A adoção das tecnologias na nuvem trouxe muitos benefícios, sendo o mais importante deles um aumento na velocidade de desenvolvimento e implantação. Foi-se o tempo em que um desenvolvedor precisava esperar vários dias para uma máquina virtual ser provisionada e depois passar um tempo considerável instalando componentes necessários como filas de mensagem e bancos de dados. As máquinas virtuais e plataformas como serviço (PaaS) associadas podem ser ativadas em poucos minutos em uma conta na nuvem.

Porém, oferecer às equipes de desenvolvimento acesso irrestrito para instanciar serviços na nuvem manualmente e alterar os resultados da configuração resulta em estados imprevisíveis da infraestrutura que podem resultar em falhas de software e em um aumento nos ataques devido à uma superfície de ataque maior e mais exposta. Como resultado disso, a infraestrutura como código (IaC) foi adotada rapidamente, permitindo que desenvolvedores criem infraestruturas imutáveis a partir de arquivos de configuração declarativos e tenham a confiança de que a infraestrutura está no estado desejado em todos os estágios do ciclo de vida do software.

Mas o que acontece quando o estado desejado apresenta riscos de segurança? Existem centenas de serviços diferentes na nuvem, e cada serviço tem um conjunto distinto de variáveis de configuração disponível, o que facilita a introdução involuntária de um erro de configuração. Isso é agravado pelo fato de que, em um ambiente ágil, muitas alterações são automaticamente enviadas com frequência, tornando a tarefa de garantir a postura de segurança dos seus serviços na nuvem mais desafiadora.

É melhor diminuir o ciclo de lançamentos, realizar verificações manuais de segurança e lidar com os atrasos à medida que as equipes de desenvolvimento lutam para corrigir problemas, ou permitir que configurações incorretas sejam enviadas para o ambiente de produção, aumentando as chances de ocorrer uma violação? Deve haver uma maneira melhor.

Integração entre o Zscaler Posture Control e a Terraform da HashiCorp: como funciona?

A plataforma do Zscaler Posture Control soluciona esses desafios ao permitir que os desenvolvedores apliquem as práticas recomendadas de segurança no início do ciclo de vida de desenvolvimento do software, o que geralmente chamamos de segurança “shift-left”. O Posture Control tem um verificador de IaC que analisa arquivos, como os modelos da Terraform, e identifica configurações incorretas nos arquivos, oferecendo aos desenvolvedores informações sobre a violação e medidas para sua correção.

Um componente fundamental da segurança “shift-left” é oferecer uma maneira fácil de integrar essas verificações de segurança no fluxo de trabalho normal do desenvolvimento. Para desenvolvedores que utilizam a Terraform Cloud para implantar sua infraestrutura, o verificador de IaC da plataforma Posture Control se integra como uma tarefa em execução, analisando a saída do plano da Terraform para identificar erros de configuração.

Dentro da execução de um espaço de trabalho, os resultados de uma verificação ficam disponíveis e podem mostrar o número de violações encontradas nos arquivos de configuração como parte dessa execução, separadas por nível de gravidade. Um link é fornecido para entrar na plataforma do Posture Control e ver informações detalhadas sobre as violações e como corrigi-las. A plataforma do Posture Control oferece a capacidade de reprovar a execução (tarefa de execução obrigatória) com base no nível de gravidade das violações ou executar no modo de consulta, mostrando as descobertas, mas permitindo que a execução seja aprovada.

Figura: integração entre o Posture Control e a Terraform

Como aproveitar a integração entre o Posture Control e a HashiCorp

A integração entre a Terraform Cloud e o Posture Control leva poucos minutos para ser configurada. Basta adicionar o seu token da Terraform Cloud à plataforma do Posture Control e aproveitar os ajustes finos selecionando a organização e os espaços de trabalho que você gostaria de proteger, e o Posture Control ativará a tarefa de execução Zscaler IaC Scan nos seus espaços de trabalho.

Saiba mais sobre a integração entre a Zscaler e a HashiCorp: registre-se para o webinar

Como obter segurança dimensionável e dinâmica em várias nuvens com a Zscaler e a HashiCorp

7 de dezembro | 9h PST

Inscreva-se já