c3.10 Construir un pipeline DevSecOps

Automatice la seguridad en la entrega continua

Adopte pipelines de entrega continua donde el build, el aprovisionamiento, las pruebas de calidad, las pruebas de seguridad y el monitoreo estén automatizados, y la seguridad se considere desde el inicio de un release, no al final.

Empiece desde la guía y los aceleradores de AWS

DevSecOps es una metodología, no un solo servicio de AWS que "encender". Para diseñar y estandarizar su pipeline, parta del material prescriptivo de AWS:

• Designing a DevSecOps mechanism: guía prescriptiva para construir el mecanismo.
• AWS DevOps Pipeline Accelerator (DPA): plantillas que levantan un pipeline CI/CD completo y estandarizado para aplicaciones o infraestructura.
• AWS Well-Architected DevOps Guidance: el marco de buenas prácticas, con un ciclo de vida de desarrollo con seguridad incorporada.

AWS DevOps Agent complementa el pipeline del lado de operaciones: es un agente de IA que revisa la preparación y las pruebas de release, y actúa como ingeniero de guardia autónomo para respuesta a incidentes y confiabilidad en AWS, multicloud y on-premises. Úselo para reforzar el "Ops" de DevSecOps; su encaje más profundo está en los controles de operaciones y respuesta a incidentes (vea Automatizar playbooks críticos y Automatizaciones de seguridad avanzadas). No reemplaza las pruebas de seguridad del pipeline de abajo, que siguen siendo SAST/DAST/SCA y escaneo de secretos.

Endurezca la base en el pipeline

Si despliega en instancias:

• Reconstruya las imágenes base regularmente con parches actuales usando EC2 Image Builder.
• Agregue el agente de Amazon Inspector para que las instancias se revisen continuamente en busca de vulnerabilidades del SO y de las aplicaciones.
• Aplique hardening del SO (por ejemplo benchmarks de CIS); Inspector puede verificar la alineación.

Pruebe aplicaciones y bloquee ante hallazgos críticos

Ejecute SAST y DAST más análisis de composición de software como parte del pipeline, y detenga la promoción a producción cuando se encuentre una vulnerabilidad alta o crítica. Cuanto antes se detecte un fallo, más barato es corregirlo. AWS CodePipeline puede orquestar estas etapas.

Despliegue controles protectores como código

Cuando una vulnerabilidad conocida aún no puede corregirse (por ejemplo una dependencia de terceros), despliegue controles compensatorios —como reglas personalizadas de AWS WAF— como parte del pipeline hasta que llegue la corrección. Vea usar CI/CD para desplegar servicios de seguridad de AWS con Terraform.