En este artículo vamos a analizar qué es Continous Security, por qué es importante, cómo funciona y cuales son las mejores prácticas para implantar este proceso.
Lo que vas a ver en este post:
¿Qué es la Seguridad Continua?
La Seguridad Continua o Continuous Security es un proceso de creación de seguridad y forma parte del proceso de CI/CD. La mayoría de las organizaciones, especialmente las de alto rendimiento, ya han implementado canalizaciones de CI/CD para hacer que el lanzamiento de software sea más ágil, para crear software de forma automática utilizando herramientas de integración continua, empaquetándolas en imágenes acoplables para que posteriormente, se puedan ejecutar los contenedores en producción usando herramientas de implementación continua como Jenkins o Kubernetes.
La aplicación de los valores de DevOps a la seguridad del software garantiza que la verificación de la seguridad se convierta en una parte activa e integrada del proceso de desarrollo. La seguridad continua asegura continuamente nuestro software e infraestructura.
¿Por qué es importante la Seguridad Continua?
En la actualidad,las aplicaciones necesitan cambios y lanzamientos frecuentes y necesitan un proceso de seguridad continuo que pueda mitigar posibles problemas de seguridad.
La Seguridad Continua nos ayuda a habilitar la seguridad de extremo a extremo, ya que una mayor seguridad, mejora el uso de un producto de software en el mercado. También, ha habido numerosos casos de filtraciones de datos, lo que hace que las brechas de seguridad sean una de las mayores amenazas a las que se enfrentan las organizaciones. La seguridad adecuada en cada paso, se puede conseguir gracias a la seguridad continua.
¿Cómo funciona la Seguridad Continua?
La Seguridad Continua añade una capa adicional en los procesos y la canalización de DevOps para asegurar que todas las aplicaciones e infraestructura oculta no tenga vulnerabilidades y riesgos. Las aplicaciones en la nube son capaces de brindar soporte a los microservicios a través de los contenedores de aplicaciones sin estado.
La Seguridad Continua funciona al incorporar una nueva capa de seguridad en todos los contenedores. Las prácticas DevOps han introducido varios procesos, como la Integración Continua (CI) y la Entrega Continua (CD). Estos procesos permiten una entrega rápida y una prueba adecuada del código durante el proceso de desarrollo.
La seguridad continua funciona administrando varias políticas y pruebas de entrada de aplicaciones de software empleando enfoques ágiles. La filosofía DevSecOps garantiza que la seguridad debe integrarse directamente en el producto. La Seguridad Continua funciona probando la seguridad en paralelo desde el principio hasta el final de una aplicación y los escaneos de seguridad están habilitados junto con la canalización de integración continua para detectar y solucionar problemas de manera continua.
Existen diferentes bucles de retroalimentación continuas que hacen una mejora constante en la seguridad general y son:
Imagen
Los Dockerfiles se tratan como un Blueprint para crear imágenes de Docker. Los Dockerfiles se colocan en VC como Git. Sea siempre explícito con las versiones; no utilice la última. Trate de mantener un número mínimo de capas.
Contenedor
Los contenedores se tratan como inmutables. Hay una separación entre código, configuración y datos.
Seguridad del Registro
Los registros privados se alojan para almacenar imágenes acoplables de forma privada: existe una firma de imagen adecuada que valida lo que hay dentro de la imagen y qué versión se está ejecutando.
Seguridad subyacente del host
Las funciones del kernel, como CGROUPS y Namespaces, se utilizan para proporcionar funciones como el aislamiento de recursos y el aislamiento de procesos. Los contenedores que se ejecutan en un host asumen que el host subyacente tiene la seguridad adecuada. El contenedor utiliza SELinux para los controles de acceso obligatorios. Los montajes de solo lectura están habilitados desde el host hasta el contenedor en ejecución.
Aislamiento de Red
Está habilitado por espacios de nombres de red, que proporcionan aislamiento de recursos. El entorno múltiple se utiliza para DEV, UAT, PROD. Las políticas de red de Kubernetes se utilizan para permitir el tráfico solo desde el mismo espacio de nombres, restringiendo así el área de acceso.
¿Cómo habilitar la seguridad continua?
Para poder habilitar la seguridad continua, se puede realizar de diferentes formas; una de ellas es implantar cambios graduales en la canalización de DevOps, teniendo siempre en cuenta la seguridad.
Se deben utilizar herramientas como Vault para almacenar certificados con M-TLS para el cifrado. También aprovechar herramientas de seguridad y automatización para habilitar DevSecOps e incorporar métricas y alertas sobre todos los incidentes de seguridad, ya sean relacionados con Infraestructura o aplicaciones.
Principales beneficios de implantar la seguridad continua
- Permite reducir riesgos.
- Es de entrega rápida.
- Tiene reaccion de velocidad.
- Posee escalabilidad.
- Solamente se puede acceder a las aplicaciones desde un clúster interno, lo que las convierte en más seguras.
Los mejores métodos que deben desarrollarse al habilitar la seguridad continua en una canalización de DevOps
La seguridad debe implementarse desde el inicio de una idea hasta ejecutarla en producción. Prácticas recomendadas para la seguridad subyacente del host que ejecuta contenedores.
- Ejecutar siempre como un usuario normal.
- Definir solicitudes y límites de recursos.
- El registro debe estar habilitado.
- Realizar un equilibrio entre la sencillez y la seguridad.
- Concentrar las herramientas para implementar todos los procesos y continuar mejorandolos.
Las mejores herramientas para implementar la seguridad continua:
- SysDig seguro
- manopla
- Ciencias de la señal
- Registro – Kibana + Elasticsearch
- Monitoreo – Prometheus en conjunto con Grafana
- Proxy de ataque Zed de OWASP (ZAP)
Conclusión
La adopción de la infraestructura en la nube necesita un nuevo enfoque para las pruebas y la validación en CI/CD que crea la necesidad de que los equipos ágiles trabajen de forma diferente para progresar más rápido, es decir, el modelo DevOps. Por lo tanto, para garantizar que sus compilaciones se implementen de forma segura, la seguridad continua desempeña un papel fundamental.
¿Te gustaría ir más allá de Agile y Devops? Nuestra plataforma de Value Stream Management SENTRIO te ayuda a convertir tus iniciativas digitales en valor de negocio. ¡Solicita una demo gratuita ahora!
