Treinamento escrito de DevOps

Como garantir a segurança da informação em DevOps?

Em muitas organizações, as preocupações com a segurança da informação estão entre as objeções mais comuns à adoção de DevOps. Ainda assim, a metodologia DevOps está entre as melhores técnicas para entregar sistemas com o mais alto nível de segurança.

Em muitas organizações, talvez inclusive na sua, a proporção entre especialistas em segurança da informação e integrantes da equipe de engenharia de software é de 1 para 100. Em outras palavras, uma equipe de engenharia de software com 100 pessoas costuma ter um único especialista em segurança da informação. Isso prolonga a resolução de problemas de segurança e atrasa entregas de software. Pior ainda, os clientes ficam com um nível de segurança da informação abaixo do ideal.

Se há uma lição que a entrega de software ensina, é que os impedimentos no fim de um projeto são ruins e os ligados à segurança são ainda piores. Por isso, todos os integrantes da equipe DevOps devem incorporar a segurança da informação ao trabalho diário de engenharia, em vez de deixá-la como um item de verificação no fim do projeto.

Envolva especialistas em segurança da informação nas primeiras etapas da engenharia de software

Para evitar que uma questão de segurança da informação bloqueie ou atrase a implantação na última hora, envolva os especialistas desde o início da engenharia de software. Convide-os para demonstrações e sessões iniciais de planejamento e revisão para que compreendam o negócio atendido pelo software. Assim, eles podem avaliar melhor riscos e problemas em potencial e ajudar a equipe a definir objetivos de segurança da informação e conformidade a serem tratados ao longo do processo.

A segurança da informação faz parte do trabalho diário

Acompanhe funcionalidades e incidentes de segurança nas ferramentas habituais de planejamento de tarefas e gerenciamento de incidentes. Evite deixá-los em ferramentas de gestão de conformidade que a equipe DevOps pouco consulta. Sempre que houver uma questão de segurança da informação na arquitetura, no projeto ou nos sistemas em execução, explique-a à equipe. Ajude os integrantes a entender as causas-raiz e a lidar com situações parecidas no futuro, para evitar que o problema se repita.

Na segurança da informação, a abordagem tática da equipe DevOps é:

• Evitar que erros de segurança se repitam.
• Integrar os objetivos de segurança às metas do projeto e às ferramentas de planejamento e acompanhamento.
• Incluir testes de segurança nos testes automatizados do pipeline de implantação.
• Após analisar de todos os ângulos a segurança da informação de determinadas funcionalidades de produtos e serviços, definir ferramentas de autosserviço e bibliotecas de software reutilizáveis que reúnam as boas práticas de segurança da informação da organização.
• Formar e confiar nos desenvolvedores DevOps e nos engenheiros de operações DevOps, cuja especialidade principal pode ser outra.

Crie bibliotecas, procedimentos, modelos, arquiteturas e projetos seguros para seu software

Ao criar recursos reutilizáveis como esses, a equipe DevOps deve padronizar aspectos de segurança do software em várias áreas críticas, como:

• Comunicação e transferência de dados entre clientes e software.
• Armazenamento de dados.
• Ambientes seguros.
• Sistemas operacionais, bancos de dados e configurações de ferramentas de terceiros, componentes e outras interfaces para evitar vulnerabilidades.
• Armazenamento de senhas.
• Tratamento de senhas esquecidas.
• Tratamento do registro de informações confidenciais dos clientes.
• Prevenção de cross-site scripting (XSS).
• Injeções de SQL.
• Outras vulnerabilidades de segurança da informação específicas do negócio e do contexto legal em que ele opera.

Técnicas de segurança da informação recomendadas pela metodologia DevOps

• Análise estática Análise de código para identificar backdoors e vulnerabilidades de segurança.
• Análise dinâmica Análise de backdoors e vulnerabilidades com o sistema em execução. Monitoramento e análise contínuos de operações de CPU, RAM, entrada e saída de rede e de disco em ambientes de produção e de não produção.
• Análise de dependências Análise estática e dinâmica de ferramentas externas e dependências que contêm código-fonte fora de seu controle. Quando a organização usa ferramentas, bibliotecas ou serviços de terceiros, também herda seus problemas de segurança. Revise os incidentes de segurança em aberto nos componentes de terceiros e o histórico de rapidez dos fornecedores para corrigir problemas.
• Segurança do acesso ao código-fonte A equipe DevOps deve usar uma infraestrutura de chave pública em que cada integrante tenha uma chave pública e uma privada. Assim, todas as operações de check-in, check-out e leitura do repositório são autorizadas e monitoradas, e todas as alterações são assinadas por seus respectivos autores.
• Integre o monitoramento de segurança (telemetria) aos ambientes Examine detalhes de uso do sistema para identificar violações de segurança. Elas geralmente são indicadas por um número excessivo de eventos críticos gerados por usuários, como tentativas de login malsucedidas, solicitações de recuperação de senha ou compras de um mesmo usuário com diversos cartões de crédito.

CONCLUSÃO

Neste capítulo, apresentamos recomendações sobre a segurança da informação em DevOps. A segurança da informação é uma arte e uma ciência. O objetivo foi explicar como a metodologia DevOps de desenvolvimento e entrega de software trata a segurança da informação, sem pretender formar especialistas.

Ao tornar a segurança da informação responsabilidade de todos, o DevOps integra os objetivos de segurança e conformidade da organização ao trabalho diário dos engenheiros. As empresas mais dinâmicas do mundo já demonstraram que essa é uma maneira segura de atender os clientes.