Infrastructure as Code (IaC) Security

TL;DR: Infrastructure as Code (IaC) Security

Infrastructure as Code (IaC) -turvallisuus on prosessi, jossa pilvi-infrastruktuuri suojataan skannaamalla konfiguraatiotiedostot tai skriptit, jotka on kirjoitettu tietyillä kielillä, kuten Terraform, CloudFormation, Kubernetes YAML jne., ennen käyttöönottoa.

Tämä prosessi auttaa sinua.

• Havaitsemaan väärinkonfiguraatiot aikaisin, kuten vahingossa avatut tarpeettomat portit tai liiallinen käyttäjäoikeuksien myöntäminen.
• Varmistamaan tietoturvakäytännöt koodina CI/CD-putkissa.
• Vähentämään pilvimurtojen, tietovuotojen ja vaatimustenmukaisuusongelmien riskiä, jotka johtuvat skriptien turvattomista konfiguraatioista.

IaC-turvallisuuden tavoitteena on varmistaa, että pilvi-infrastruktuurin rakentaminen on turvallista.

Mitä on Infrastructure as Code (IaC) Security

Infrastructure as Code (IaC) -turvallisuus on prosessi, jossa pilvi-infrastruktuuri suojataan, kun se määritellään ja hallitaan tietyn koodin avulla, kuten Terraform, AWS CloudFormation, Pulumi tai Kubernetes YAML -tiedostot.

Sen sijaan, että palvelimet, verkot ja pilviresurssit konfiguroidaan manuaalisesti terminaalin tai verkkoliittymän kautta, tiimit kuvaavat kaikki konfiguraatiot koodissa. IaC-turvallisuus varmistaa, että pilvi-infrastruktuurin rakentamiseen käytetty koodi on turvallinen, eikä se aiheuta väärinkonfiguraatiota, haavoittuvuuksia tai liiallisia oikeuksia ennen käyttöönottoa.

Yksinkertaisesti sanottuna :

IaC-turvallisuus tarkistaa “kuinka pilvesi on konfiguroitu ja rakennettu”, jotta et toimita turvatonta infrastruktuuria tuotantoon.

Miksi IaC-turvallisuus on tärkeää

Kun hallitset infrastruktuuria koodilla, nopeutat infrastruktuurin käyttöönottoa. Mutta toisaalta voit myös ottaa käyttöön haavoittuvan infrastruktuurin tuotantoympäristössäsi.

Miksi IaC-turvallisuus on tärkeää:

Väärinkonfiguraatiot ovat yksi suurimmista pilvipalvelujen tietomurtojen syistä.

Esimerkki: julkiset S3-paketit, avoimet tietokannat tai täysin avoin suojausryhmä, joka paljastaa arkaluontoisia tietoja internetissä.

Yksi väärä koodirivi voi vaikuttaa useisiin resursseihin.

Jos Terraform-moduuli asettaa 0.0.0.0/0 (avoin kaikille) pääsyksi, kaikki ympäristöt, jotka käyttävät sitä, altistuvat.

IaC on osa ohjelmistojen toimitusketjua.

Koska IaC on osa ohjelmistojen toimitusketjua, hyökkääjät voivat tunkeutua putkistoihin lisätäkseen takaovia tai väärinkonfiguraatioita, mikä vaarantaa infrastruktuurin.

Yhteensopivuus riippuu oikeasta konfiguraatiosta.

Kehykset kuten SOC 2, ISO 27001 ja PCI DSS perustuvat turvallisiin konfiguraatioihin, pääsynhallintaan ja lokitukseen. Turvaton IaC voi rikkoa yhteensopivuuden.

Miten IaC-turvallisuus toimii

IaC-turvallisuus havaitsee haavoittuvuudet infrastruktuurissa ennen sen käyttöönottoa.

1. Skannaa IaC-tiedostot väärinkonfiguraatioiden varalta

Työkalut analysoivat Terraform-, CloudFormation- tai Kubernetes-manifestisi löytääkseen riskialttiita asetuksia, kuten:

• Julkiset S3-paketit
• Tietokanta, joka on altistettu julkisesti.
• Suojausryhmät, joissa on 0.0.0.0/0 (avoin julkisesti)
• Kontit, jotka toimivat root-käyttäjänä
• Salaamaton tallennus tai lokit

Tavoite: havaita turvallisuusongelmat ennen kuin ne saavuttavat pilven

2. Toteuta turvallisuuskäytännöt koodina

Turvallisuussäännöt kirjoitetaan käytäntöinä, esimerkiksi:

• Julkista Amazon RDS (Relational Database Service) -tietokantaa ei sallita
• Kaikkien S3-bucketien on käytettävä salausta.
• Kubernetes-podit eivät voi ajaa etuoikeutettuja kontteja.

Nämä käytännöt pannaan automaattisesti täytäntöön CI/CD-putkissa.

Tavoite: Tee turvallisuussäännöistä osa kehitysprosessiasi, ei jälkikäteen.

3. Integroi CI/CD-putkiin

IaC-turvallisuustyökalut integroituvat CI/CD

estääkseen tai varoittaakseen riskialttiista muutoksista automaattisesti.

Tyypillinen kulku:

1. Kehittäjä sitouttaa infrastruktuurikoodin.
2. CI/CD-putki suorittaa IaC-turvallisuusskannaukset.
3. Jos kriittinen ongelma (esim. julkinen tietokanta) havaitaan, rakennus epäonnistuu.
4. Kehittäjä korjaa ongelman ennen käyttöönottoa.

Tavoite: Siirry vasemmalle, havaitse ongelmat aikaisin ennen käyttöönottoa

4. Kartoitus pilviturvallisuuden tilaan

IaC-turvallisuus yhdistetään usein CSPM

(Cloud Security Posture Management)

• CSPM tarkistaa, mitä pilvessä todella toimii, kuten tarkistaa, ettei tietokanta ole altistunut internetille. Onko tämä tallennusbucket salattu? ja niin edelleen.
• IaC-turvallisuus tarkistaa, mitä aiotaan ottaa käyttöön

Yhdessä ne antavat täydellisen näkyvyyden infrastruktuuriin suunnittelussa ja ajonaikana.

Yleiset IaC-turvallisuusriskit

Esimerkkejä ongelmista, joita IaC-turvallisuus voi havaita:

• Julkisesti altistettu tallennus (esim. S3-bucketit, joissa on julkinen luku/kirjoitus)
• Salaamattomat tietokannat, volyymit tai lokit
• Liian sallivat IAM-roolit
• Avoimet turvallisuusryhmät (0.0.0.0/0 SSH/RDP
  ).
• Kubernetes-podit, jotka toimivat etuoikeutetulla pääsyllä.
• Kovakoodatut salaisuudet Terraform- tai YAML-tiedostoissa.

Esimerkki käytännössä

Tiimi käyttää Terraformia AWS-infrastruktuurin hallintaan.

IaC-tietoturvatarkistus merkitsee:

• RDS-tietokannan, jossa julkinen pääsy on sallittu
• S3-säiliön ilman salausta ja julkisella lukuoikeudella

Sen sijaan, että tämä turvaton konfiguraatio otettaisiin käyttöön AWS

, putkisto epäonnistuu rakennuksessa.

Sitten kehittäjän täytyy:

• Päivittää tietoturvaryhmä rajoittamaan pääsyä
• Ota käyttöön salaus ja estä julkinen pääsy S3-säiliössä.

Tulokset: Väärinkonfiguraatiot korjataan ennen kuin ne koskaan saavuttavat tuotannon, mikä vähentää tietojen paljastumisriskiä.

Kuka käyttää IaC-tietoturvaa

• DevOps - kirjoittaa ja ylläpitää IaC-malleja
• Pilvitietoturva-insinöörit - määrittelevät käytännöt ja tarkistavat konfiguraatiot.
• AppSec / DevSecOps-tiimit - integroivat IaC
  putkistoihin
• Tietoturva- ja vaatimustenmukaisuustiimit - käyttävät raportteja auditointeihin ja hallintoon.

Milloin soveltaa IaC-tietoturvaa

IaC-tietoturvaa tulisi soveltaa koko elinkaaren ajan:

• Kehityksen aikana - pre-commit koukut ja IDE-liitännäiset.
• CI/CD-rakennusten aikana - automatisoidut tarkistukset voivat estää riskialttiita muutoksia.
• Ennen käyttöönottoa - käytäntöjen tarkistukset tuotantoympäristöille.
• Jatkuvasti - skannaa malleja uudelleen, kun uusia sääntöjä tai uhkia ilmenee.

IaC-tietoturvatyökalujen keskeiset ominaisuudet

Useimmat IaC-tietoturvaratkaisut tarjoavat:

• Politiikka koodina: Määritä ja versioi turvallisuussäännöt
• Staattinen analyysi IaC
  : Skannaa Terraform, CloudFormation, Kubernetes-konfiguraatio, jne.
• CI/CD-integraatio: Github Actions, GitLab CI, Jenkins, jne.
• Virhekonfiguraation tunnistus: Tunnista turvattomat konfiguraatiot
• Poikkeaman tunnistus (CSPM
  kanssa): Tunnista erot IaC-asetusten ja live-pilven välillä.
• Raportointi ja vaatimustenmukaisuuden kartoitus: Kartoitus ongelmista kontrollien ja säädösten kanssa.

Esimerkki työkaluista: Checkov, Tfsec, Terrascan, tai edistyneet alustat kuten Plexicus ASPM kun ne skannaavat IaC osana sovellus/pilvi-asennetta.

Parhaat käytännöt IaC-turvallisuudelle

• Siirry vasemmalle: skannaa IaC aikaisin, jotta turvallisuusongelmat havaitaan ennen tuotantoon pääsyä
• Vältä kovakoodattuja salaisuuksia (API-avaimet, tunnukset, jne.)
• Vahvista vähimmäisoikeudet
• Käytä politiikkaa koodina automatisoidaksesi johdonmukaisen valvonnan.
• Tarkista ja päivitä säännöt säännöllisesti arkkitehtuurin muuttuessa.

Liittyvät termit

• CSPM (Cloud Security Posture Management)
• DevSecOps
• Zero Trust
• Secrets Detection