Guía: Cómo implementar DevSecOps

Cambio cultural gradual: Como mencionamos arriba, el cambio empieza con las personas. La adopción de la cultura DevSecOps puede ocurrir como pasa con muchas otras tendencias, es decir, con un efecto gradual. No recomendamos promover inmediatamente la metodología para todos los equipos de tu organización. Puedes comenzar con pequeños grupos de individuos que ya hayan mostrado un fuerte interés que encaje con los propósitos de DevSecOps para incorporar esta cultura con nuevas prácticas en su trabajo diario. A partir de ahí, los beneficios conseguidos pueden servir de inspiración para sumar a más miembros de tu organización a un cambio exitoso. Por supuesto, debes recordar que no se trata de crear un nuevo equipo llamado "DevSecOps". Los miembros de los equipos de tu organización comenzarán a hacer la transición a una forma de pensar en la que todos son responsables de la seguridad.

Formación y práctica en seguridad: Quienes ya están algo inmersos en la teoría y la práctica de la seguridad dentro de tu organización pueden servir de apoyo para dar los primeros pasos en DevSecOps, posiblemente acompañados de especialistas externos. Con estos últimos, puedes obtener servicios de evaluación de la seguridad antes de iniciar ciclos de desarrollo. Además, junto con tu equipo, pueden ayudarte con el modelado de amenazas y a definir qué controles y requisitos de seguridad implementar. Pero, con la ayuda de los primeros, deberías empezar a enfrentarte inmediatamente al reto de la falta de conocimientos. Los denominados 'campeones de seguridad', a veces en la posición de ingenieros DevSecOps, pueden establecer planes de difusión de conocimientos y llevar a cabo capacitación interna para aumentar la concientización sobre la seguridad dentro de cada equipo. A través de ellos, e incluso con cursos en línea, tus equipos deberían recibir entrenamiento sobre las mejores prácticas de codificación segura y gestión y remediación de problemas de seguridad. Obviamente, deben ser testigos y participar en la identificación de vulnerabilidades en los productos de tu organización y en su remediación, recibiendo retroalimentación continua. Para desarrollar aún más su experiencia y confianza, también pueden recurrir a la obtención de certificaciones.

Elección de los momentos para las actividades de seguridad: Antes de pensar en qué tipo de actividades de seguridad implementar en tu organización, es prudente reflexionar sobre los momentos del SDLC donde se aplicarán. Definiendo estos puntos y a través de las discusión y análisis de la seguridad, te será más fácil elegir las actividades y herramientas adecuadas a implementar. Por ejemplo, considerando las primeras fases del pipeline DevOps, lo anterior se dirige más específicamente al proceso de planificación inicial. En la fase de codificación, suelen utilizarse actividades como la revisión de código y los protocolos de seguridad para contraseñas y otra información sensible. Luego, en la fase de construcción, una vez añadido código al repositorio, pueden entrar en juego las pruebas de seguridad de aplicaciones estáticas (SAST) y el análisis de composición de software (SCA). El primero revisa el código en busca de vulnerabilidades, mientras que el segundo revisa las dependencias del código. En la fase de pruebas, cuando el producto está listo para ejecutarse y probarse, pueden utilizarse las pruebas de seguridad de aplicaciones dinámicas (DAST). Este método no accede al código, sino que envía vectores de ataque a los endpoints de las aplicaciones en ejecución. Ya el pentesting puede realizarse más adelante en el ciclo de vida de DevSecOps, en la fase de lanzamiento. Este método depende de hackers que intentan esquivar controles, crear exploits personalizados, etc.

Automatización de las actividades de seguridad: Automatizar herramientas y procesos relacionados con la seguridad dentro de la metodología DevSecOps es útil para evitar desvirtuar el propósito del enfoque DevOps de inyectar velocidad. La automatización de procesos permite que estos se lleven a cabo de forma coherente e iterativa. Las herramientas de automatización de DevSecOps reducen las cargas al proporcionar alertas tempranas o información relevante a los desarrolladores para una rápida remediación de los problemas de seguridad. Sin embargo, es importante que determines hasta dónde debería llegar la automatización, ya que las intervenciones manuales siempre son necesarias, por ejemplo con el pentesting. Ciertamente, el trabajo manual sigue siendo un componente indispensable para la precisión y la profundidad.

Hay que tener en cuenta que el software y los estándares para su regulación cambian constantemente. Por lo tanto, la automatización para la evaluación y el cumplimiento de las normas es bastante útil. En función del sector al que pertenezca tu empresa, tu equipo selecciona los requisitos de seguridad que necesitan o deben cumplir, por ejemplo, PCI DSS, HIPAA y GDPR. Una vez que los requisitos estén codificados, la automatización te permite verificar rápidamente en el código o el producto si estos se están incumpliendo y notificarlo al personal para su pronta resolución. Además, cuando supervisas el cumplimiento y recibes continuamente estados completos del software, puedes agilizar las acciones de respuesta para evitar costosas multas y demandas por incumplimiento de la normativa.

Evaluación progresiva de la seguridad: Al integrar y aplicar actividades de seguridad, conviene ir poco a poco, sin aspiraciones desmesuradas. De lo contrario, bombardear a los desarrolladores con un sinfín de hallazgos por abordar en periodos cortos puede hacer que se muestren poco dispuestos a solucionarlos. Así que, en lugar de ejecutar pruebas completas cada vez, puede ser más razonable una evaluación gradual, por ejemplo, en los primeros casos, atendiendo solo a las áreas, o buscando vulnerabilidades, de alta prioridad. Más adelante, las siguientes pruebas o actividades de seguridad servirán de complemento para una evaluación más amplia y profunda antes de pasar a producción. Adicionalmente, una recomendación importante en pro de la agilidad es que el equipo de desarrolladores de tu organización envíe siempre el código en pequeños fragmentos para su revisión.

Actividades de seguridad manuales: Como se ha indicado anteriormente, aunque la automatización es relevante en la adopción de DevSecOps, la actividad manual sigue siendo especialmente importante. Las herramientas automatizadas de detección de vulnerabilidades siguen reportando mentiras (falsos positivos) e incurriendo en omisiones (falsos negativos). Las evaluaciones manuales pueden hacer verificaciones de lo anterior y escaneos más profundos. Por ejemplo, el ejercicio manual puede centrarse en tareas desde la perspectiva de los atacantes para explotar vulnerabilidades de forma controlada y evaluar posibles impactos a la organización (hacking ético). La recomendación es que tu organización haga evaluar sus sistemas en pruebas de penetración continuas que mantengan una fuerte cultura de remediación. No es recomendable realizar solo pruebas de penetración periódicas, ya que el período de tiempo entre una prueba y otra podría dar a los atacantes la oportunidad de aprovecharse de la exposición al riesgo de tu sistema.

Medir el rendimiento y el progreso: La medición forma parte de la correcta implementación de DevSecOps. Lo ideal es recopilar datos de tu organización sobre su rendimiento dentro de la nueva metodología, organizarlos cuidadosamente y establecer métricas significativas. Entre los datos a recoger pueden estar, por ejemplo, los relacionados con las pruebas de seguridad y sus hallazgos, así como con las actividades de remediación y despliegue. Las métricas permiten llevar un registro de los progresos. Resulta muy beneficioso disponer de una plataforma que elimine el ruido en la recopilación de datos procedentes de distintas fuentes.

Aprender mediante la retroalimentación: La medición de éxitos y fracasos siempre será esencial en la implementación de DevSecOps. Pero más importante aún es que esos registros sirvan para optimizar procesos dentro de tu organización. En la integración y el despliegue continuos de software, siempre habrá resultados que comparar y analizar. La detección de lo que mejoró o empeoró las cosas en un proceso o ciclo es algo que puedes transmitir a tus equipos a modo de retroalimentación con la esperanza de que conduzca al aprendizaje. Cuanto antes lo transmitas, mejor.

Nueva gobernanza: La gobernanza clásica puede implicar retrasos en la entrega de software que no encajan en absoluto con la cultura y la mentalidad DevSecOps. La sugerencia entonces es recurrir de nuevo a la automatización. Puedes automatizar las actividades de verificación, como son los controles antes de que el software pase a producción. No hay necesidad de evaluar manualmente un estado de seguridad final; aplica excepciones preseleccionadas y rompe el build cuando haya problemas sin solucionar. Para adoptar una nueva gobernanza como esta, dentro de DevSecOps, debes contar con la colaboración y aprobación de tus equipos.

SAST: Las herramientas para este tipo de pruebas escanean código que no se está ejecutando para detectar errores de codificación y diseño que puedan crear debilidades explotables.

SCA: Las herramientas para este tipo de pruebas escanean código y archivos de componentes de código abierto y de terceros para identificar vulnerabilidades conocidas y problemas de licencia.

DAST: Las herramientas para este tipo de pruebas, las cuales no requieren acceso al código fuente, evalúan las aplicaciones en ejecución para detectar vulnerabilidades relacionadas con su configuración de despliegue, datos y lógica empresarial.

Pentesting: En esta metodología de pruebas de seguridad, en la que predomina el trabajo manual de los hackers éticos sobre las verificaciones con herramientas automatizadas, se simulan ataques reales para identificar vulnerabilidades que podrían explotar los atacantes en un determinado ambiente.

Plataforma de gestión de resistencia a ataques: Este es otro tipo de herramienta que facilita la gestión y remediación de vulnerabilidades de seguridad. Esta plataforma unifica los datos obtenidos por diferentes métodos y herramientas, facilita la comprensión y el análisis de los problemas detectados, y prioriza los hallazgos clave para su pronta remediación.