Suchen

Infrastructure-as-Code(IaC)-Sicherheit

Identifizieren und beheben Sie Fehlkonfigurationen in Terraform, CloudFormation, ARM, Kubernetes und anderen IaC-Vorlagen.
Demo anfordern
Infrastructure as Code (IaC) Security Front

Mit Infrastructure-as-Code (IaC) können IT-Mitarbeitende die Cloud-Infrastruktur mithilfe von DevOps-Prozessen bereitstellen, verbessern und Versionskontrollen durchführen. Außerdem können sie proaktiv den Sicherheitsstatus der Cloud-Infrastruktur verbessern, um die Sicherheits- und Betriebsteams zu entlasten.

Cloudnative Infrastrukturen entwickeln sich ständig weiter

Für eine größere Agilität setzen Unternehmen auf neue cloudnative Muster und Cloud-Services, einschließlich Infrastructure-as-Code. Ohne cloudnative Sicherheitsmaßnahmen, die in diese neuen Technologien integriert werden können, steigen dadurch allerdings die Risiken. Die Technologien müssen geschützt werden, ohne dass der Aufwand für die Entwickler zunimmt – nur so verbessern Sie den Cloud-Sicherheitsstatus.

DevOps-Prozesse sind äußerst dynamisch

DevOps-Änderungen werden manchmal täglich vorgenommen, nicht nur einmal im Monat. Außerdem kommen agile Methoden wie CI/CD-Prozesse und -Tools zum Einsatz, um möglichst viele Schritte zu automatisieren. Werden die Sicherheitsfunktionen nicht in diese Prozesse und Tools eingebettet, verzögern sie die Abläufe und verlangsamen den Releasezyklus. Das ist in dynamischen Umgebungen jedoch nicht möglich.

Reaktive Sicherheitsmaßnahmen können nicht skaliert werden

Prüfungen nach dem Wasserfallmodell beeinträchtigen agile Arbeitsabläufe und zwingen Entwickler zum Kontextwechsel. Werden Probleme nur in der Laufzeitumgebung behoben, führt dies schnell zu überlasteten Sicherheitsteams. Durch frühzeitiges Feedback lassen sich Probleme gleich am Ursprung beheben, sodass Entwicklungs- und Sicherheitsteams Zeit sparen.

Automatisierte IaC-Sicherheitsmaßnahmen (Infrastructure-as-Code)

Cortex® Cloud prüft im gesamten Entwicklungszyklus IaC-Vorlagen auf Fehlkonfigurationen sowie ungeschützte Secrets und bettet Sicherheitsfunktionen in integrierte Entwicklungsumgebungen, CI-Tools, Repositorys und Laufzeitumgebungen ein. Cortex Cloud setzt Policy-as-Code schon frühzeitig mithilfe von Automatisierungsfunktionen durch, sodass die Verbreitung von Sicherheitslücken verhindert und Korrekturen automatisch bereitgestellt werden.
  • Kontinuierliche Governance zur Durchsetzung von Policy-as-Code
  • Einbettung in DevOps-Arbeitsabläufen und -Tools
  • Automatische Korrektur von Fehlkonfigurationen über Pull-Anfragen
  • Unterstützung der Community
    Unterstützung der Community
  • Nützliche Integrationen für Entwickler
    Nützliche Integrationen für Entwickler
  • Automatische Fehlerkorrekturen
    Automatische Fehlerkorrekturen
  • Integrierte Kontrollfunktionen
    Integrierte Kontrollfunktionen
  • Compliancebenchmarks
    Compliancebenchmarks
  • Schutz von Secrets
    Schutz von Secrets
Lösung

Unser Ansatz für die IaC-Sicherheit

Unterstützung der Community

Cortex Cloud IaC Security setzt auf dem Open-Source-Projekt Checkov auf. Checkov ist ein Policy-as-Code-Tool, das bereits millionenfach heruntergeladen wurde und in IaC-Vorlagen wie Terraform, CloudFormation, Kubernetes, Helm und ARM Templates and dem Serverless Framework nach Fehlkonfigurationen sucht. Benutzern stehen Hunderte Standardrichtlinien und benutzerdefinierte Regeln zur Verfügung. Cortex Cloud ergänzt Checkov um eine einfache Benutzererfahrung und Unternehmensfunktionen.

  • Prüfung auf falsch konfigurierte Richtlinien

    Checkov gleicht IaC-Vorlagen mit Hunderten Standardrichtlinien basierend auf Benchmarks wie CIS, HIPAA, PCI und Prüfvorgaben aus der Community ab.

  • Kontextbezogene Richtlinien

    Checkov bietet auch auf Diagrammen basierende Prüfungen, mit denen die verschiedenen Beziehungen zwischen Ressourcen für komplexe Richtlinien wie einen höheren Schweregrad für Ressourcen mit Internetschnittstellen nachvollzogen werden können.

  • Zusätzliche Funktionen und Integrationen

    Checkov ist erweiterbar, das heißt, es können benutzerdefinierte Richtlinien und Tags sowie CLIs für CI- und andere DevOps-Tools hinzugefügt werden.

  • Integration in Cortex Cloud für mehr Funktionen

    Cortex Cloud ergänzt die Open-Source-Funktionen von Checkov um einen Prüfverlauf, weitere Integrationen, automatische und intelligente Fehlerkorrekturen und mehr.

Unterstützung der Community

Integration in die Pipeline

Werden Entwickler an den Fehlerkorrekturen beteiligt, können Probleme schneller behoben werden. Cortex Cloud teilt Feedback direkt in DevOps-Tools, zum Beispiel in IDEs (Integrated Development Environments), Continuous-Integration(CI)-Tools und VCS (Version Control Systems).

  • Schnelles Feedback während des gesamten Entwicklungszyklus

    Cortex Cloud kann in IDEs, CI-Tools und VCS integriert werden, um Feedback und Kontrollfunktionen in den Tools bereitzustellen, mit denen sich die Entwickler bereits auskennen.

  • Fehlerkorrekturen mit Kommentaren zu Codereviews

    Durch die native Integration in VCS werden Kommentare zu jeder Pull-Anfrage für identifizierte Sicherheitslücken im Code erstellt, damit diese schneller gefunden und behoben werden können.

  • Anzeige aller IaC-Sicherheitslücken in einer Konsole

    Cortex Cloud bietet eine zentrale Übersicht über alle Fehlkonfigurationen und ungeschützte Secrets in den geprüften Repositorys sowie Filter und Suchfunktionen für Codeblöcke und -eigentümer.

  • Einbettung von Fehlerbehebungen in die DevOps-Arbeitsabläufe

    Durch die Integration in Tools für die Zusammenarbeit und in Ticketsysteme können Tickets und Alarme generiert werden, um die richtigen Teams zu informieren und Fehlerbehebungen für DevOps-Aufgaben zu starten.

Integration von IaC in die Pipeline

Kontextbezogenes und aussagekräftiges Feedback

Entwickler stehen meist unter großem Zeitdruck, daher sind Meldungen von Richtlinienverstößen ohne weitere Erläuterungen für sie äußerst frustrierend. Cortex Cloud bietet für viele Richtlinien automatische Fehlerkorrekturen und gibt für alle Richtlinien Empfehlungen mit Details zur Behebung der Fehlkonfigurationen.

  • Kontextbezogene Einblicke und Richtlinien

    Cortex Cloud zeigt Richtlinienverstöße von Ressourcen und deren Abhängigkeiten an. Für eine einfachere Priorisierung können Richtlinien für bestimmte Kontextinformationen eingerichtet werden, zum Beispiel ein höherer Schweregrad für Verstöße in Zusammenhang mit dem Internet.

  • Praxisrelevante Empfehlungen

    Jede Meldung zu einem Richtlinienverstoß beinhaltet auch Details zu der Fehlkonfiguration sowie praxisrelevante Empfehlungen zur Behebung der Probleme.

  • Schnellere Fehlerbehebung durch Rückverfolgung zum Code und den Codeeigentümern

    Cloud-Ressourcen können über die Codekennzeichnung IaC-Vorlagen zugeordnet werden, damit Teams schneller die problematische Ressource finden und den Fehler beheben können.

  • Einführung von GitOps-Arbeitsabläufen

    Da Fehlkonfigurationen in der Cloud bis zum Code zurückverfolgt werden können, lassen sich Probleme, die in der Laufzeitumgebung identifiziert wurden, im Code korrigieren. So profitieren Teams weiterhin von der Skalierbarkeit und Prüfbarkeit der IaC-Vorlagen.

Kontextbezogenes und aussagekräftiges Feedback

Durchsetzung von Sicherheitskontrollen

Da Entwickler unter Zeitdruck stehen, wählen sie meist den Weg des geringsten Widerstands. Ebenso beheben IT-Mitarbeitende in einem Notfall die Probleme eventuell direkt in den Cloud-Umgebungen, sodass die IaC-Vorlagen nicht mehr damit übereinstimmen. Erstellen Sie eine sichere standardisierte Pipeline für die Überprüfung von Infrastructure-as-Code und nutzen Sie automatisierte Sicherheitskontrollen zur Durchsetzung der Best Practices für GitOps.

  • Blockierung schwerwiegender Sicherheitslücken

    Durch die Integration in DevOps-Arbeitsabläufe können schwerwiegende Fehler wie falsch konfigurierter Code oder ungeschützte Secrets blockiert werden, damit sie nicht in die Repositorys oder in den Bereitstellungsprozess gelangen.

  • Benutzerdefinierte Vorgaben für die Blockierung von Builds

    Richtlinienvorgaben für schwerwiegende Fehler können für jedes Repository festgelegt werden, ebenso wie Ausnahmen für bestimmte Richtlinien und die Unterdrückung für bestimmte Ressourcen.

  • Ergänzung der Richtlinienbibliothek um benutzerdefinierte Richtlinien

    Sie können mit Python, YAML oder dem Richtlinieneditor benutzerdefinierte Richtlinien hinzufügen, um bestimmte Unternehmensanforderungen einzubinden, zum Beispiel mehrere Ressourcen und auf Diagrammen basierende Richtlinien.

  • Praxisrelevante Informationen zu fehlgeschlagenen Bereitstellungen

    Jede Prüfung umfasst einen Codereview mit einer Liste der Fehlkonfigurationen und Empfehlungen für die Behebung sowie automatischen Korrekturen für Probleme in Pull-Anfragen.

Durchsetzung von Kontrollfunktionen und Vermeidung von Abweichungen

Weitere Funktionen in Application Security

MANAGEMENT DES ANWENDUNGSSICHERHEITSNIVEAUS

Verhindern Sie, dass riskanter Code in die Produktion überführt wird, und beheben Sie Probleme rasch im Quellcode.

Mehr dazu

SOFTWARE COMPOSITION ANALYSIS (SCA)

Äußerst präzise und kontextbasierte Sicherheitsmaßnahmen für Open-Source-Software und Compliance mit Lizenzvorgaben

Mehr dazu

SICHERHEIT IN DER SOFTWARELIEFERKETTE

Stärken Sie Ihre CI/CD-Pipelines, reduzieren Sie Ihre Angriffsfläche und schützen Sie Ihre Anwendungsentwicklungsumgebung.

Mehr dazu

SCHUTZ VON SECRETS

Mehrdimensionale Secrets-Scans für den gesamten Stack in Repositorys und Pipelines

Mehr dazu

Erhalten Sie die neuesten Nachrichten, Einladungen zu Veranstaltungen und Bedrohungswarnungen