Infrastructure-as-Code (IaC) revolutionerer den moderne it-infrastrukturs ansigt og gør den mere sikker, omkostningseffektiv og ydeevneeffektiv.
Som et resultat er adoptionen af IaC-teknologi hastigt stigende i det industrielle rum. Organisationer er begyndt at udvide deres muligheder for at klargøre og implementere cloudmiljøer. Det har forankrede teknologier som Terraform, Azure Resource Manager-skabeloner, AWS Cloud Formation-skabeloner, OpenFaaS YML og mere.
Tidligere krævede opsætning af en infrastruktur stabling af håndgribelige servere, datacentre til at huse hardware, konfiguration af netværksforbindelser og andet. Men nu er alt dette muligt med trends som cloud computing, hvor processerne tager kortere tid.
IaC er en af nøglekomponenterne i denne voksende trend, og lad os forstå, hvad det handler om.
Indholdsfortegnelse
Forståelse af IaC
Infrastructure-as-Service (IaC) bruger avanceret beskrivende kodning til at automatisere levering af it-infrastruktur. Med denne automatisering har udviklere ikke længere brug for manuel styring og drift af servere, databaseforbindelser, operativsystemer, storage og mange andre elementer, mens de udvikler, implementerer eller tester software.
Automatisering af infrastruktur er blevet afgørende for virksomheder i disse dage, hvilket gør dem i stand til at implementere et stort antal applikationer ret ofte.
Årsag – acceleration af forretningsprocesser, reduktion af risici, kontrol af omkostninger, stramning af sikkerheden og effektiv reaktion på nye konkurrencemæssige trusler. IaC er faktisk en uundværlig DevOps-praksis til at fremme en hurtig applikationsleveringslivscyklus ved at give teamene mulighed for at bygge og versionere softwareinfrastruktur effektivt.
Men da IaC er så robust, har du et stort ansvar for at styre sikkerhedsrisici.
Ifølge TechRepublicfandt DivvyCloud-forskere ud af, at databrud på grund af fejlkonfiguration i skyen kostede 5 billioner USD i 2018-19.
Derfor kan undladelse af at følge den bedste praksis føre til sikkerhedshuller som kompromitterede cloudmiljøer, hvilket kan føre til problemer som:
Netværkseksponeringer
Usikre IaC-praksis kan skabe grundlag for onlineangreb. Eksempler på nogle IaC-fejlkonfigurationer er offentligt tilgængelig SSH, cloud storage-tjenester, internettilgængelige databaser, konfiguration af nogle åbne sikkerhedsgrupper og mere.
Driftende konfiguration
Selvom dine udviklere følger den bedste IaC-praksis, kan dit driftsteam blive tvunget til at ændre konfigurationen i produktionsmiljøet direkte på grund af nogle nødsituationer. Men infrastruktur må aldrig ændres, efter du har implementeret den, fordi den bryder cloud-infrastrukturens uforanderlighed.
Uautoriserede privilegerede eskalationer
Organisationer bruger IaC til at køre cloud-miljøer, der kan omfatte softwarecontainere, mikrotjenester og Kubernetes. Udviklere bruger nogle privilegerede konti til at udføre cloud-applikationer og anden software, hvilket introducerer privilegerede eskaleringsrisici.
Overtrædelser af overholdelse
Umærkede ressourcer, der er oprettet ved hjælp af IaC, kan føre til spøgelsesressourcer, hvilket forårsager problemer med at visualisere, detektere og opnå eksponering i det rigtige skymiljø. Som følge heraf kan der forekomme drift i skystillingen, som kan forblive uopdaget i længere perioder og kan føre til overtrædelser af overholdelse.
Så hvad er løsningen?
Nå, du skal sikre dig, at ingen sten er uvendt, mens du bruger IaC, så det ikke åbner døren for mulige trusler. Udvikle bedste IaC-praksis for at afbøde disse problemer og udnytte teknologien fuldt ud.
En måde at opnå dette på er ved at bruge en effektiv sikkerhedsscanner til at finde og rette fejlkonfiguration i skyen og andre sikkerhedshuller.
Hvorfor scanne IaC for sårbarheder?
En scanner følger en automatiseret proces for at scanne forskellige elementer af en enhed, applikation eller netværk for mulige sikkerhedsfejl. For at sikre, at alt er let luftigt, skal du udføre regelmæssige scanninger.
Fordele:
Øget sikkerhed
Et anstændigt scanningsværktøj bruger den nyeste sikkerhedspraksis til at afbøde, adressere og rette onlinetrusler. På denne måde kan din virksomhed og kundes data beskyttes.
Omdømmesikkerhed
Når en organisations følsomme data bliver stjålet og besiddet af de forkerte hænder, kan det forårsage enorme omdømmeskader.
Overholdelsestilsyn
Al din organisatoriske praksis skal falde ind under overholdelse for at fortsætte med at drive din virksomhed. Smuthuller i sikkerheden kan kompromittere det og trække en virksomhed ud i alvorlige omstændigheder.
Så lad os uden videre finde ud af nogle af de bedste scanningsværktøjer til at tjekke IaC for sårbarheder.
Checkov
Sig nej til cloud-fejlkonfigurationer ved at bruge Checkov.
Det er til at analysere statiske koder for IaC. For at opdage cloud-fejlkonfigurationer scanner den din cloud-infrastruktur, som administreres i Kubernetes, Terraform og Cloudformation.
Checkov er en Python-baseret software. Derfor bliver skrivning, administration, koder og versionskontrol enklere. Checkovs indbyggede politikker dækker bedste praksis for overholdelse og sikkerhed for Google Cloud, Azure og AWS.
Tjek din IaC på Checkov og få output i forskellige formater, inklusive JSON, JUnit XML eller CLI. Det kan håndtere variabler effektivt ved at bygge en graf, der viser dynamisk kodeafhængighed.
Hvad mere er, letter det inline undertrykkelse for alle de risici, der accepteres.
Checkov er open source og enkel at bruge ved at følge disse trin:
- Installer Checkov fra PyPI ved hjælp af pip
- Vælg en mappe, der indeholder Cloudformation- eller Terraform-filer som input
- Kør scanning
- Eksporter resultatet til CLI print med farvekodning
- Integrer resultatet til dine CI/CD-pipelines
TFLint
En Terraform linter – TFLint er fokuseret på at kontrollere mulige fejl og giver den bedste sikkerhedspraksis.
Selvom Terraform er et fantastisk værktøj til IaC, validerer det muligvis ikke udbyderspecifikke problemer. Det er her, TFLint er praktisk for dig. Få dette værktøjs seneste udgivelse til din cloud-arkitektur for at løse sådanne problemer.
For at installere TFLint skal du bruge:
- Chokolade til Windows
- Homebrew til macOS
- TFLint via Docker
TFLint understøtter også flere udbydere gennem plugins såsom AWS, Google Cloud og Microsoft Azure.
Terrafirma
Terrafirma er et andet værktøj til statisk kodeanalyse, der bruges til Terraform-planer. Den er designet til at opdage fejlkonfigurationer af sikkerheden.
Terrafirma leverer output i tfjson i stedet for JSON. For at installere det, kan du bruge virtualenv og hjul.
Accurics
Med Accuricshar du en stor chance for at beskytte din cloud-infrastruktur mod fejlkonfigurationer, potentielle databrud og overtrædelser af politikker.
Til dette udfører Accurics kodescanning for Kubernetes YAML, Terraform, OpenFaaS YAML og Dockerfile. Derfor kan du opdage problemer, før det alligevel kan hæmme dig og tage løsninger på din cloud-infrastruktur.
Ved at køre disse kontroller sikrer Accurics, at der ikke er nogen drift i infrastrukturkonfigurationen. Beskyt hele cloud-stakken, inklusive softwarecontainere, platforme, infrastruktur og servere. Fremtidssikre din DevOps-livscyklus ved at håndhæve overholdelse, sikkerhed og styring.
Eliminer drift ved at registrere ændringer i din klargjorte infrastruktur, hvilket muligvis skaber holdningsdrift. Få fuld stack synlighed i realtid, defineret via kode på tværs af din infrastruktur, og opdater koder for at gendanne skyen eller afspejle autentiske ændringer.
Du kan også underrette dine udviklere om et problem ved at integrere med effektive workflow-værktøjer som Slack, webhooks, e-mail, JIRA og Splunk. Det understøtter også DevOps-værktøjer, inklusive GitHub, Jenkins og mere.
Du kan bruge Accurics i form af en cloud-løsning. Alternativt kan du downloade dens selv-hostede version afhængigt af kravene i din organisation.
Du kan også prøve deres open source Terrascansom er i stand til at scanne Terraform mod 500+ sikkerhedspolitikker.
CloudSploit
Reducer sikkerhedsrisici ved at scanne Cloudformation-skabeloner inden for få sekunder ved at bruge CloudSploit. Den kan scanne over 95 sikkerhedssårbarheder på tværs af 40+ ressourcetyper bestående af en bred vifte af AWS-produkter.
Det kan registrere risici effektivt og implementere sikkerhedsfunktioner, før du lancerer din cloud-infrastruktur. CloudSploit tilbyder plugin-baserede scanninger, hvor du kan tilføje sikkerhedstjek ved ressourcetilføjelse af AWS til Cloudformation.
CloudSploit giver også API-adgang for din bekvemmelighed. Desuden får du en træk-og-slip-funktion eller indsætter en skabelon for at modtage resultater i løbet af få sekunder. Når du uploader en skabelon til scanneren, sammenligner den hver ressourceindstilling med uidentificerede værdier og producerer resultatet – advarsel, bestået eller mislykket.
Desuden kan du klikke på hvert resultat for at se den berørte ressource.
Konklusion
Infrastructure-as-Code får god hype i branchen. Og hvorfor ikke, det har medført betydelige ændringer i it-infrastrukturen, hvilket gør den stærkere og bedre. Men hvis du ikke praktiserer IaC med forsigtighed, kan det føre til sikkerhedshuller. Men bare rolig; bruge disse værktøjer til at scanne IaC for sårbarheder.
Vil du lære Terraform? Tjek dette ud online kursus.