El almacenamiento que nadie abrió a propósito

El equipo de Cauce describe su almacenamiento de recibos de pago en un archivo de infraestructura como código: nombre, región, y quién puede leerlo. Mientras es un archivo, todavía no hay nada en la nube — y ese es justo el momento de revisarlo. El escaneo de infraestructura como código lee ese archivo y comprueba cada recurso contra un catálogo de reglas de configuración segura, antes de que la cadena lo aplique. Un fallo detectado aquí se corrige cambiando una línea del archivo; el mismo fallo aplicado es un almacenamiento real expuesto en internet.

Que la infraestructura sea texto revisable antes de aplicarse es lo que traslada el «shift-left» del código a los servidores.

En infraestructura, unos pocos fallos aparecen una y otra vez. El almacenamiento configurado con acceso de lectura público, cuando debería ser privado. Un permiso escrito con comodín, que concede todo en vez de lo justo. Un puerto de administración o de base de datos abierto a cualquier origen de internet. Un secreto escrito en claro dentro del propio archivo de infraestructura. En el archivo de Cauce, el almacenamiento de recibos de pago está declarado con acceso de lectura público. Reconocer el patrón —acceso público sobre datos que deberían ser privados— es el trabajo.

Conocer el puñado de fallos que se repiten en infraestructura permite cazarlos de un vistazo, antes incluso de que el escáner los confirme.

Checkov reporta, por cada fallo, un identificador de regla, el recurso afectado, el archivo y la línea, y una explicación de qué comprueba la regla. Para el almacenamiento de Cauce, la regla que dispara es la que exige que el almacenamiento no permita acceso público de lectura, y señala la línea donde está el acceso público. Igual que en el análisis del código, la precisión es lo que hace accionable el hallazgo: el arreglo es cambiar esa línea a acceso privado en el archivo, no tocar la nube a mano. Corregir el archivo y volver a escanear cierra el hallazgo en origen.

Arreglar la infraestructura en el archivo, y no en la consola de la nube, es lo que evita que el fallo vuelva en el siguiente despliegue.

También en infraestructura se aplica el criterio de parar o avisar. Un almacenamiento de datos de pago abierto al público, o un puerto de base de datos expuesto a todo internet, es exposición directa de datos sensibles: se para, no se aplica hasta corregir. Una regla de severidad baja —una etiqueta que falta, un cifrado en reposo recomendado pero no crítico para ese recurso— se registra como excepción documentada, con su motivo, para no bloquear cada despliegue por cuestiones menores. La línea se traza donde hay exposición real de datos o de acceso.

Reservar la parada para la exposición real de datos y accesos, y documentar el resto, es lo que mantiene el control de infraestructura encendido sin frenar al equipo.

Abre el laboratorio de infraestructura de Cauce y lee la salida de Checkov. Distingue el fallo que para —el acceso de lectura público sobre datos de pago— del aviso cosmético de la etiqueta que falta.