Infrastruktura jako kód (IaC) bezpečnost

TL;DR: Infrastruktura jako kód (IaC) bezpečnost

Bezpečnost infrastruktury jako kód (IaC) je proces zabezpečení vaší cloudové infrastruktury skenováním konfiguračních souborů nebo skriptů napsaných v konkrétních jazycích jako Terraform, CloudFormation, Kubernetes YAML, atd., před nasazením.

Tento proces vám pomůže.

• Zachytit nesprávné konfigurace včas, jako například náhodné otevření nepotřebných portů nebo udělení nadměrného přístupu uživatelům.
• Prosazovat bezpečnostní politiky jako kód v CI/CD pipelinech.
• Snížit riziko narušení cloudu, expozice dat a problémů s dodržováním předpisů způsobených nezabezpečenými konfiguracemi na skriptech.

Cílem bezpečnosti IaC je zajistit, že způsob, jakým budujete svou cloudovou infrastrukturu, je bezpečný.

Co je bezpečnost infrastruktury jako kód (IaC)

Bezpečnost infrastruktury jako kód (IaC) je proces zabezpečení cloudové infrastruktury, která je definována a spravována pomocí konkrétního kódu, jako je Terraform, AWS CloudFormation, Pulumi nebo Kubernetes YAML soubory.

Místo manuálního konfigurování serverů, sítí a cloudových zdrojů pomocí terminálu nebo webového rozhraní, týmy popisují všechny konfigurace v kódu. Bezpečnost IaC zajišťuje, že kód pro budování cloudové infrastruktury je bezpečný, nezavádí nesprávnou konfiguraci, zranitelnosti nebo nadměrná oprávnění před jeho nasazením.

Jednoduše řečeno :

Bezpečnost IaC kontroluje „jak je váš cloud konfigurován a budován“, aby jste neodesílali nezabezpečenou infrastrukturu do produkce.

Proč záleží na bezpečnosti IaC

Když spravujete infrastrukturu pomocí kódu, urychlujete nastavení infrastruktury. Na druhou stranu však můžete také nasadit zranitelnou infrastrukturu ve vaší produkci.

Proč je bezpečnost IaC důležitá:

Chybné konfigurace jsou hlavní příčinou narušení bezpečnosti cloudu.

Příklad: veřejné S3 buckety, otevřené databáze nebo široce otevřené bezpečnostní skupiny vystavující citlivá data na internetu

Jeden špatný řádek v kódu může ovlivnit řadu zdrojů.

Pokud modul Terraform nastaví 0.0.0.0/0 (otevřeno pro všechny) pro přístup, každé prostředí, které ho používá, se stává vystaveným

IaC je součástí dodavatelského řetězce softwaru.

Protože IaC je součástí dodavatelského řetězce softwaru, útočníci mohou proniknout do pipeline a vložit zadní vrátka nebo chybné konfigurace, čímž ohrozí infrastrukturu.

Soulad závisí na správné konfiguraci.

Rámce jako SOC 2, ISO 27001 a PCI DSS spoléhají na bezpečné konfigurace, kontrolu přístupu a logování. Nezabezpečené IaC může narušit soulad.

Jak funguje bezpečnost IaC

Bezpečnost IaC zachycuje zranitelnosti v infrastruktuře před jejím nasazením.

1. Skenování souborů IaC na chybné konfigurace

Nástroje analyzují vaše Terraform, CloudFormation nebo Kubernetes manifesty, aby našly riziková nastavení, jako například:

• Veřejné S3 buckety
• Databáze vystavené veřejnosti.
• Bezpečnostní skupiny s 0.0.0.0/0 (otevřeno pro veřejnost)
• Kontajnery běžící jako root
• Nešifrované úložiště nebo logy

Cíl: zachytit bezpečnostní problémy předtím, než se dostanou do cloudu

2. Prosazování bezpečnostních politik jako kódu

Bezpečnostní pravidla jsou psána jako politiky, například:

• Není povolena žádná veřejná databáze Amazon RDS (Relational Database Service)
• Všechny S3 buckety musí používat šifrování.
• Kubernetes pody nemohou běžet v privilegovaných kontejnerech.

Tyto politiky jsou automaticky vynucovány v CI/CD pipelinech.

Cíl: Udělat bezpečnostní pravidla součástí vašeho vývojového workflow, nikoli dodatečnou myšlenkou.

3. Integrace s CI/CD pipeline

Nástroje pro bezpečnost IaC se integrují do CI/CD, aby automaticky blokovaly nebo varovaly před rizikovými změnami.

Typický průběh:

1. Vývojář provede commit kódu infrastruktury.
2. CI/CD pipeline provede bezpečnostní skenování IaC.
3. Pokud je nalezen kritický problém (např. veřejná databáze), build selže.
4. Vývojář opraví problém před nasazením.

Cíl: Posunout detekci doleva, zachytit problémy včas před nasazením.

4. Mapování na bezpečnostní postoj cloudu

Bezpečnost IaC je často spárována s CSPM (Cloud Security Posture Management)

• CSPM kontroluje, co skutečně běží v cloudu, jako například kontrolu, zda databáze není vystavena internetu, zda je tento úložný bucket šifrován, a tak dále.
• Bezpečnost IaC kontroluje, co se chystá být nasazeno.

Společně poskytují plnou viditelnost infrastruktury v návrhu a běhu.

Běžná rizika bezpečnosti IaC

Příklady problémů, které může bezpečnost IaC detekovat:

• Veřejně vystavené úložiště (např. S3 buckety s veřejným čtením/zápisem)
• Nešifrované databáze, svazky nebo logy
• Příliš permisivní IAM role
• Otevřené bezpečnostní skupiny (0.0.0.0/0 pro SSH/RDP).
• Kubernetes pody běžící s privilegovaným přístupem.
• Hardcoded tajemství v Terraform nebo YAML souborech.

Příklad v praxi

Tým používá Terraform k řízení infrastruktury AWS.

Kontrola bezpečnosti IaC označí:

• Databázi RDS s povoleným veřejným přístupem
• S3 bucket bez šifrování a s veřejným přístupem pro čtení

Místo nasazení této nezabezpečené konfigurace na AWS pipeline selže při sestavení.

Poté musí vývojář:

• Aktualizovat bezpečnostní skupinu pro omezení přístupu
• Povolit šifrování a zablokovat veřejný přístup na S3 bucket.

Výsledek: Nesprávné konfigurace jsou opraveny dříve, než se dostanou do produkce, což snižuje riziko úniku dat.

Kdo používá bezpečnost IaC

• DevOps - píší a udržují šablony IaC
• Cloudoví bezpečnostní inženýři - definují politiky a kontrolují konfigurace.
• Týmy AppSec / DevSecOps - integrují IaC do pipeline
• Týmy pro bezpečnost a shodu - používají zprávy pro audity a správu.

Kdy aplikovat bezpečnost IaC

Bezpečnost IaC by měla být aplikována během celého životního cyklu:

• Během vývoje - pre-commit hooky a pluginy pro IDE.
• Během CI/CD sestavení - automatizované skeny mohou blokovat rizikové změny.
• Před nasazením - kontroly politik pro produkční prostředí.
• Nepřetržitě - znovu skenovat šablony, když se objeví nové pravidla nebo hrozby.

Klíčové schopnosti nástrojů pro bezpečnost IaC

Většina řešení pro bezpečnost IaC poskytuje:

• Politika jako kód: Definujte a spravujte bezpečnostní pravidla pomocí verzování
• Statická analýza IaC: Skenování Terraform, CloudFormation, Kubernetes konfigurace, atd.
• Integrace CI/CD: Github Actions, GitLab CI, Jenkins, atd.
• Detekce špatné konfigurace: Identifikace nezabezpečené konfigurace
• Detekce odchylek (s CSPM): Detekce rozdílů mezi nastavením IaC a živým cloudem.
• Reportování a mapování souladu: Mapování problémů na kontroly a regulace.

Příklady nástrojů: Checkov, Tfsec, Terrascan, nebo pokročilé platformy jako Plexicus ASPM když skenují IaC jako součást postury aplikace/cloudu.

Nejlepší praktiky pro bezpečnost IaC

• Shift left: skenujte IaC brzy, abyste zachytili bezpečnostní problémy před dosažením produkce
• Vyhněte se hardcodovaným tajemstvím (API klíče, tokeny, atd.)
• Prosazujte nejmenší privilegia
• Používejte politiku jako kód pro automatizaci konzistentního prosazování.
• Pravidelně revidujte a aktualizujte politiky podle změn architektury.

Související termíny

• CSPM (Cloud Security Posture Management)
• DevSecOps
• Zero Trust
• Detekce tajemství