No es de extrañar que hoy en día se vean amenazados los aspectos de seguridad de la cadena de suministro de software. Primero, log4j saltó a los titulares y obligó a todo el mundo a apresurarse para mitigar esta vulnerabilidad tan extendida y problemática en la cadena de suministro de software.
Más recientemente, Spring4Shell apareció en nuestro radar; otra vulnerabilidad introducida por un framework que está causando estragos en las empresas que necesitan hacer frente a la amenaza.
Así que fue bastante grato ver que GitHub presentaba nuevas funcionalidades destinadas a reforzar la seguridad de la cadena de suministro de software. Resultó especialmente grato después de analizar el último informe de Sonatype sobre el estado de la cadena de suministro de software, en el que se ofrecían estadísticas que deberían alarmar a cualquier profesional de la tecnología preocupado por la seguridad, independientemente de su función. Cabe destacar:
- Actualmente hay disponibles 37 millones de versiones de componentes de software de código abierto
- El 29 % de los proyectos populares contienen al menos una vulnerabilidad de seguridad conocida
- Aumento interanual del 650 % en los ciberataques dirigidos a proveedores de código abierto
Estos hallazgos son especialmente preocupantes porque el informe determinó que «una aplicación moderna contiene, de media, 128 dependencias de código abierto».
Ahora bien, ya sabéis que no soy muy aficionado a hacer cálculos, pero hagamos unos cuantos.
En el informe Estado de la estrategia de aplicaciones de 2022, encontramos varias estadísticas dignas de mención:
- Las aplicaciones modernas (nativas de contenedores y móviles) representan, de media, el 33 % de la cartera de aplicaciones empresariales
- Las empresas de todos los sectores mantienen una cartera media de unas 200 aplicaciones
Así pues, el 33 % de 200 significa que una empresa típica tiene una media de 66 aplicaciones modernas en su cartera. Si aplicamos la media de dependencias de código abierto de Sonatype, la empresa media podría tener que asumir la carga de proteger 8448 dependencias de código abierto diferentes. Ahora bien, es casi seguro que haya dependencias comunes entre las aplicaciones. Las aplicaciones nativas de contenedores casi siempre comparten el mismo entorno de orquestación de contenedores (Kubernetes es actualmente el rey de los COE), por lo que la carga es en realidad menor en cuanto al número de dependencias específicas, pero no en el sentido de que cada una de esas instancias deba actualizarse en caso de que se detecte una vulnerabilidad.
Sin necesidad de hacer más cálculos, convengamos en que proteger la cadena de suministro de software hoy en día es una tarea de gran envergadura, dado el tamaño de las carteras de aplicaciones y la inclusión de dependencias de código abierto.
La nueva funcionalidad de GitHub ayuda a abordar este problema al «detectar y bloquear vulnerabilidades que actualmente solo se muestran en la vista enriquecida de diferencias de una solicitud de incorporación de cambios». En otras palabras, se integra en el flujo de CI/CD y busca vulnerabilidades conocidas en tiempo real.
Genial. No es una capacidad fuera de lo común. DevSecOps lleva años impulsando este tipo de enfoque de seguridad «shift left». La mayoría de los pipelines de CI/CD, independientemente de las herramientas utilizadas, pueden realizar análisis de seguridad del código. Sin embargo, no todos incorporan la capacidad de buscar vulnerabilidades conocidas que puedan estar profundamente ocultas en las dependencias o ser el resultado de un error lógico que no sea tan fácil de detectar.
Ahora bien, por supuesto, debes incorporar tanta seguridad como sea posible en el pipeline de CI/CD para erradicar vulnerabilidades y errores que más adelante puedan darte un buen mordisco en el trasero. Pero no es por eso por lo que hemos realizado este ejercicio.
SRE, software y seguridad de la cadena de suministro
La razón por la que destaco el problema de la cadena de suministro de software actual es que no hará más que empeorar a medida que las organizaciones modernicen sus operaciones mediante enfoques de SRE. Esto se debe a que, en esencia, las prácticas de SRE dependen de la automatización, que, como seguramente sabrá, depende a su vez de software y scripts, muchos de los cuales son —agárrese— de código abierto.
De hecho, no debería sorprender que muchas de esas herramientas de código abierto utilizadas por los equipos de DevOps también vayan a ser utilizadas por los equipos de SRE. Simplificando sus funciones y su relación, podría decirse que los equipos de SRE son el equivalente de DevOps para producción. Mientras que los profesionales de DevOps suelen centrarse en el proceso de compilación y publicación del software, los equipos de SRE se centran en el proceso de operaciones del software. Esto incluye no solo las aplicaciones, sino también los servicios de seguridad y entrega de aplicaciones, así como las plataformas y los entornos (como el núcleo, la nube y el extremo de la red). El ámbito de actuación del personal de SRE abarca toda la pila de TI, lo que dificulta considerablemente su tarea a la hora de proteger la cadena de suministro de software.
Baste decir que la seguridad de la cadena de suministro de software debería preocupar a todas las organizaciones, ya que afecta a todo el ciclo de vida de las aplicaciones: desde el desarrollo, la compilación y el lanzamiento hasta el despliegue y la operación.
Y también debería preocupar a las organizaciones que esperan superar con éxito su proceso de transformación digital. Se avecina un cambio significativo para las empresas de todo el mundo que afecta al núcleo mismo de la organización: la arquitectura empresarial.
La mayoría de las arquitecturas empresariales se establecieron hace décadas, basándose en marcos desarrollados bajo la premisa de que los recursos eran fijos e inflexibles y de que el centro de datos era el eje del universo empresarial.
Nada de eso sigue siendo cierto y, aunque lo fuera, la empresa también ha cambiado. Ahora es cada vez más digital, y una empresa digital con procesos basados en datos no puede representarse adecuadamente mediante una arquitectura diseñada para representar una empresa física con procesos dirigidos por personas. La arquitectura empresarial debe modernizarse y, al hacerlo, deben incorporarse nuevos ámbitos, como el de las operaciones de SRE.
Y así es. Nuestro estudio de este año reveló que el 37 % de las organizaciones ya ha adoptado las operaciones de SRE para modernizar las aplicaciones y las operaciones, y otro 40 % tiene previsto hacerlo en los próximos 12 meses. Esto implica herramientas y scripts, software y datos, así como todo un conjunto de tecnologías que respaldarán esta nueva función dentro de la organización.
Y con el software, los scripts y las pilas tecnológicas llegan las cadenas de suministro y la seguridad. Y si algo hemos aprendido de DevOps que no se puede ignorar al modernizar las operaciones es que las prácticas de SRE generarán gran parte de la misma deuda técnica y los mismos retos de seguridad.
La buena noticia es que, a diferencia de DevOps y los procesos de compilación, las operaciones de SRE serán una práctica nueva para las organizaciones. Y establecer nuevas prácticas implica adoptar nuevas formas de trabajar, incluida la integración de la seguridad desde el principio.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Proteger los endpoints de las API dificulta la seguridad de las API
Descubre las complejidades de la seguridad de las API, los retos a los que se enfrentan las organizaciones, la evolución de los ataques contra endpoints de API y la necesidad de políticas de seguridad adaptadas.
¿Qué es el sesgo de la IA y por qué es importante para TI?
Descubre los fundamentos del aprendizaje de la IA. Aprende cómo pueden surgir sesgos en la IA y qué riesgos plantean para las TI y la transformación digital.
Redefiniendo la ciberseguridad en el extremo de la nube distribuida con IA y telemetría en tiempo real
La transformación digital y la adopción de tecnologías en la nube están provocando cambios en las arquitecturas de las aplicaciones. Estos cambios introducen nuevas superficies de ataque, que son el objetivo de métodos de ataque avanzados, altamente organizados y con motivaciones económicas. Mediante el uso del framework Morpheus de NVIDIA, F5 está investigando técnicas para detectar estas amenazas avanzadas con telemetría en tiempo real y análisis basados en IA.
El papel de la nube en las aplicaciones nativas del edge
No debería sorprender que, al igual que la aparición de la nube dio lugar a las aplicaciones nativas de la nube, el edge esté impulsando un conjunto de aplicaciones nativas del edge. Sin embargo, estas aplicaciones no residirán únicamente en el edge. Al mismo tiempo, están surgiendo nuevos patrones arquitectónicos que aprovechan las aplicaciones alojadas en la nube y en el centro de datos.
La creciente diversidad de ubicaciones y usuarios está impulsando a las empresas hacia el edge
En el contexto del ámbito de las aplicaciones, el término «usuario» siempre se ha referido a la entidad que interactúa con una aplicación. Del mismo modo que los cambios en las arquitecturas de las aplicaciones impulsan cambios en las tecnologías que permiten ofrecerlas y protegerlas, los cambios en la definición de usuario han provocado cambios en los lugares donde se despliegan las aplicaciones.
El edge está impulsando un renacimiento de las infraestructuras
A medida que las organizaciones aumentan la generación de datos y tratan de extraer valor empresarial de ellos, sin duda recurrirán a la analítica y la automatización basadas en la IA y el aprendizaje automático. Precisamente este tipo de cargas de trabajo son las que más se beneficiarían de una infraestructura optimizada y, sin embargo, hoy en día son las que menos probabilidades tienen de poder aprovecharla.