Durante la última década, las organizaciones compitieron por lanzar productos y nuevas actualizaciones en forma rápida y constante. A menudo esto significaba que se dejó de lado la seguridad de la información, como lo demostraron muchas empresas que tuvieron que enfrentarse a importantes brechas y ataques. El enfoque DevOps, centrado en el desarrollo veloz, resultó ineficaz en ese aspecto. De ahí surgió DevSecOps.
En este artículo, vamos a explorar ese concepto y las diez mejores herramientas DevSecOps.
¿Qué es DevSecOps? ¿Cómo funciona?
DevSecOps o "Desarrollo, Seguridad y Operaciones" (Development, Security and Operations) es una forma de utilizar la cultura, la mentalidad, la plataforma de desarrollo y la automatización para que la seguridad sea una parte esencial o integral del ciclo de vida de desarrollo del software. Puede considerarse un subconjunto de DevOps.
Como consecuencia de la velocidad del proceso del desarrollo, en la organización se generaba una falta de comunicación que a menudo se traducía en interrupciones del servicio que resultaban costosas y afectaban la experiencia del usuario.
Ahí es cuando surge DevOps con la intención de fomentar una mejor colaboración entre desarrolladores y administradores de sistemas. La idea era unir el desarrollo del software y las operaciones para que la infraestructura de IT sea lo suficientemente robusta como para soportar eso nuevo.
En definitiva, DevOps fomentaba un desarrollo más rápido, una colaboración abierta y fluida, un enfoque transparente y basado en la idea de que mientras antes se falle, mejor.
El problema era que la seguridad informática constituía un paso tardío, se gestionaba al final por un equipo diferente y se añadía como extra al proceso de desarrollo del software.
DevSecOps llegó para cambiar esta situación, convirtiendo la seguridad en parte de todo el proceso, estrechamente integrado con CI/CD y como una tarea de responsabilidad compartida. Si bien este aspecto se introduce desde el principio, no ralentiza el SDLC. Por una parte, fomenta la automatización para garantizar prácticas de desarrollo seguras. Pero además, en lugar de acudir a un equipo independiente para que examine las vulnerabilidades y las corrija al final, los desarrolladores deben escribir el código seguro e incorporar la seguridad al proceso de desarrollo.
¿Cuáles son las ventajas de utilizar herramientas DevSecOps?
Las herramientas DevSecOps fomentan el uso de la automatización en pos de la seguridad. Esto es importante para garantizar que la seguridad no ralentice el desarrollo del software ni interrumpa las operaciones, sobre todo porque DevOps se asocia a ciclos de desarrollo rápidos y frecuentes.
Por ejemplo, cuando la seguridad se convierte en responsabilidad de todos los desarrolladores, éstos tienen que comprobar su código en busca de vulnerabilidades antes de fusionarlo. Si bien es posible que insuma tiempo, la constatación se resuelve con la automatización. Entonces, las herramientas DevSecOps reducen la carga de trabajo y ayudan al equipo a seguir el ritmo de los ciclos cortos que exige DevOps.
Otra ventaja de estas herramientas DevSecOps es que mejoran la seguridad. Cuando se dispone de poco tiempo o recursos, el equipo puede dar prioridad a la velocidad por sobre la seguridad y saltearse algunas comprobaciones que no considera esenciales. O simplemente pasarlas por alto. Y, admitámoslo, es posible que detectemos errores en el código de otra persona, pero quizás no veamos los nuestros. La automatización evita todo esto, ya que garantiza que cada línea de código pase por todas las pruebas y análisis antes de convertirse en un problema.
Un problema de seguridad habitual en el proceso de desarrollo de software es que se suelen utilizar plugins o soluciones de terceros que pueden presentar inconvenientes desconocidos. Y no es práctico probarlos todos en detalle, porque eso anularía su principal ventaja: un desarrollo más rápido. Sin embargo, si se analizan con una herramienta, se logra mitigar los riesgos, sin incrementar los tiempos.
Las cuentas con varios privilegios o los roles de usuario constituyen otros de los principales problemas de seguridad en el desarrollo de software. Las configuraciones y ajustes inadecuados habilitan a los actores maliciosos a causar inconvenientes e interrumpir los servicios. Por lo tanto, es fundamental integrar la seguridad en el ciclo de vida del desarrollo del software con instrumentos automatizados.
En resumen, las herramientas DevSecOps ayudan a los equipos a desarrollar rápidamente aplicaciones sin comprometer la seguridad, interrumpir las operaciones o retrasar el proceso.
¿Cuáles son las 10 mejores herramientas DevSecOps?
Gerrit Code Review
Gerrit Code Review es una de las herramientas DevSecOps que se encuentran en la web, es gratuita y permite a los miembros del equipo colaborar y revisar el código de los demás antes de fusionarlo.
Gerrit está estrechamente integrado con Git y viene con clientes SSH git habilitado y clientes git HTTPS. También se puede ampliar la funcionalidad de la herramienta añadiendo plugins.
Cuando se implementa, Gerrit actúa como repositorio central del código fuente y crea una sección de "cambios pendientes". Cuando los desarrolladores introducen una modificación, ésta pasa a esa sección, donde lo revisan. Tras el análisis, los cambios pueden incorporarse al código base. La solución también incluye su propio sistema de gestión de accesos.
Dado que se trata de una herramienta gratuita y colaborativa, no obtendrás ningún tipo de soporte VIP, pero el proyecto está bien documentado, viene con contenido de formación y tiene una comunidad activa.
Aquasecurity
Aquasecurity tiene una gama de productos y soluciones diseñados para automatizar la seguridad de los contenedores. Creado para DevSecOps, con integraciones nativas a CI/CD, permite a los equipos incorporar controles de seguridad y comprobaciones automatizadas a sus procesos de desarrollo de software.
La solución analiza los contenedores en busca de vulnerabilidades o configuraciones y envía automáticamente información práctica al desarrollador a través de Slack u otras plataformas. Una vez configurada, supervisará constantemente los canales CI/CD para enviar alertas basadas en sus políticas de seguridad.
La plataforma Aquasecurity escanea y monitorea las imágenes de los contenedores de registros y fuentes e impide que se desplieguen imágenes maliciosas o vulnerables.
La solución viene con un feed inteligente de vulnerabilidades, que presenta en función de los riesgos que plantean. También cuenta con un conjunto de herramientas para garantizar el cumplimiento durante todo el ciclo de vida de desarrollo de software cuando se trabaja con contenedores y funciones sin servidor.
Herramientas de Parasoft
El conjunto de herramientas de Parasoft está diseñado para automatizar las pruebas de software aprovechando la inteligencia artificial y el aprendizaje automático. La solución, que funciona bien con el enfoque DevSecOps, proporciona análisis integrales y perspectivas adecuadas para mejorar el código. Está diseñada para integrarse desde el principio con el proceso de desarrollo.
En concreto, Parasoft dispone de una gama de herramientas DevSecOps, que incluyen pruebas de seguridad de aplicaciones o Application Security Testing (AST), de API y análisis dinámicos de seguridad de aplicaciones o Dynamic Application Security Testing (DAST). La primera funciona con muchas soluciones de control de código fuente, IDE, contenedores, herramientas CI/CD y plataformas en la nube. Mientras que DAST ayuda a quienes hacen control de calidad a garantizar la seguridad y la velocidad de sus API.
Las herramientas de análisis estático de código de Parasoft para diferentes entornos de desarrollo pueden comprobar la existencia de puertas traseras de seguridad y vulnerabilidades, e incluso colaborar en contar con un estilo de codificación uniforme entre los desarrolladores.
La suite de productos de Parasoft está segmentada en diferentes entornos de desarrollo y casos de uso específicos. Por ejemplo, sus SASTs están disponibles para entornos de desarrollo C/C++, Java y Microsoft.
Plataforma de automatización Red Hat Ansible
Red Hat Ansible es una plataforma que ofrece automatización para operaciones de IT de extremo a extremo, desde la nube hasta el final.
Con esta solución, es posible automatizar la creación, el aprovisionamiento y la gestión de aplicaciones en la nube, contenedores y otros entornos. También podrás manejar tus procesos de red de IT e implementar y gestionar aplicaciones.
Otras tareas incluyen el despliegue y manejo de contenedores, respuesta a amenazas y suministro de instancias en la nube.
La plataforma posee un controlador de automatización que permite ver cómo se utiliza y escala. Viene con integraciones CI/CD, control de acceso basado en roles y un visualizador de flujos de trabajo.
Utilizando las herramientas Red Hat Insights, también se entiende cómo se despliega la automatización en toda la organización y su grado de eficacia. De hecho, trae una calculadora de ROI que muestra el tiempo y los recursos que la plataforma va ahorrando.
WhiteSource
WhiteSource dispone de herramientas SAST y SCA de última generación. Sus instrumentos de análisis de composición de software trabajan con una base de datos de vulnerabilidades que contiene alrededor de 11.000 millones de archivos fuente en más de 200 idiomas y 100 millones de bibliotecas.
Las vulnerabilidades se asocian a elementos relacionados para buscar los mismos en plugins u otros componentes de terceros en su código. Y al cotejar ambos, muestra cualquier problema de seguridad.
Además, la solución viene con una herramienta que prioriza las vulnerabilidades más importantes.
Su solución SAST se integra con el flujo de trabajo de los desarrolladores y el canal CI/CD. Es compatible con más de 27 lenguajes de programación y cubre OWASP 10 y CWE 25 en varios entornos.
Veracode
Veracode dispone de un conjunto de herramientas DevSecOps para analizar automáticamente el código en busca de problemas de seguridad. Se integran directo en el ciclo de vida del desarrollo de software sin ralentizar el proceso y proporcionan información a los desarrolladores mientras escriben el código para que puedan corregirlo sobre la marcha.
Las herramientas prometen un porcentaje de falsos positivos inferior al 1,1% e incluso ayudan a los desarrolladores a mejorar sus habilidades de codificación con información inmediata a través de sus integraciones IDE (vienen con más de 45 integraciones).
La solución SAST de Veracode se integra en el análisis CI/CD con un tiempo medio de revisión de 90 segundos. Incluso es posible configurar esta solución para que rompa las compilaciones si encuentra un problema.
También dispone de una herramienta de análisis de composición de software que permite utilizar soluciones de código abierto para acelerar el desarrollo y la entrega sin incrementar el riesgo de seguridad.
Stackstorm
Stackstorm es una herramienta de automatización DevOps en la que confían empresas como la NASA y Netflix.
Crearon la solución sobre la base de este razonamiento: Si-Esto-Entonces-Este Modelo (IFTTT, If-This-Then-That Model). Es decir que los sensores (plugins de Python) detectan un disparador, que luego se asigna a las acciones (que se realiza automáticamente, puede ser una llamada REST o integraciones) por un conjunto de reglas (comprueban las condiciones antes de realizar diferentes acciones).
Stackstorm también ofrece un registro de auditoría, que reconoce cada disparador y acción, y la forma en que éstas se llevaron a cabo. Brinda muchas integraciones para vincular esto a las herramientas de análisis.
Una característica interesante de esta herramienta son los paquetes Stackstorm, que consisten en un conjunto de disparadores, acciones y flujos de trabajo para aplicaciones particulares. Así, puedes crear tus propios packs u obtenerlos de la propia plataforma, que tiene paquetes de todo, desde la seguridad hasta el seguimiento de las personas que te deben cerveza.
Sonarqube
Sonarqube ofrece un conjunto de herramientas DevSecOps para desarrolladores para que puedan mejorar la calidad del código a medida que lo escriben. Disponibles para 29 lenguajes de programación, incluidos Java, Kotlin y C++, entre otros, contempla un instrumento de seguridad estática de aplicaciones que detecta vulnerabilidades y puntos conflictivos y permite establecer normas para el código antes de fusionarlo.
Por ejemplo, si tu código utiliza entradas de usuarios no confiables para tomar decisiones antes de comprobarlas, puede crear vulnerabilidades de inyección SQL. Sonarqube señala estos problemas y permite corregirlos, además de garantizar que los datos de esos usuarios se desinfectan antes de que lleguen a los sistemas críticos.
Además de marcar los problemas dentro del código, Sonarqube muestra qué tan bueno es el código, esto es si ha pasado las comprobaciones de calidad y en qué medida se puede mejorar.
La edición empresarial también viene con un panel de seguridad que exhibe qué tan seguro es el código frente a las principales vulnerabilidades de OWASP top 10 y CWE 25.
Threatmodeler
Threatmodeler es una herramienta que crea una visualización automática continua de los fallos en tu infraestructura y en el código. Muestra las superficies de ataque y la forma en que un agresor puede moverse a través de tus sistemas.
Con el modelado automatizado de amenazas en el diseño de aplicaciones, Threatmodeler ayuda a los equipos DevSecOps a incorporar la seguridad desde el principio en los ciclos de vida de desarrollo de software.
La solución funciona en las plataformas de la nube, móvil e IoT y, mediante su motor inteligente de amenazas, identifica las amenazas aplicables a los componentes del sistema.
Además, viene con un framework de inteligencia de amenazas que actualiza automáticamente los datos de esas intimidaciones y los alerta a los usuarios de aquellas potenciales.
También ofrece soluciones Cloudmodeler y IAC-Assist: la primera es para validar y controlar la seguridad de AWS y la segunda para detectar fallos en el diseño de aplicaciones.
Plataforma Checkmarx AST
La plataforma AST de Checkmarx es otra de las herramientas DevSecOps diseñada para la nube. La solución se integra en el SDLC y aporta seguridad al desarrollo de aplicaciones desde el principio.
Su herramienta SAST permite a los desarrolladores escanear y comprobar las vulnerabilidades del código en una fase temprana, mientras que la SCA posibilita utilizar código, soluciones y plugins de terceros sin ningún riesgo o desafío de seguridad adicional.
Además ofrece Codebashing, una plataforma de formación para desarrolladores. También proporciona KICS o Keeping Infrastructure As Code Secure, una plataforma de código abierto para escanear IAC, comprobar configuraciones y establecer estándares de diseño de API. Asimismo, encaja perfectamente en el proceso de desarrollo.
Preguntas frecuentes
¿Qué es DevSecOps?
DevSecOps o Desarrollo, Seguridad y Operaciones (Development, Security and Operations) incorpora la seguridad como un componente integral en el ciclo de vida del desarrollo de software, en lugar de ser un elemento separado que se añade al final.
Convierte la seguridad de las aplicaciones en una responsabilidad compartida y anima a los desarrolladores a escribir código seguro, en lugar de que sea responsabilidad de un equipo de ciberseguridad independiente.
¿Cuál es la diferencia entre DevSecOps y DevOps?
DevSecOps puede considerarse una versión mejorada de DevOps, que incorpora la seguridad al mix de desarrollo y operaciones. Ambos fomentan la colaboración, la transparencia y la visibilidad. Sin embargo, DevOps surgió con ciclos de vida de desarrollo rápidos y cortos, lo que a menudo significaba que la seguridad quedaba rezagada. Entonces, DevSecOps intenta resolver este problema compartiendo la responsabilidad de la seguridad de los productos con los desarrolladores.
