Compensación de acceso seguro para los equipos de DevSecOps



Gracias a los avances recientes en las tecnologías de acceso, todos pueden aplicar la autenticación y autorización basadas en identidad y los principios de confianza cero para sus recursos informáticos.

Los equipos de ingeniería que crean software siempre están bajo presión para ofrecer nuevas funciones, corregir errores y mejorar el rendimiento. Para moverse rápidamente, los ingenieros necesitan acceso a recursos informáticos: servidores, clústeres de Kubernetes, bases de datos, registros, etcetera.

Otorgar acceso a estos recursos crea una gran superficie de ataque. Considere todos los vectores de ataque que existen para una base de datos: un atacante puede obtener acceso SSH a una máquina de base de datos, o mediante una API de Kubernetes, o mediante una interfaz de usuario net comprometida, o incluso mediante el propio socket de la foundation de datos.

¿Qué es el acceso?
Otorgar acceso a entornos informáticos modernos es un proceso de varios pasos:

  1. Conectividad. Primero, se debe establecer una conectividad de red encriptada.
  2. Autenticación. Solo los clientes autenticados deben poder conectarse.
  3. Autorización. Incluso los clientes autenticados deben estar limitados en lo que pueden hacer en función de algunos criterios.
  4. Auditoría. Es importante ver qué está pasando y quién es el responsable.

Gastos generales de seguridad
¿A qué tipos de recursos informáticos se debe acceder normalmente? Los sospechosos habituales pueden incluir cajas SSH, bases de datos, paneles internos, API de Kubernetes, varios middleware, etcetera. Cada una de estas capas united states su propia sintaxis de configuración, escucha en un socket, habla su propio protocolo y tiene su propia versión de conceptos como autenticación o handle de acceso basado en roles (RBAC).

Configurar el acceso para cada socket de cada instancia de cada ambiente para la mejor seguridad posible es una tarea laboriosa. Requiere una experiencia significativa porque cada tipo de recurso viene con sus propias consideraciones de seguridad únicas. Además del conjunto en constante crecimiento de estos puntos finales, también hay un número creciente de ingenieros que necesitan acceso.

Implementar las mejores prácticas para la conectividad, autenticación, autorización y auditoría para cada socket de cada tipo de recurso es extremadamente difícil. A menudo se debe hacer un compromiso.

Transacciones comunes
Para reducir la sobrecarga de seguridad, la mayoría de las organizaciones confían en la combinación de estas ventajas y desventajas:

Secretos compartidos. Un equipo de seguridad configura cuidadosamente cada tipo de recurso para el acceso remoto, pero solo para un puñado de usuarios predefinidos, como «admin» y «application». Las credenciales para estos a menudo se comparten.

Restricciones de acceso. Los ingenieros nunca tienen acceso a algunos recursos. Esto ralentiza el ritmo de desarrollo.

Confiando en el perímetro. Aprovechando el hecho de que la propia crimson privada puede autenticar clientes a través de soluciones como VPN. Los recursos individuales no están protegidos.

Estos enfoques presentan numerosos problemas. Destaquemos solo algunos:

Secretos compartidos pueden ser robadas porque las laptops pueden ser robadas. No crean un registro de auditoría útil que vincule las acciones a una persona.

Confiar en la seguridad del perímetro crea un único punto de falla. Cuando los atacantes acceden a una pink privada, nada les impide acceder a todo.

Restricciones de acceso limitan severamente la productividad y la creatividad de los ingenieros y crean incentivos para que los equipos de ingenieros construyan puertas traseras por sí mismos.

Soluciones emergentes
Las palabras de moda a las que hay que prestar atención son: identidad, confianza cero, y plano de acceso.

Identidad
El acceso basado en identidad significa alejarse de las cuentas compartidas. Cada usuario debe iniciar sesión con su propia identidad de cuenta. No sería práctico configurar todos los recursos con las identidades de todos los empleados. En cambio, los protocolos basados ​​en identidad como SAML se basan en algún tipo de simbólico, para autenticación. Sin embargo, los estándares existentes no son compatibles con recursos que no hablan HTTP, como servidores SSH o bases de datos.

Confianza cero
El acceso basado en cero confianza significa alejarse de la seguridad perimetral. Los principios de confianza cero significan que cada recurso actúa como si se estuviera ejecutando en una World wide web pública, utiliza cifrado, realiza autorizaciones y mantiene su propio registro de auditoría.

Plano de acceso
Un plano de acceso se basa en la identidad y la confianza cero y permite a las organizaciones dejar de lado las restricciones de acceso. Un plano de acceso consolida el acceso y:

Crea un único punto de acceso para todos los ingenieros y tipos de recursos en todos los entornos.

Refuerza el acceso basado en identidad para todos los recursos y personas. Utiliza autenticación y autorización basadas en certificados, por lo que actúa como una autoridad de certificación de una organización.

Crea automáticamente conexiones basadas en certificados para todos los tipos de recursos, incluso si no lo admiten de forma nativa. Esto elimina la sobrecarga de tener que configurar cada tipo de recurso por separado.

Mantiene el registro de auditoría centralizado, creando una vista histórica y en tiempo real de todos los eventos.

Implementa la autorización para todos los protocolos admitidos.

Técnicas avanzadas
Se pueden realizar mejoras adicionales de seguridad. Una recomendación es implementar la principio de privilegio mínimo, lo que básicamente significa eliminar las cuentas de tipo «root» permanentes y reemplazarlas con acceso bajo demanda.

¿Qué pasaría si un ingeniero pudiera crear una «solicitud de extracción de git» solicitando acceso temporal a la infraestructura de producción crítica? Luego, los pares del ingeniero revisarían y aprobarían tales solicitudes, otorgando acceso temporal con sólidas garantías de seguridad y cumplimiento.

Algunas organizaciones preocupadas por la seguridad implementan una versión más avanzada de las solicitudes de acceso llamada «política de cuatro ojos», cuando el acceso se otorga solo cuando la sesión en vivo es transmitida y vista por otra persona, asegurándose de que no menos de dos pares de ojos humanos están viendo lo que hace Alice.

Conclusión
Implementar la conectividad, la autenticación, la autorización y el registro de auditoría para cada socket en cada entorno de nube solía ser una tarea insuperable. Las mejores empresas de tecnología de Silicon Valley emplean al mejor talento para crear y mantener soluciones internas dedicadas a esta tarea.

Pero gracias a los avances recientes en las tecnologías de acceso, ahora todos pueden aplicar la autenticación y autorización basadas en la identidad y los principios de confianza cero para sus recursos informáticos utilizando el concepto de plano de acceso.

Las organizaciones más avanzadas pueden implementar conceptos como el principio de privilegios mínimos y las elevaciones de privilegios temporales con técnicas como solicitudes de acceso o políticas de «cuatro ojos».

El resultado last es un acceso remoto very simple, que hace que los ingenieros sean más productivos, no compromete la seguridad, refuerza el cumplimiento y permite la visibilidad del comportamiento de todos. Un ganar-ganar.

Ingeniero de formación, Ev Kontsevoy lanzó Teleport en 2015 para proporcionar a otros ingenieros soluciones que les permitan acceder rápidamente y ejecutar cualquier recurso informático en cualquier lugar del planeta sin tener que preocuparse por problemas de seguridad y cumplimiento. Un emprendedor en serie, Ev … Ver biografía completa

Lectura recomendada:

Más información





Enlace a la noticia primary