Nublado com possibilidade de malware – O que está acontecendo para DevOps?

À medida que 2023 avança nos próximos meses, o ecossistema nativo da nuvem deverá reforçar o seu valor comercial principal nas empresas para se tornar ainda mais crítico para a economia digital. Por outro lado, a incorporação da segurança na metodologia DevOps ainda está evoluindo, deixando em aberto previsões específicas sobre o futuro da engenharia DevOps.

No entanto, em nossa opinião, é mais do que provável que algumas tendências moldem o cenário de segurança nativa da nuvem no próximo ano:

1. Segurança nativa da nuvem: A Forrester espera que mais empresas adotem tecnologias nativas da nuvem, à medida que optam cada vez mais por executar cargas de trabalho em contêineres, em vez de máquinas virtuais legadas. Como tal, 40% das organizações adotarão uma estratégia de “nativos da nuvem primeiro” em 2023, à medida que procuram aumentar a agilidade e a eficiência e, ao mesmo tempo, reduzir custos, mas a segurança continuará a ser uma grande preocupação.

À medida que mais organizações adotam tecnologias de containers e Kubernetes, haverá um crescimento correspondente no desenvolvimento de ferramentas e práticas para proteger esses ambientes, levando o DevOps a responder de forma mais cuidadosa à segurança.

Os atores de ameaças desencadearão iterações de malware projetadas para quebrar ambientes nativos da nuvem. Os desenvolvedores sentirão uma necessidade maior de incorporar a segurança no início do ciclo de desenvolvimento de aplicativos. E, portanto, à medida que 2023 se desenrola, a indústria verá o DevOps evoluir cada vez mais para DevSecOps. Novos padrões de segurança se solidificarão em melhores práticas viáveis, maior adoção de ferramentas de segurança nativas da nuvem e maior foco na confiança zero como princípio de segurança.

2. Segurança de contêineres e Kubernetes: Proteger aplicativos em contêineres e Kubernetes será uma prioridade este ano devido à adoção generalizada. Haverá um foco maior na integração da segurança do Kubernetes com estruturas de segurança em nuvem mais amplas, incluindo integrações com sistemas de gerenciamento de identidade e acesso baseados em nuvem e sistemas de gerenciamento de eventos e incidentes de segurança baseados em nuvem. Proteger o plano de controle do Kubernetes é fundamental para a segurança geral do cluster e se tornará um foco cada vez mais importante para os profissionais de segurança do Kubernetes. Espera-se que a política como código para Kubernetes amadureça e ganhe maior força. Este ano, dezenas de organizações líderes adotarão o Open Policy Agent (OPA) em suas implantações do Kubernetes. Também acreditamos que o DevSecOps acolherá soluções de observabilidade no mercado de segurança nativa da nuvem. Essas soluções reúnem dados de eventos, logs, telemetria e rastreamentos em uma visão abrangente, porém agregada, a partir da qual é possível descobrir rapidamente a solução de problemas no Kubernetes.

3. Computação e segurança sem servidor: A computação sem servidor é relativamente nova no cenário nativo da nuvem. Apesar da sua capacidade de adaptação e integração, carece de padronização e interoperabilidade. O risco resultante de dependência de fornecedor deixou muitas empresas paralisadas em sua jornada de adoção, mesmo que a computação sem servidor continue a despertar o interesse dos desenvolvedores por cargas de trabalho baseadas em eventos. Para preencher a lacuna e ampliar a adoção em funções independentes de fornecedores, testemunharemos uma ruptura neste espaço com o projeto Knative, patrocinado pelo Google. A estrutura Knative de código aberto e de nível empresarial garantirá que os padrões sejam compartilhados entre diferentes implementações de Função como Serviço (FaaS) sem servidor, elevando assim o nível de interoperabilidade. Outra interrupção do serverless é um conceito emergente chamado “infraestrutura do código” (IfC) como uma forma de criar aplicativos que permitem ao seu provedor de nuvem inspecionar o código do aplicativo durante a implantação e, em seguida, provisionar automaticamente a infraestrutura subjacente de que o código do aplicativo precisa.

Além disso, à medida que a complexidade dos ambientes sem servidor aumenta, a automatização da aplicação das políticas de segurança e o recurso a técnicas de IA/ML para melhorar a precisão e a eficiência do SecOps terão precedência. Espere ver uma ênfase maior na proteção do código de função e do ambiente de tempo de execução com medidas como assinatura e verificação de código, juntamente com o fortalecimento dos ambientes de tempo de execução para evitar a injeção de código malicioso.

4. Segurança da API: O Gartner prevê que este ano mais de 50% das transações entre empresas serão realizadas através de APIs em tempo real. Até 2025, menos de 50% das APIs empresariais serão gerenciadas, com o crescimento das APIs ultrapassando as capacidades das ferramentas de gerenciamento de APIs. Embora os serviços baseados em REST e HTTP continuem sendo os estilos de arquitetura de API mais populares, seu uso continuará a se estabilizar à medida que este ano avança, à medida que novas arquiteturas de API orientadas a eventos, como GraphQL e gRPC, estão crescendo em popularidade.

Dito isto, a onipresença das APIs irá agravar os problemas de expansão este ano. A expansão de APIs dentro e entre infraestruturas nativas da nuvem tornou a segurança de APIs um dos maiores desafios para DevOps atualmente. Isso também significa que as APIs não gerenciadas se tornarão um alvo popular para os cibercriminosos, que podem usá-las como gateways para obter acesso irrestrito a dados confidenciais. Na busca por esses dados, os cibercriminosos colocarão mais foco em endpoints de API vulneráveis ​​que se conectam diretamente aos bancos de dados subjacentes de uma organização. Espere ouvir mais sobre ataques prejudiciais a APIs individuais que levam ao vazamento de dados.

Quando se trata do setor de serviços bancários e financeiros, seríamos negligentes se não enfatizassemos demais que a segurança das APIs deve ser a prioridade mais importante de segurança cibernética deste ano. As APIs recém-criadas continuarão a dominar os aplicativos bancários modernos, causando uma ampliação contínua da superfície de ataque nesta vertical.

5. Segurança da cadeia de suprimentos de software: Se o que a indústria testemunhou nos últimos três anos servir de indicação, os ataques cibernéticos às cadeias de fornecimento de software só aumentarão em frequência e gravidade ao longo deste ano, tal como aconteceu nos anos anteriores. O Gartner prevê que até 2025, 45% das organizações sofrerão ataques às suas cadeias de fornecimento de software, o que será três vezes mais do que em 2021. A segurança da cadeia de fornecimento de software (SSC) é uma prioridade fundamental em 2023, à medida que as organizações enfrentam um ataque violento. de ataques. Desde bibliotecas de software de código aberto e de terceiros até contas de usuário de desenvolvedor e credenciais de login até componentes necessários para construir, empacotar e assinar software – todos os elementos da cadeia de fornecimento de software estarão sujeitos a ataques.

Dito isto, os novos mandatos federais e as orientações da indústria destinadas a abordar os riscos da cadeia de abastecimento irão colocar nova pressão sobre as empresas este ano para adoptarem melhores práticas estabelecidas e em evolução que abordem a segurança do SSC.

E, consequentemente, as ferramentas de gerenciamento de componentes de software usadas para rastrear e gerenciar componentes de software de código aberto usados ​​pelos desenvolvedores se tornarão importantes. Os desenvolvedores irão adotá-los para identificar e resolver quaisquer vulnerabilidades que possam estar presentes em sua lista de materiais de software ou SBOMs.

Pensamentos finais

É imperativo que empresas de todos os tamanhos e regiões geográficas adotem um modelo de desenvolvimento de aplicativos nativos da nuvem, que apoie o desenvolvimento de aplicativos modernos criados para atender às necessidades do usuário moderno. Mas, para que seu aplicativo moderno produza eficiência, escala e valor sem precedentes, o maior facilitador em 2023 é a segurança.

A solução Panoptica da Cisco protege toda a pilha de aplicativos, desde o código até o tempo de execução, verificando vulnerabilidades de segurança na infraestrutura de nuvem, microsserviços (contêineres ou sem servidor), lista de materiais de software e APIs de interconexão. E o melhor de tudo: ele se integra às ferramentas que suas equipes de desenvolvimento de aplicativos e SecOps já usam. Para saber mais sobre o Panoptica, visite-nos aqui ou cadastre-se aqui para experimentá-lo gratuitamente.

A postagem Nublado com possibilidade de malware – O que está acontecendo para DevOps? apareceu primeiro em The New Stack.