L'adozione della tecnologia cloud porta con sé numerosi vantaggi, come la maggiore rapidità di sviluppo e distribuzione. Sono finiti i tempi in cui uno sviluppatore doveva attendere giorni per il provisioning di una macchina virtuale e passare tempo a installare i componenti necessari, come le code di messaggi e i database. Le macchine virtuali e le relative piattaforme fornite come servizio (PaaS) possono essere implementate in pochi minuti all'interno di un account cloud.

Tuttavia, offrire ai team di sviluppo un accesso illimitato per creare manualmente istanze di servizi cloud e modificare le configurazioni significa esporre l'infrastruttura a stati di imprevedibilità, che possono a loro volta portare a guasti dei software e a un incremento degli attacchi a causa di una superficie di attacco più ampia ed esposta. Di conseguenza, si è diffuso l'utilizzo della cosiddetta Infrastructure as Code (IaC), che consente agli sviluppatori di creare infrastrutture immutabili da file di configurazione dichiarativi e di avere la certezza che l'infrastruttura si trovi nello stato desiderato in tutte le fasi della vita del software.

Ma cosa accade quando lo stato desiderato introduce rischi per la sicurezza? Esistono centinaia di servizi cloud diversi, e ognuno di essi ha un insieme distinto di variabili di configurazione disponibili; per questo motivo, è facile introdurre involontariamente errori di configurazione. Questo è ulteriormente complicato dal fatto che, in un ambiente agile, molte modifiche vengono eseguite in automatico su base regolare, e garantire il profilo di sicurezza dei servizi cloud aziendali diventa un compito arduo.

Cosa fare quindi? Rallentare il ciclo di rilascio ed eseguire controlli di sicurezza manuali, cercando di gestire i ritardi mentre i team di sviluppo si affannano per risolvere i problemi, oppure permettere che gli errori di configurazione vengano inviati in produzione, incrementando di conseguenza il rischio che si verifichi una violazione? Possibile che non ci sia una soluzione migliore?

L'integrazione tra Zscaler Posture Control e Terraform di HashiCorp: come funziona?

La piattaforma Zscaler Posture Control risolve tutte queste sfide, e consente agli sviluppatori di applicare le best practice di sicurezza all'inizio del ciclo di sviluppo del software (un approccio definito "shift-left", ovvero "spostare a sinistra"). Posture Control dispone di uno scanner dell'IaC che analizza i file, come i modelli Terraform, e identifica gli errori di configurazione al loro interno fornendo agli sviluppatori informazioni sulla violazione e indicando le procedure per la correzione.

Nella sicurezza shift-left, è fondamentale fornire un modo semplice per integrare questi controlli di sicurezza nel normale flusso di lavoro di sviluppo. Per gli sviluppatori che utilizzano Terraform Cloud per implementare la propria infrastruttura, lo scanner dell'IaC della piattaforma Posture Control si integra come attività di esecuzione, analizzando l'output del piano Terraform per identificare gli errori di configurazione.

I risultati della scansione vengono resi disponibili all'interno dell'esecuzione di un'area di lavoro, e indicano l'eventuale numero di violazioni, suddivise per livello di gravità, riscontrate nei file di configurazione come parte di tale esecuzione. Viene quindi fornito un collegamento per accedere alla piattaforma Posture Control e visualizzare informazioni dettagliate sulle violazioni e su come risolverle. La piattaforma Posture Control offre quindi la possibilità di far fallire l'esecuzione (attività di esecuzione obbligatoria) a seconda del livello di gravità delle violazioni, o di effettuare l'esecuzione in modalità di segnalazione. In quest'ultimo caso, l'esecuzione verrà consentita ma ne verranno visualizzati i risultati.

Fig: integrazione di Terraform e Posture Control

Come sfruttare l'integrazione tra Posture Control e HashiCorp

L'integrazione tra Terraform Cloud e Posture Control può essere configurata in pochi minuti. Basterà semplicemente aggiungere il token del cloud Terraform alla piattaforma Posture Control e sfruttare il controllo avanzato selezionando l'organizzazione e gli spazi di lavoro da proteggere, e Posture Control consentirà di eseguire l'attività di Scansione dell'IaC di Zscaler nelle aree definite.

Per saperne di più sull'integrazione tra Zscaler e HashiCorp: registrati al webinar

Ottieni una sicurezza scalabile e dinamica su più cloud con Zscaler e HashiCorp

7 dicembre | 09:00 PST

Registrati ora