Los desarrolladores utilizan entornos de desarrollo integrados y editores de texto para generar y cambiar código. ¿Por qué no utilizar extensiones de código abierto para buscar vulnerabilidades en directorios y contenedores locales? ¡Los problemas de seguridad no se pueden detectar mucho antes en el SDLC que eso!
4) Integra la seguridad en tu CI/CD
Jenkins, GitLab CI, Argo y otras tecnologías de integración continua / implementación continua de código abierto están disponibles. Una o más de estas soluciones de seguridad deben integrarse en las canalizaciones CI / CD actuales y futuras. Las alertas y los eventos serían una excelente adición a una buena solución, ya que permitirían a los desarrolladores abordar el problema de seguridad antes de lanzar cualquier cosa a producción.
5) Vuélvete nativo de la nube
Los contenedores, como se señaló anteriormente, pueden ser un enfoque fantástico para asegurar la inmutabilidad. Cuando estos se utilizan junto con una tecnología de orquestación sólida como Kubernetes, tienen el potencial de alterar radicalmente la forma en que operamos las aplicaciones distribuidas. Existen varias ventajas para “convertirse en nativos de la nube”, así como múltiples formas para que las empresas aseguren sus aplicaciones nativas de la nube y protejan sus datos e infraestructura.
De DevOps a DevSecOps
DevOps y DevSecOps se rigen por los principios de CALMS (por sus siglas en inglés):
- Cultura: una cultura de colaboración, enfoque en las personas y adopción del cambio.
- Automatización: automatice siempre que sea posible los elementos rutinarios de trabajo, integración y pruebas.
- Lean Flow: adherencia a los principios de desarrollo de productos Lean y las formas ágiles de trabajar.
- Medición: medir lo que importa para mejorar el producto y los procesos.
- Compartir: una cultura de compartir información, responsabilidad compartida y propiedad.
Entonces, ¿cómo puede una organización dar el salto de “DevOps” a “DevSecOps”? No es tan simple como entregar una lista de KPI de seguridad a un personal de DevOps que ya está sobrecargado de trabajo y que este se encargue de terminarlo. Debe ser una cultura centrada en la seguridad colaborativa y compartida.
Si la meta es la integración temprana de los objetivos de seguridad, esta debe estar tan alineada con los procesos de desarrollo como sea posible. Los desarrolladores deben ser responsables de incorporar equipos y objetivos de seguridad en el flujo de valor. Agregarle esta responsabilidad de seguridad a los equipos puede aumentar potencialmente el tiempo de desarrollo general; sin embargo, esto ahorrará tiempo de comercialización al incluir la estrecha integración entre desarrollo y seguridad.
Los ingenieros de seguridad deben estar incluidos en las conversaciones durante la fase de planificación, especialmente cuando se trata de infraestructura, con autoridad para rechazar decisiones deficientes / inseguras y, al mismo tiempo, estar lo suficientemente informados para proponer alternativas. Los equipos de seguridad sobrecargados con frecuencia dicen “no” y delegan la búsqueda de alternativas a los equipos de DevOps. Esto, una vez más, se reduce a proporcionar a las empresas de seguridad los recursos adecuados.
Los objetivos de seguridad se han integrado estrechamente en la infraestructura como resultado de la colaboración temprana y frecuente entre la seguridad y DevOps. Una colaboración completa y exitosa entre seguridad, desarrollo y operaciones dará como resultado características y aplicaciones que se entregan a producción. El personal de seguridad no tendrá que suplicar a los equipos de desarrollo por nuevas funciones o auditorías posteriormente, sabrán que fueron incluidos desde el principio.
Si tu empresa ha adoptado DevSecOps, ya sabe que no solo está iterando rápidamente y deleitando a sus consumidores con nuevas características y funcionalidades mejoradas, sino que también está brindando esa experiencia con un alto grado de seguridad.
Los beneficios de DevSecOps
Las dos ventajas importantes de DevSecOps son la velocidad y la seguridad. Los equipos de desarrollo producen un código mejor y más seguro, más rápido y, como resultado, a un menor costo. Sin embargo, repasemos cinco puntos principales que hacen de DevSecOps una opción perfecta para su viaje de transformación digital:
1) Entrega de software rápida y rentable
Cuando el software se crea fuera de un entorno DevSecOps los problemas de seguridad pueden causar retrasos importantes, y la reparación de fallas de seguridad y codificación puede llevar mucho tiempo y ser costosa. La entrega rápida y segura de DevSecOps ahorra tiempo y dinero al reducir la necesidad de repetir un procedimiento para solucionar problemas de seguridad después de que ocurran. Debido a que la seguridad integrada elimina revisiones redundantes y reconstrucciones innecesarias, esto se vuelve más eficiente y rentable, lo que resulta en un código mejor seguro.
2) Seguridad proactiva mejorada
DevSecOps comienza el ciclo de desarrollo con protocolos de ciberseguridad implementados. El código se revisa, audita, escanea y prueba para detectar vulnerabilidades de seguridad a lo largo del ciclo de desarrollo. Tan pronto como se descubren estos problemas, se remedian. Antes de agregar más dependencias, se abordan los problemas de seguridad. Cuando la tecnología preventiva se encuentra e instala al principio del ciclo, los problemas de seguridad se vuelven menos costosos de reparar.
Además, la coordinación mejorada entre los equipos de desarrollo, seguridad y operaciones aumenta el tiempo de respuesta de una organización a incidentes y problemas. Los métodos DevSecOps acortan el tiempo que lleva parchar las vulnerabilidades, lo que permite a los equipos de seguridad concentrarse en otras tareas esenciales. Estos métodos ayudan a asegurar y simplificar el cumplimiento, evitando la necesidad de modificar los proyectos de desarrollo de aplicaciones por motivos de seguridad.
3) Parcheo acelerado de vulnerabilidades de seguridad
Una de las ventajas más importantes de DevSecOps es la rapidez con la que maneja las vulnerabilidades de seguridad recién descubiertas. La capacidad de descubrir y reparar vulnerabilidades y exposiciones comunes (CVE) se ve perjudicada a medida que DevSecOps integra la detección de vulnerabilidades y el parcheo en el ciclo de lanzamiento. Esta integración reduce la cantidad de tiempo que tienen las amenazas para aprovechar las fallas en los sistemas de producción de cara al público.
4) Automatización compatible con el desarrollo moderno
Si una empresa utiliza una canalización de integración / implementación continua para entregar su producto, las pruebas de ciberseguridad pueden incluirse en un conjunto de pruebas automatizadas para los equipos de operaciones.
Los objetivos del proyecto y de la organización tienen un impacto significativo en la automatización de los controles de seguridad. Las pruebas automatizadas pueden verificar que las dependencias de software incluidas están parcheadas en los niveles adecuados y que las pruebas de la unidad de seguridad tengan éxito. También puede utilizar un análisis estático y dinámico para probar y asegurar el código antes de lanzarlo a producción.
5) Un proceso repetible y adaptativo
Las posturas de seguridad de las organizaciones mejoran a medida que pasa el tiempo. Los procedimientos repetibles y adaptables son ideales para DevSecOps. A medida que el entorno evoluciona y se adapta a los nuevos requisitos, esto garantiza que la seguridad se implemente de manera uniforme en todos los ámbitos. La automatización, la gestión de la configuración, la orquestación, los contenedores, la infraestructura inmutable e incluso los entornos informáticos sin servidor son características de una implementación de DevSecOps madura.
Mejores prácticas de DevSecOps
La seguridad debe integrarse en las canalizaciones de DevOps para las organizaciones que desean unir las operaciones de TI, el personal de seguridad y los desarrolladores de aplicaciones. En lugar de adaptar la seguridad más adelante en el ciclo, el objetivo es convertirla en un componente vital del flujo de trabajo de desarrollo de software. Aquí hay algunas cosas que se deben tener en cuenta para que este proceso sea más fluido: la automatización es útil, no hay que tener miedo de usar DevSecOps para obtener la máxima eficiencia y asegúrese de realizar el modelado de amenazas.
DevOps tiene que ver con la velocidad, y eso no tiene por qué perderse simplemente porque la seguridad se agrega a la mezcla. Puede asegurarse de que sus aplicaciones se entreguen rápidamente mediante la incorporación de controles de seguridad automatizados y pruebas al principio del ciclo de desarrollo.
Los flujos de trabajo solo se vuelven más seguros como resultado de estos esfuerzos. Se pueden detectar las vulnerabilidades de seguridad con anticipación utilizando herramientas que escanean el código a medida que se crea.
Los ejercicios de modelado de amenazas pueden ayudar a identificar las debilidades de sus activos y cerrar cualquier brecha en las medidas de seguridad. Dynamic Data Safeguards de Forcepoint puede ayudar a determinar los eventos de mayor riesgo que ocurren en toda su infraestructura e incorporar la protección adecuada en sus flujos de trabajo de DevSecOps.
A continuación, se muestran algunos ejemplos específicos de prácticas de DevSecOps que pueden ayudar en el viaje de transformación:
1) Desplázate a la izquierda
El lema de DevSecOps es ‘cambiar a la izquierda’: anima a los desarrolladores de software a transferir la seguridad desde la derecha (final) del proceso de DevOps (entrega) hacia la izquierda (inicio). La seguridad está incluida en el proceso de desarrollo desde el principio en un entorno DevSecOps. Cuando una empresa emplea DevSecOps, sus arquitectos e ingenieros de ciberseguridad se integran en el equipo de desarrollo y estos deben asegurarse de que todos los componentes y elementos de configuración de la pila están parchados, protegidos y documentados.
Desplazarse a la izquierda ayuda al equipo de DevSecOps a descubrir problemas de seguridad y exposiciones con anticipación y responder a ellos rápidamente. Esto significa que el equipo de desarrollo no solo puede pensar en cómo construir el producto rápidamente, sino que también está pensando en la seguridad.
2) Educación
La ingeniería y el cumplimiento van de la mano cuando se trata de seguridad. Para garantizar que todos en la organización conozcan la postura de seguridad de la empresa y sigan los mismos estándares, las organizaciones deben crear una alianza entre ingenieros de desarrollo, equipos de operaciones y equipos de cumplimiento.
Los conceptos básicos de seguridad de aplicaciones, los 10 principales proyectos de seguridad de aplicaciones web abiertas (OWASP), las pruebas de seguridad de aplicaciones y otras técnicas de ingeniería de seguridad deben ser familiares para todos los involucrados en el proceso de entrega. Los desarrolladores deben estar familiarizados con los modelos de subprocesos y las comprobaciones de cumplimiento que evalúan el riesgo, exponen vulnerabilidades y aplican medidas de seguridad.
3) Fomento de una cultura del buen trabajo
El buen liderazgo genera una cultura organizacional positiva que fomenta el cambio. Es fundamental en DevSecOps transmitir la seguridad de los procesos y las responsabilidades de propiedad del producto. Solo entonces los desarrolladores e ingenieros pueden apropiarse de su trabajo y convertirse en propietarios de procesos.
Los equipos de operaciones de DevSecOps deben diseñar un sistema que funcione para ellos utilizando tecnologías y protocolos apropiados para su equipo y proyecto. Permitir que el equipo elija el entorno de flujo de trabajo que mejor se adapte a sus necesidades los convierte en interesados directos en el éxito del proyecto.
4) Auditabilidad, trazabilidad y visibilidad
La incorporación de la trazabilidad, la auditabilidad y la visibilidad en un proceso de DevSecOps genera más información y un lugar de trabajo más seguro.
La auditabilidad es fundamental para garantizar que se sigan los controles de seguridad. Todos los miembros del equipo deben seguir medidas de seguridad técnicas, procedimentales y administrativas auditables y bien documentadas.
Se pueden monitorear los elementos de configuración a lo largo del ciclo de desarrollo, hasta donde se implementan los requisitos en el código, con trazabilidad. Este puede ser un elemento importante de la arquitectura de control de su organización, ya que ayuda en el cumplimiento, la reducción de errores, el desarrollo de código seguro y el mantenimiento del código.
En general, la visibilidad es una buena práctica de gestión, pero es más crítica en un entorno DevSecOps. Esto implica que la empresa tiene un sistema de monitoreo sólido para rastrear los latidos del corazón de la operación, proporcionar advertencias, crear conciencia sobre los cambios y ataques cibernéticos a medida que ocurren y garantizar la responsabilidad durante la vida útil del proyecto.
Si desea asegurarse de que su transformación de DevSecOps vaya bien, ¡la consultoría de DevSecOps de Sistemas Humanos puede ser de ayuda! Visita nuestro sitio web y asegúrate de que tu organización esté utilizando las mejores prácticas posibles en su trabajo.
