La gestión de los secretos

Los secretos son un tipo de objeto que, generalmente, contiene información confidencial, como las contraseñas, los archivos de configuración de los clientes, los datos de acceso a los repositorios, etc. Es ideal almacenar como secretos aquellos elementos que deben conservar la privacidad y mantenerse separados de los pods.

Además, es fundamental gestionarlos para proteger el entorno ante la filtración de datos y la vulneración de las credenciales.

La gestión de los secretos es un método que garantiza la privacidad de la información confidencial necesaria para ejecutar las operaciones diarias. Fortalece la seguridad en los entornos de desarrollo y producción de la empresa sin obstaculizar los flujos de trabajo de DevOps ni los de seguridad de las operaciones. 

La gestión de los secretos no se trata de una sola tarea, sino de la aplicación de diferentes opciones de protección, como el acceso y el seguimiento autenticados, los principios sobre los privilegios, el control de acceso basado en funciones y más. Estas alternativas garantizan que se gestionen de forma adecuada sin exponer los datos importantes a los usuarios que no estén autenticados. 

Hay varias herramientas de automatización que pueden gestionar los secretos desde un solo punto de control con credenciales para los recursos protegidos. Algunas de ellas son Red Hat® Ansible® Automation Platformcon Red Hat® OpenShift®, CyberArk o diversas opciones de Git y GitLab.

La gestión de los secretos se ajusta a un marco de seguridad e implementa las opciones de seguridad en algunos puntos clave del ciclo de vida de DevSecOps.

En el ejemplo anterior, se puede ver la correlación entre las soluciones de seguridad y determinados puntos del ciclo de vida de DevOps. Por ejemplo, se puede aplicar el análisis de composición de software (SCA) para buscar software open source en la base del código en el entorno de desarrollo integrado (IDE), el repositorio de compilaciones, el registro de contenedores y los clústeres. Esta acción puede protegerlo frente a los puntos vulnerables downstream en la base del código. La implementación combinada de los almacenes de secretos y las herramientas de autenticación en las etapas clave del ciclo de desarrollo también podría reducir las oportunidades para los potenciales piratas informáticos o delincuentes. 

Este es tan solo un ejemplo de la eficiencia de las soluciones de seguridad y gestión de los secretos. La gestión efectiva no implica la implementación de todos los aspectos enumerados anteriormente, sino la aplicación estratégica de las opciones de seguridad para reducir la posibilidad de que los secretos se vean comprometidos dentro de la carga de trabajo específica. 
 

Es importante destacar que, si bien los secretos de OpenShift y Kubernetes ya vienen codificados, es probable que esto no sea suficiente para mantenerlos a salvo. La codificación consiste en convertir los datos a un formato diferente, pero el proceso puede revertirse. En cambio, el cifrado transforma los datos, y se requieren claves específicas para acceder a ellos o revertir el proceso. Es un método mucho más seguro para protegerlos, y puede implementarse como parte de la estrategia de gestión de los secretos.

Además de proteger los datos de la empresa, la gestión de los secretos ofrece otros beneficios:

• Evita la dispersión de los secretos y las herramientas aisladas de seguridad: si controla los secretos de forma centralizada, evitará situaciones en las que solo un grupo reducido de personas dentro de la empresa tenga acceso específico.
• Identifica a los delincuentes: si implementa requisitos de verificación rigurosos, puede deshacerse de los posibles piratas informáticos y frenar sus intentos de hacerse pasar por usuarios con credenciales.
• Automatiza las credenciales: si automatiza la verificación y la aceptación de las credenciales, reducirá el trabajo manual que se necesita para autenticar a los usuarios y evitará que se obstaculicen sus flujos de trabajo.

Ahora que ya conoce los detalles de la gestión de los secretos, consulte otras opciones para fortalecer la seguridad de los flujos de trabajo en su empresa.