Leonardo Murillo habla sobre DevSecOps, su relación con DevOps, y demuestra dos herramientas Hands On: Checkov y Starboard

1. DevOps + Cloud Native
Comunidad
Costa Rica
DevSecOps: Integrando seguridad en nuestros pipelines
Febrero11,2021

2. /in/leonardomurillo
murillodigital
https://www.murillodigital.com
Leonardo Murillo
Fundador @ Cloud Native Architects Inc
CTO @ Qwinix Technologies Inc
Organizador CNCF Community Costa Rica
CNCF Speaker

3. Empecemos por DevOps
Responsabilidad
compartida
Ciclos rápidos de
retroalimentación
Automatización y
codificación
Principios
DevOps+CloudNative
Comunidad
Costa Rica

4. Empecemos por DevOps
Eliminar desperdicio
Calidad integral en el
desarrollo
Reducir pasos entre
manos
Principios
DevOps+CloudNative
Comunidad
Costa Rica

5. Seguridad se quedó atras
DevOps+CloudNative
Comunidad
Costa Rica
Seguridad es un proceso aislado, por
un equipo independiente, lejos de
Desarrollo y cerca de producción.

6. DevOps+CloudNative
Comunidad
Costa Rica
Agregando lo que siempre debió estar ahí
Es una evolución a los patrones de
DevOps establecidos
Seguridad como código
Equipos integrados y seguridad en los procesos
de mejora continua de la organización
Seguridad presente en todo el ciclo de vida del
producto
¡Seguridad es un componente intrinseco de valor para
el usuario!

7. DevOps+CloudNative
Comunidad
Costa Rica
Objetivos de DevSecops
Vigilancia de seguridad continua
“Shift Security Left” – Acercar
procesos de seguridad al
desarrollo y no al despliegue.
Conocimiento en seguridad
presente en todo el ciclo de
vida

8. DevOps+CloudNative
Comunidad
Costa Rica
Seguridad en el ciclo de vida
Diseño/Desarrollo Construcción Integración Despliegue
Auditoria supply chain
Threat modeling
Escriba Código Seguro!
Firmado de imágenes
Linting
Static Analysis
Escaneo de imágenes
Pen Testing automatizado
Remediación automatizada
Runtime policies
Observability

9. DevOps+CloudNative
Comunidad
Costa Rica
Herramientas con las que trabajaremos hoy
Análisis estático de código Terraform, CloudFormation,
ARM y K8s Manifests 🤯
Más de 500 policies, y posibilidad para escribir policies
propios
Escrito en Python, de muy fácil integración a un CI
pipeline
Se adhiere a estándares del CIS (Center of Internet
Security) y AWS Foundations Benchmark

10. DevOps+CloudNative
Comunidad
Costa Rica
Herramientas con las que trabajaremos hoy
Integra múltiples herramientas de seguridad en un entorno nativo para K8s
Puede usar como CLI o como Operador
¡seguridad continua!
Trivy: https://github.com/aquasecurity/trivy
Kube Bench: https://github.com/aquasecurity/kube-bench
Kube Hunter: https://github.com/aquasecurity/kube-hunter

11. ¡Gracias!
PróximoEvento
Charla: ComparandoManagedKubernetes
11deMarzo
📅
DevOps + Cloud Native
Comunidad
Costa Rica
PróximaReunióndeComunidad
3deMarzo
📅