在現代DevOps實踐中，基礎設施即代碼（Infrastructure as Code，簡稱IaC）已成為廣泛採用的方法。這種方法通過機器可讀的定義文件來自動化管理和配置技術基礎設施。然而，隨著IaC的普及，如何確保其安全性成為了一個重要課題。本文探討了IaC安全的挑戰以及如何實現其默認安全。
首先，文章指出了IaC安全工作流程通常包含多個步驟和實踐。這包括將IaC代碼存儲在版本控制系統中，自動化安全策略和配置檢查，並將其集成到CI/CD管道中。此外，還需要遵循最小權限原則、威脅建模和檢測、運行時監控以及審計和日誌記錄等最佳實踐。這些工作流程和自動化措施在幫助組織更輕鬆地在現代環境中部署一致的基礎設施方面發揮了重要作用。
然而，將安全策略轉換為IaC代碼存在固有的安全缺陷。主要原因是人為錯誤。當安全團隊或開發人員手動將安全策略轉換為IaC代碼時，很容易出現錯誤或誤解，這些問題可能會在多個環境中廣泛傳播。此外，這個過程耗時耗力，可能會抵消IaC原本承諾的效率提升。隨著基礎設施變得越來越複雜，手動管理和實施安全策略變得越來越具有挑戰性和容易出錯。
文章還討論了IaC掃描的重要性。在部署前掃描IaC模板是識別潛在安全問題的有效方法。然而，僅僅依賴掃描是不夠的。後部署掃描同樣重要，因為它可以評估基礎設施在運行環境中的狀況，發現開發和測試環境中未能識別的問題。但是，手動修復這些問題需要更新現有的IaC模板，否則使用這些模板的應用程序將繼續部署相同的問題。
自動修復功能看似是解決方案，但實際上可能帶來一系列新的問題。例如，自動修復工具可能無法充分考慮每個應用程序或環境的獨特上下文，導致破壞應用程序或引發其他問題的更改。它們可能無法區分關鍵和非關鍵問題，導致不必要或有害的更改，影響服務可用性和完整性。
面對這些挑戰，文章提出了一個創新的解決方案：將應用程序作為安全的來源。這種方法建議從應用程序本身生成基礎設施，而不是手動編寫IaC。通過這種方式，可以消除開發人員需要了解所有安全策略的需求，確保提供正確的基礎設施來支持應用程序，並消除開發人員需要記住編碼所有要求的需求。這種方法還可以節省安全團隊的時間，因為他們不需要審核每一行IaC代碼以確保其符合安全和合規策略。
總的來說，通過將應用程序上下文納入基礎設施中，組織可以停止擔心漏洞和錯誤配置，而專注於開發和交付應用程序。這種方法不僅提高了效率和自動化程度，還通過標準化應用程序要求來簡化部署過程。它還使執行安全和合規策略變得更加簡單，並確保了最小權限訪問控制的實施。
結論是，儘管IaC解決了應用程序部署的許多挑戰，但它仍然依賴於人工將安全策略轉換為IaC。然而，如果我們能夠使用從應用程序代碼本身生成基礎設施的工具來抽象IaC，我們就可以實現IaC的默認安全。這種方法不僅可以提高安全性，還可以大大簡化開發和部署過程，使組織能夠更專注於創新和價值創造。
詳情請看：
