Escaneo de infraestructura como código (IaC)

​

Resumen

• Qué hace: El escaneo de IaC analiza los archivos de configuración de infraestructura para identificar configuraciones de seguridad incorrectas, infracciones de políticas y secretos incluidos directamente en el código antes de que lleguen a producción. Admite varios formatos, como manifiestos de Kubernetes, archivos de Terraform, Dockerfiles y plantillas de CloudFormation, y proporciona hallazgos detallados con su gravedad y recomendaciones de remediación.
• Para quién es: Esta función está dirigida a profesionales de DevOps, arquitectura cloud, seguridad e ingeniería de plataformas que gestionan infraestructura como código. Resulta especialmente útil para los equipos que adoptan prácticas cloud native, implementan flujos de trabajo de GitOps o deben cumplir requisitos normativos en sus despliegues de infraestructura.

​

Características y beneficios principales

• Cobertura integral de IaC: Escanea código de infraestructura en distintas plataformas y formatos, incluidos Kubernetes, Docker, Terraform, CloudFormation, plantillas de Azure ARM y charts de Helm
• Capacidades de detección dual:
  • Detección de configuración incorrecta: Identifica configuraciones inseguras, controles de seguridad ausentes, permisos excesivos y violaciones de cumplimiento
  • Detección de secretos: Encuentra credenciales incluidas directamente en el código, claves de API, tokens y datos sensibles incrustados en el código de infraestructura
• Información detallada sobre los hallazgos: Incluye:
  • Descripciones de problemas de configuración e impacto en la seguridad
  • Niveles de gravedad (crítica, alta, media y baja)
  • Recursos afectados y ubicaciones de archivos
  • Guía de remediación y recomendaciones de mejores prácticas
• Detección inteligente: Identifica automáticamente los archivos IaC en tu repositorio y aplica las comprobaciones de seguridad adecuadas según el tipo de archivo

​

Tipos de infraestructura compatibles

​

Instrucciones de configuración

​

Pasos de configuración

​

Guía de uso

​

Flujos de trabajo clave

1. Detección automática: El sistema identifica automáticamente los archivos de IaC del repositorio
2. Análisis de configuración: Aplica comprobaciones de seguridad y normas de cumplimiento basadas en el tipo de archivo
3. Detección de configuraciones incorrectas: Identifica problemas de seguridad, infracciones de políticas y desviaciones de las prácticas recomendadas
4. Detección de secretos: Busca credenciales incluidas directamente en el código e información sensible
5. Creación de hallazgos: Crea un hallazgo de seguridad con seguimiento para cada vulnerabilidad detectada
6. Informes: Genera informes completos con orientación prioritaria para remediación

​

Ejemplos comunes de mala configuración

# ❌ Insecure
apiVersion: v1
kind: Pod
spec:
  containers:
  - name: app
    image: myapp:latest
    securityContext:
      privileged: true  # High severity issue

# ❌ Insecure
FROM ubuntu:latest
RUN apt-get update && apt-get install -y myapp
CMD ["myapp"]  # Running as root

# ❌ Insecure
resource "aws_s3_bucket" "data" {
  bucket = "my-data-bucket"
  acl    = "public-read"  # Critical severity issue
}

​

Desglose de gravedad

• Alto: Debe abordarse antes del despliegue, riesgo de seguridad significativo
• Medio: Debe abordarse en mantenimiento regular, impacto moderado en la seguridad
• Bajo: Mejoras en las mejores prácticas, riesgo inmediato mínimo

​

Mejores prácticas

• Shift left: Escanea el código de infraestructura durante el desarrollo, no solo antes del despliegue
• Política como código: Define y aplica las políticas de seguridad específicas de la organización
• Control de versiones: Almacena todo el código de infraestructura en el control de versiones para las auditorías
• Privilegios mínimos: Configura en cada recurso únicamente los permisos necesarios
• Cifrado: Habilita el cifrado en reposo y en tránsito para todos los recursos sensibles
• Revisiones periódicas: Revisa y actualiza periódicamente las políticas de seguridad de IaC
• Gestión de secretos: Utiliza herramientas de gestión de secretos, como Vault o AWS Secrets Manager, en lugar de incluirlos directamente en el código
• Cumplimiento normativo: Asocia los hallazgos a los marcos aplicables, como CIS o SOC 2

​

Resolución de problemas

​

Características relacionadas

• Escaneo secreto - Detección de secretos dedicada en todos los tipos de archivos
• Escaneo de dependencias (SCA) - Escaneo de vulnerabilidades en dependencias de terceros
• SAST nativo de IA (BLAST) - Pruebas de seguridad de aplicaciones para código fuente