A importância de implementar segurança como código no DevSecOps

O que é segurança como código?

A segurança como código é um dos motores do futuro da segurança de aplicações (application security). Segundo a O'Reilly, segurança como código é a prática de incorporar segurança às ferramentas e aos fluxos de trabalho de DevOps, mapeando como as alterações de código e infraestrutura acontecem e identificando pontos para adicionar verificações, testes e gates de segurança sem gerar custos ou atrasos desnecessários. Os desenvolvedores podem definir a infraestrutura usando uma linguagem de programação, com a infraestrutura como código. É preciso que o mesmo aconteça para levar a segurança ao ritmo do DevOps — daí a importância da segurança como código.

Basicamente, a segurança como código consiste em integrar políticas, testes e verificações de segurança diretamente ao pipeline e ao próprio código. Os testes devem ser executados automaticamente a cada commit, com os resultados disponibilizados imediatamente aos desenvolvedores para que possam corrigir os problemas. Ao trazer as verificações de segurança para o código desde o momento em que é escrito, os times economizam tempo e dinheiro, já que simplificam o processo de revisão nas etapas seguintes do ciclo de vida do desenvolvimento de software (SDLC).

Por que ela é importante?

A segurança como código é fundamental para o shift left e para alcançar o DevSecOps: ela exige que a segurança seja definida desde o início do projeto e codificada para uso repetido e consistente. Dessa forma, os desenvolvedores passam a ter uma opção de autoatendimento para garantir que o próprio código seja seguro.

Políticas de segurança predefinidas aumentam a eficiência e, ao mesmo tempo, permitem verificações sobre os processos automatizados, prevenindo imprevistos no processo de deploy, como acabar derrubando acidentalmente toda a infraestrutura porque um problema não foi identificado em um ambiente de staging.

Seis capacidades de segurança como código para priorizar

François Raynaud, fundador e diretor executivo da DevSecCon, afirmou que a segurança como código consiste em tornar a segurança mais transparente e fazer com que profissionais de segurança e desenvolvedores falem a mesma língua. Em outras palavras, os times de segurança precisam entender como os desenvolvedores trabalham e usar isso para ajudá-los a incorporar os controles de segurança necessários ao SDLC. Os desenvolvedores, por sua vez, podem retribuir mantendo-se receptivos à medida que adotam novas ferramentas e práticas para reforçar a segurança durante o desenvolvimento. Veja seis boas práticas e capacidades para incorporar ao seu pipeline:

1. Automatize verificações e testes de segurança (como análise estática, análise dinâmica e testes de penetração) dentro do seu pipeline, para que possam ser reutilizados em todos os projetos e ambientes.
2. Construa um ciclo de feedback contínuo apresentando os resultados aos desenvolvedores, permitindo que corrijam problemas enquanto programam e aprendam boas práticas durante o próprio processo.
3. Avalie e monitore as políticas de segurança automatizadas incorporando verificações ao processo. Confirme que dados sensíveis e segredos não estão sendo compartilhados ou publicados por engano.
4. Automatize testes manuais complexos ou demorados por meio de scripts personalizados, com aprovação humana dos resultados quando for necessário. Valide a precisão e a eficiência dos scripts de teste para que possam ser replicados em diferentes projetos.
5. Teste o código novo em um ambiente de staging, o que permite uma verificação de segurança completa e falhas com baixo impacto, e faça isso a cada commit.
6. O monitoramento agendado ou contínuo deve gerar automaticamente logs (ou alertas) em um dashboard de revisão, como o Security Dashboard do GitLab.

Segurança como código é uma boa prática para chegar a um objetivo maior

A segurança como código dá um significado prático ao conceito de DevSecOps, mas não deve ser o seu objetivo final. No fundo, ela é um meio de engajar mais pessoas na tarefa de integrar segurança ao longo de todo o SDLC. A ideia vai parecer familiar para desenvolvedores que já praticam infraestrutura como código, pois ela também abre espaço para que a segurança entre em cena, tanto para entender melhor o desenvolvimento de software quanto para ajudar a desenhar as políticas que serão codificadas no processo.

À medida que o seu time avança para se tornar uma máquina de DevSecOps bem afinada, a segurança como código vai naturalmente se revelar uma solução inteligente dentro de um esforço complexo.

Avaliação de metodologia DevSecOps do GitLab

Implementar um processo de DevSecOps envolve muitos elementos. Por isso, para ajudar você a dominar os principais deles, criamos uma avaliação de metodologia DevSecOps. Avalie-se em 20 capacidades e use essa pontuação para entender o nível de maturidade do seu DevSecOps, além de identificar quais ações o seu time pode tomar para levar o DevSecOps ao próximo nível. Baixe a avaliação aqui.

Imagem de capa por Tim Evans no Unsplash