Ciberseguridad

Asegurar la infraestructura como código

Algunas organizaciones se están volviendo vulnerables cuando adoptan un enfoque de infraestructura como código. Así se pueden evitar configuraciones erróneas y plantillas inseguras.

código

A medida que las organizaciones adoptan la computación en nube, la tasa de adopción de la infraestructura como código (IaC) sigue aumentando. Al igual que ocurre con muchas nuevas tecnologías, la seguridad a menudo se incorpora deficientemente a la IaC o se olvida por completo. Asegurar la IaC es importante. 

A continuación se explica la mejor manera de hacerlo y los riesgos de descuidar esta actividad de seguridad crítica.

 

¿Qué es la infraestructura como código?

Las formas tradicionales de desplegar la infraestructura implican procesos de adquisición, infraestructura física, largos tiempos de espera y racks de servidores. Incluso con la llegada de la computación en nube, los métodos iniciales de gestión de la infraestructura obligan a realizar click-ops o entrar manualmente en la consola del proveedor de servicios en nube (CSP) e instanciar la infraestructura directamente. Este enfoque es ineficaz, propenso a errores y no es escalable cuando se trata de entornos de nube empresariales.

IaC cambia este paradigma al permitir la codificación y la gestión programática de la infraestructura, al igual que se haría con el código de las aplicaciones tradicionales. Esto significa que se pueden utilizar prácticas como el control de fuentes, el versionado, la reutilización, la portabilidad, la detección de desviaciones y la automatización.

Las versiones populares de IaC incluyen ‘sabores’ específicos de CSP como Cloudformation de AWS o Blueprints de Azure. También hay opciones populares de IaC de terceros, siendo Terraform de HashiCorp la más popular con más de 100 millones de descargas. Las ventajas de un IaC de terceros es que puede utilizarse en varios entornos de CSP.

 

Con la facilidad y la velocidad viene el riesgo

A pesar de todos los beneficios del IaC, existen peligros que debe conocer para evitar introducir riesgos innecesarios en sus entornos de nube. El aprovisionamiento rápido de plantillas de IaC implica la posibilidad de introducir rápidamente configuraciones inseguras y riesgos en todas las empresas. Lo mismo puede decirse de aprovechar las plantillas de IaC disponibles públicamente. Estas plantillas pueden y suelen contener desviaciones de las mejores prácticas de seguridad o configuraciones inseguras.

El Informe sobre amenazas a la nube de la Unidad 42 de Palo Alto, Primavera 2020, descubrió muchos hallazgos alarmantes. A pesar de la capacidad de reforzar la seguridad a través de IaC, las organizaciones a menudo no lo hacían.

Lea el reportaje completo en la revista digital 'CSO'

 


TE PUEDE INTERESAR...

Accede a la cobertura de nuestros encuentros
 
Lee aquí nuestra revista digital de canal

DealerWorld Digital

 

Forma parte de nuestra comunidad
 
¿Interesado en nuestros foros? 

 

Whitepaper