Seguridad de la infraestructura como código (Infrastructure as code security)
En seguridad cloud, la seguridad de la infraestructura como código es la práctica de encontrar y arreglar malas configuraciones en las plantillas que definen los recursos cloud, antes de desplegarlas. Es donde una mala configuración de cloud se repara de verdad y para siempre, en la plantilla y no en la consola, y cierra el círculo entre un hallazgo y un arreglo duradero.
Cómo funciona
Los parques cloud modernos se describen en código: unas plantillas escritas en Terraform, CloudFormation o similares declaran los recursos, sus ajustes y sus permisos, y aplicar la plantilla crea o actualiza la infraestructura real. La seguridad de la infraestructura como código escanea esas plantillas en busca de problemas igual que el análisis estático escanea el código de aplicación: un grupo de seguridad abierto, un rol demasiado amplio, un almacén sin cifrar, un secreto incrustado en una variable. Como la plantilla es la fuente de verdad, un arreglo hecho ahí se aplica en todos los sitios donde se usa la plantilla y sigue arreglado en el siguiente despliegue, en vez de ser un cambio puntual en una consola que se deshace con el tiempo. El fichero de estado que produce la herramienta es sensible por sí mismo y hay que protegerlo.
Qué sale mal
Arreglar las malas configuraciones de cloud solo en la consola es una cinta de correr: el siguiente apply de la plantilla revierte el cambio y la mala configuración de cloud vuelve. El problema más de fondo que encontramos son plantillas que llevan secretos o que conceden permisos excesivos por defecto, replicados en todos los entornos que construyen. Desde el lado del atacante hay dos premios que se repiten: un secreto versionado en la plantilla o en sus variables, y un fichero de estado expuesto, porque un fichero de estado de Terraform registra los recursos y muchas veces los valores sensibles con los que se construyeron, así que la exposición del estado puede entregar credenciales directamente. La plantilla es código, y se trata con menos escrutinio que la aplicación que levanta.
Dónde aparece esto en una auditoría
Revisamos las plantillas y la tubería que las aplica: secretos incrustados, permisos demasiado amplios, valores por defecto inseguros, y cómo se guarda el estado y quién puede leerlo. Los hallazgos se escriben contra la línea de plantilla que los causa, para que el arreglo caiga donde permanece, y los cruzamos con lo que ve en ejecución una herramienta de gestión de la postura. El manejo de secretos se empuja hacia una gestión de secretos como es debido. Esto forma parte de cómo revisamos las plantillas de infraestructura y sus secretos.