政府中的DevOps:平衡速度和安全性

图片:Shutterstock)

联邦政府以其渐进式的IT基础架构方法而闻名,代理机构通常也不是早期的技术采用者。然而,代理商越来越多 部署先进的DevOps 实现敏捷性并降低运营成本的方法。

国土安全部,总务管理局,环境保护局和退伍军人事务部就是其中的一例。他们正在使IT基础架构现代化,并在数字化转型过程中迈出了坚实的一步。

但这并非没有风险。一些政府机构和组织-包括国家安全局(NSA),五角大楼,共和党全国委员会等-亲身经历了如果环境得不到适当保护可能会出问题的地方。

例如,去年年底,NSA成为头条新闻,当时它通过Amazon Web Services(AWS)存储桶向全世界公开提供了最高机密数据。归咎于人为错误造成的简单错误配置。

事实是,DevOps工具通常具有专为人类用户设计的界面,并且配置错误太容易且普遍。某些最显着的漏洞可以追溯到外围的错误配置,这使得跨身份和环境实施安全控制变得更加重要。

通过扩大攻击面引入风险

随着代理机构采用新的云和DevOps环境,他们扩大了攻击面,从而提高了风险水平。为了降低遭受内部和外部威胁的风险,代理机构需要在其网络的各个方面(包括DevOps)连续监视特权帐户会话。

开发运维管道包括广泛的开发,集成,测试和部署工具,人员和资源,因此只有随着IT网络的扩展,攻击面不断扩大才有意义。这种扩展的攻击面主要是通过在相互连接的访问​​点之间创建和共享的特权帐户凭据和机密的增加而传播的。代理商需要像保护人类身份一样保护这些非人类身份。机器人角色可能会受到威胁,就像人类同行一样,他们需要访问控制。

但是,这并不总是那么容易的壮举。 开发运维生态系统的规模和多样性可能使安全性面临挑战,原因有以下三个主要原因:

  1. 每个开发和测试工具,配置管理平台和服务编排解决方案都有自己的特权凭证,通常是 分开维护和管理 使用不同的系统,创建安全孤岛。
  2. 机密 (密码,SSH密钥,API密钥等)用于验证交换和加密交易 分散在机器和应用程序中,因此几乎无法跟踪和管理它们。
  3. 经常开发 硬代码秘密进入可执行文件,使联邦政府容易受到攻击,并使攻击者的机密数据具有被盗的机密。

尽管在DevOps实施中安全性可能是一个主要的痛点,但是并没有失去全部。政府机构有可能同时实现这两个目标 安全。答案在于机密管理和协作。

揭开秘密管理的帷幕

秘密是DevOps工作流程不可或缺的一部分,但是如果被攻击者利用,它们在IT环境中的扩散可能会带来意想不到的潜在灾难性后果。

机密管理解决方案可以帮助防止这种情况的发生。通过实施可以与DevOps工具和其他企业安全解决方案无缝连接的工具,联邦机构可以更好地了解整个网络中不受管理,不受保护的机密,同时仍然符合重要的合规性法规。

通过优先考虑秘密管理,联邦机构可以保护和管理跨人类和非人类身份使用的秘密,并且仍然可以实现出色的DevOps敏捷性和速度。

消除摩擦并重视协作

代理商和组织都常常无法使DevOps从业人员容易获得安全性。这不仅会导致摩擦,还会带来失败的机会。

开发人员不是(也不应该是)安全从业人员。他们负责功能,而不是弄清楚如何管理这些关键资产的凭据协作和安全性。

话虽如此,从一开始就必须紧密集成DevOps和安全团队。这种协作方法将帮助构建可扩展的安全平台,该平台在开发,测试和发布工具的新迭代时将不断得到改进。

实施和保护DevOps流程似乎令人生畏,但没有理由坚持一切照旧并避免更改。对于DevOps,如果正确管理风险,则带来的收益将远远超过风险。

这就是为什么代理机构必须优先考虑秘密管理和协作以保护其网络的各个方面如此重要。只有这样,他们才能实现安全性和速度。

伊丽莎白·劳勒(Elizabeth Lawler)是位于DevOps安全的副总裁 赛博方舟。她是联合创始人,并担任 康茹尔,这是DevOps安全公司,于2017年5月被Cyber​​Ark收购。伊丽莎白拥有20多年在高度监管和敏感数据环境中工作的经验。在创立Conjur之前,她曾担任Generation Health的首席数据官,并在退伍军人事务部担任研究的领导职务。