Ниже приведены некоторые рекомендации по безопасности для IaC, которые можно легко интегрировать в жизненный цикл разработки:
Получите видимость инвентаря активов
В процессе работы с IaC необходимо идентифицировать, помечать тегами, отслеживать и поддерживать инвентарь развернутых активов. Ресурсы без тегов следует тщательно контролировать, так как их трудно отслеживать, и они вызывают расхождение конфигураций. При выводе ресурсов из эксплуатации их связанные конфигурации должны быть удалены, а данные — защищены или также удалены.
Выявляйте и устраняйте расхождение сред
В идеале конфигурации в средах разработчиков должны быть единообразными. Но владельцам приложений иногда требуется вносить изменения в свои приложения и базовую инфраструктуру. Без надлежащего мониторинга или инструментов бесконтрольное накопление таких изменений приводит к расхождению конфигураций, что может оставить инфраструктуру незащищенной и создать пробелы в безопасности и комплаенсе.
Защищайте жестко закодированные активы
Конфиденциальные данные, такие как секретные ключи, закрытые ключи, SSH-ключи, ключи доступа/секретные ключи и API-ключи, жестко закодированные в IaC, могут обеспечить легкий доступ к базовым службам или операциям и помочь злоумышленникам перемещаться латерально. Наличие раскрытых учетных данных, распределенных по коду IaC, который фиксируется в системе контроля версий (например, GitHub), может представлять большой риск для организаций.
Защищайте учетные записи разработчиков
Учетные записи разработчиков необходимо защищать от злоумышленников. Важно ужесточать требования к безопасности и отслеживать учетные записи разработчиков, отслеживать изменения в конфигурациях IaC и проверять, что эти изменения санкционированы и намеренны. Несанкционированные изменения могут привести к манипуляциям с шаблонами или конфигурациями IaC, что может повлечь за собой утечку кода.
Ограничьте доступ к средам
Командам безопасности необходима единая точка контроля, которая обеспечивает единообразное управление привилегированными учетными записями, учетными данными и секретами во всех средах разработки и вычислений. Это позволяет им управлять текущим и будущим использованием привилегированных учетных данных, обнаруживать проблемы конфигурации доступа с необходимым контекстом, оптимизировать доступ по идентификаторам и разрешениям, а также последовательно применять политику наименьших привилегий.
Внедряйте защитные барьеры
Команды безопасности должны внедрять облачные защитные барьеры политики, которые включают проверки для защиты мультиоблачных инфраструктур от расхождений конфигураций и отправляют оповещения о нарушениях, обеспечивают соблюдение согласованных политик безопасности на этапе сборки и выполнения, а также предоставляют разработчикам четкие рекомендации о том, как устранять уязвимости и риски. Например, может возникнуть необходимость прервать сборку CI/CD, если определенный порог безопасности не был достигнут.
Мы дали понять одно: IaC может принести огромную пользу вашей организации, но с ним связаны риски безопасности, которые нельзя игнорировать. Чтобы получить максимальную отдачу от IaC, вам нужен партнер по кибербезопасности, который создал решение с учетом концепции DevSecOps, освоил защиту облачных данных и, самое главное, поможет вам извлечь максимум выгоды из инвестиций в IaC. Этим партнером является Zscaler.
