Žmonės dažniausiai atranda tai, kas yra IaC nuskaitymas, kai kas nors sugenda. Debesijos išteklius yra atviras. Saugyklos kibiras yra viešas. Rolė turi leidimus, kurių niekas neprisimena patvirtinęs. Kai komandos atseka problemą, jos dažnai randa tą pačią pagrindinę priežastį: nesaugi infrastruktūra kaip kodas. Infrastruktūra kaip kodas pakeitė infrastruktūros kūrimo būdą, bet ji taip pat pakeitė klaidų mastelį. Viena kartą parašyta ir visur pakartotinai panaudota neteisinga konfigūracija gali skleisti riziką greičiau nei bet kokia rankinė klaida. Ji egzistuoja būtent tam, kad išspręstų šią problemą. Iš esmės tai nėra teorinis klausimas. Tai praktinis klausimas: kaip aptikti nesaugias infrastruktūros apibrėžtis prieš jas diegiant?
Trumpas apibrėžimas: kas tai yra? #
IaC Skenavimas – tai infrastruktūros, kaip kodo šablonų, analizės procesas, siekiant aptikti saugumo konfigūracijos klaidas, politikos pažeidimus ir rizikingus nustatymus prieš infrastruktūros parengimą. Kai žmonės klausia, kas yra IaC nuskaitymo atveju paprasčiausias atsakymas yra toks: jis tikrina kode užrašytus infrastruktūros apibrėžimus, pvz. Terraformas, „CloudFormation“, ARM arba Kubernetes pasireiškia ir nustato saugumo problemas ankstyvoje kūrimo gyvavimo ciklo stadijoje. IaC Skenavimas netiria veikiančios infrastruktūros. Jis tikrina, kas valia bus sukurta, jei kodas bus pritaikytas. Šis skirtumas yra labai svarbus. IaC security Skenavimas perkelia aptikimą į kairę, kur problemas pigiau išspręsti ir jos mažiau linkusios sukelti incidentų.
Kodėl tai svarbu? #
Infrastruktūra anksčiau buvo kuriama rankiniu būdu. Dabar ji apibrėžiama versijų kontroliuojamuose failuose ir diegiama automatiškai. Šis pakeitimas padidina greitį ir nuoseklumą, tačiau taip pat reiškia, kad saugumo klaidos tampa pasikartojančios.
Supratimas, kas yra IaC Skenavimas reikalauja suprasti šią riziką. Neteisingos konfigūracijos, tokios kaip pernelyg liberalūs IAM vaidmenys, viešojo tinklo aprėptis, nešifruota saugykla arba išjungtas registravimas, dažnai nėra pažeidžiamumai tradicine prasme. Tai yra projektavimo trūkumai. Jis sutelktas į šiuos trūkumus. Jis įvertina, ar infrastruktūros apibrėžimai atitinka geriausią saugumo praktiką, organizacijos politiką ir debesijos teikėjų rekomendacijas. IaC Skenavimas padeda komandoms aptikti problemas dar prieš atsirandant debesies ištekliams, o ne po to, kai jie jau išnaudojami.
Ką IaC Skenavimo ieško? #
IaC security Skenavimo metu paprastai ieškoma įvairių gerai žinomų ir pakartotinai išnaudojamų konfigūracijos rizikų. Tai apima viešai prieinamus išteklius, trūkstamą šifravimą, pernelyg didelius leidimus, nesaugias tinklo taisykles, registravimo ar stebėjimo trūkumą ir nesaugius numatytuosius nustatymus. Nė viena iš šių problemų nereikalauja nulinės dienos išnaudojimo. Jos remiasi konfigūracijos klaidomis. Kai klausiama, ką IaC Svarbu suprasti, kad kalbant apie skenavimą, tai ne ketinimų spėjimas. Tai deklaruotos infrastruktūros vertinimas pagal saugumo taisykles. IaC Skenavimas lygina tai, kas parašyta kode, su tuo, kas laikoma saugia arba priimtina.
IaC Skenavimas ir debesies saugumo padėties valdymas #
Dažna painiava dėl to, kas yra IaC Nuskaitymas skiriasi nuo įrankių, kurie nuskaito įdiegtas debesijos aplinkas. Debesijos saugumo padėties valdymo įrankiai analizuoja veikiančią infrastruktūrą. Jie analizuoja apibrėžimus prieš diegimą. Abu yra naudingi, tačiau jų tikslai skirtingi. IaC security Skenavimas pirmiausia apsaugo problemas nuo pasiekimo gamybinėje aplinkoje. Problemos taisymas kode yra greitesnis ir saugesnis nei jos taisymas realioje aplinkoje. IaC Nuskaitymas papildo vykdymo laiko apsaugą, o ne ją pakeičia.
Privalumai DevOps komandoms #
„DevOps“ komandoms šis nuskaitymas skirtas ne sulėtinti procesą. Tai padeda išvengti pakartotinio darbo ir incidentų. Vienas pagrindinių privalumų yra ankstyvas grįžtamasis ryšys. Kūrėjai iš karto mato saugumo problemas, dar rašydami infrastruktūros kodą. Vietoj to, kad saugumo išvados pasirodytų po kelių savaičių, IaC Nuskaitykite paviršius, kai jas lengviausia išspręsti. Dar vienas privalumas – nuoseklumas. IaC security Skenavimas kiekvieną kartą taiko tas pačias taisykles. Tai sumažina priklausomybę nuo genčių žinių ir rankinių peržiūrų. Komandoms nereikia atsiminti kiekvieno debesijos paslaugų teikėjo spąsto. Skenavimas tai daro. Suprasti, kas... IaC Skenavimas taip pat reiškia jo poveikio bendradarbiavimui pripažinimą. Saugumo komandos gali kodifikuoti lūkesčius kaip taisykles, o „DevOps“ komandos išlaiko autonomiją. Rezultatas – mažiau netikėtumų ir paskutinės minutės patvirtinimų. Galiausiai, tai padeda didinti saugumo lygį. Infrastruktūrai augant, rankinė peržiūra to nedaro. Automatizuotas IaC Skenavimo mastai priklauso nuo kodo bazės, o ne nuo darbuotojų skaičiaus.
Kaip tai dera su „DevSecOps“? #
„DevSecOps“ esmė – integruoti saugumą į esamus darbo eigą, o ne pridėti vartus pabaigoje. Tai natūraliai atitinka šį modelį.
Kai komandos supranta, kas yra IaC nuskaitymo metu jie nebemato jo kaip saugumo priedo ir pradeda jį laikyti kokybės kontrolės dalimi. Lygiai taip pat, kaip kodas tikrinamas dėl sintaksės klaidų, infrastruktūros kodas tikrinamas dėl saugumo klaidų. IaC security nuskaitymas leidžia saugumo reikalavimus vykdyti kaip kodą. Tai gerai dera su DevOps automatizavimo principas. IaC Skenavimas tampa dar vienu automatizuotu patikrinimu, kurį reikia sėkmingai atlikti.
Kaip jį integruoti į CI/CD Pipelines? #
Integruojant šį nuskaitymą į CI/CD pipelineyra ta vieta, kur ji suteikia daugiausia vertės. Dažniausias būdas yra paleisti IaC Skenuoti per pull requestsKai pasikeičia infrastruktūros kodas, nuskaitymas atliekamas automatiškai ir praneša apie rezultatus prieš sujungiant pakeitimus. Tai tiesiogiai atsako į praktinį klausimą. IaC skenavimas: problemų aptikimas prieš joms pasiekiant pagrindinį.
Kitas integracijos momentas yra kūrimo etapai. IaC security nuskaitymas gali būti atliekamas kaip dalis pipeline užduotys, nutraukiant kūrimą, jei aptinkama didelės rizikos problemų. Tai užtikrina, kad nesaugios infrastruktūros apibrėžimai niekada nepasiektų diegimo etapų.
Kai kurios komandos taip pat atlieka tokio tipo nuskaitymą vietoje per pre-commit hooksTai dar labiau pastumia aptikimą į kairę. Kūrėjai gauna atsiliepimus prieš kodo platinimą, taip sumažindami vėlesnę trintį. Pagrindinis principas yra nuoseklumas. IaC Skenavimas turi būti automatizuotas ir vykdomas. Esant spaudimui, pasirenkamieji skenavimai ignoruojami. Privalomas IaC Nuskaitymas tampa programinės įrangos teikimo dalimi.
Dažni klaidingi supratimai #
Vienas klaidingas supratimas apie tai, kas yra IaC Nuskaitymo privalumas yra tas, kad jis pakeičia debesies saugos įrankius. Taip nėra. Jis anksčiau užkerta kelią problemoms, tačiau vis tiek reikalingos vykdymo laiko kontrolės priemonės.
Dar vienas klaidingas įsitikinimas yra tas, kad tai naudinga tik saugumo komandoms. Iš tikrųjų, daugiausia naudos gauna „DevOps“ komandos. Mažiau atšaukimų, mažiau incidentų ir mažiau avarinių sprendimų – visa tai lemia efektyvus IaC security skenavimas.
Kai kurie tiki, kad IaC Skenavimas sugeneruos per daug klaidingai teigiamų rezultatų. Tai dažniausiai nutinka, kai taisyklės nėra suderintos su organizacijos rizikos modeliu. Kaip ir bet kuri saugumo kontrolė, ją reikia kalibruoti.
Apribojimai IaC Skenavimo #
Suprasti ką IaC Skenavimas taip pat reiškia supratimą, ko jis negali padaryti. IaC Skenavimas negali aptikti problemų, atsiradusių po diegimo. Jis negali matyti veikimo vykdymo metu. Jis taip pat negali įvertinti rizikų, kurios priklauso nuo išorinio konteksto, kurio nėra kode. Nepaisant to, šie apribojimai nesumažina jo vertės. IaC security Skenavimas skirtas specifinei ir labai dažnai rizikos klasei: nesaugios infrastruktūros apibrėžimams.
Kodėl IaC Skenavimas yra bazinė kontrolė? #
Taigi, kas yra IaC Apie ką iš tikrųjų kalbama apie skenavimą? Reikia pripažinti, kad infrastruktūra yra kodas, o kodas turi būti peržiūrimas automatiškai. Tai suteikia sistemingą būdą aptikti netinkamas konfigūracijas, kol jos netampa incidentais. Tai leidžia saugumo komandoms plėstis, „DevOps“ komandoms veikti greičiau, o organizacijoms sumažinti riziką neaukojant automatizavimo.
An IaC Skenavimas nėra malonus dalykas. Bet kuriai organizacijai, kuri dideliu mastu diegia debesijos infrastruktūrą, IaC security skenavimas yra bazinė kontrolėTeisingai atliktas, jis tampa nematomas, ir būtent tai ir yra esmė.
Tokios platformos kaip Ksigeni paremti šį metodą analizuojant infrastruktūrą kaip kodą ankstyvajame kūrimo gyvavimo cikle ir užtikrinant saugumą guardrails prieš tai, kai netinkamos konfigūracijos pasiekia gamybinę aplinką. Integruodami šį nuskaitymą tiesiai į kūrėjų darbo eigas ir CI/CD pipelineKomandos gali spręsti infrastruktūros riziką ten, kur ją lengviausia ir mažiausiai trikdanti išspręsti. Saugumas geriausiai veikia, kai yra integruotas, automatizuotas ir nuobodus.
