CI/CD Security

Muchas veces, el objetivo de los ataques en la nube son los ciclos de CI/CD y la cadena de suministro de software, lo que deja a las organizaciones vulnerables a la inyección de código, al robo de credenciales, a la exfiltración de datos y a la sustracción de propiedad intelectual. Frente a esta realidad, las organizaciones deben implementar prácticas de seguridad nuevas. Cuando se relacionan los problemas de seguridad con el marco «OWASP Top 10», es posible identificar los vectores de ataque y ofrecer indicaciones sobre cómo abordar la seguridad de los ciclos de CI/CD.

• Obtenga visibilidad del estado de la seguridad de su cadena de suministro de software.

  Utilice los controles nativos para determinar si existe alguna regla de protección de sucursales que no se esté aplicando, alguna configuración poco segura en los ciclos o la posibilidad de que estos hayan sido envenenados. Esto le permitirá prevenir los ataques de forma proactiva.

• Realice un análisis basado en grafos de las rutas de ataque a los numerosos recursos que afectan a sus ciclos.

  Los ciclos de software son multidimensionales y abarcan una gran cantidad de herramientas y de recursos internos y externos que hay que proteger sin excepción de cara a prevenir los ataques.

• Refuerce sus ciclos de entrega.

  Prisma Cloud, que se basa en el trabajo de los mejores investigadores en seguridad de CI/CD del mundo, ayuda a los equipos a adoptar barreras de protección críticas para ir reforzando sus ciclos con el tiempo. Estas barreras de protección impiden que los atacantes se aprovechen de las vulnerabilidades del ciclo de CI/CD para infiltrarse en los entornos de producción o ejecutar código malicioso.

• Detecte credenciales expuestas en los ciclos.

  Encuentre en los webhooks y en los logs de los ciclos cualquier credencial de texto no cifrado que los ciberdelincuentes pudieran robar y utilizar en beneficio propio.

• Cree y aplique políticas personalizadas durante todo el ciclo de vida del desarrollo de software.

  Integre la gestión de vulnerabilidades para analizar repositorios, registros, ciclos de CI/CD y entornos en tiempo de ejecución.

La única manera de garantizar que el código no seguro no llegue a producción es analizar cada dependencia y artefacto de código para asegurarse de que el ciclo de entrega esté bien protegido. CI/CD Security representa solo uno de los casos de uso de la seguridad de las aplicaciones y forma parte de la plataforma de protección de aplicaciones nativas en la nube (CNAPP) Prisma Cloud.

• Identifique riesgos en el código mientras los desarrolladores compilan y prueban el software.

  Compruebe las imágenes y los paquetes para buscar vulnerabilidades y problemas de cumplimiento normativo en los repositorios, como los de GitHub, y registros, como los de Docker, Quay y Artifactory, entre otros.

• Limite las implementaciones únicamente a imágenes y plantillas aprobadas.

  Utilice las funciones de análisis de código y sandboxing de contenedores de Prisma Cloud para identificar código y aplicaciones maliciosos y evitar que lleguen a producción.

• Recopile información forense detallada de todas las auditorías o incidentes de seguridad.

  Recopile información forense detallada de forma automática y segura en una vista cronológica avanzada para facilitar la respuesta a incidentes. Puede ver todos los datos en Prisma Cloud o enviarlos a otros sistemas para analizarlos más a fondo.

• Bloquee la actividad peligrosa en cualquier entorno de tiempo de ejecución.

  Gestione las políticas de tiempo de ejecución desde una consola centralizada para asegurarse de proteger todo el proceso de desarrollo. Con la identificación de incidentes según el marco de MITRE ATT&CK®, además de información forense detallada y una gran cantidad de metadatos, los equipos del centro de operaciones de seguridad (SOC) podrán controlar las amenazas que afectan a las cargas de trabajo nativas en la nube efímeras.

• Seguridad basada en el contexto.

  Detecte y prevenga errores de configuración y vulnerabilidades capaces de provocar brechas de datos, así como infracciones del cumplimiento normativo en tiempo de ejecución, con un inventario completo de activos en la nube, evaluaciones de la configuración, correcciones automatizadas, etc.