Securing DevOps

Manual exhaustivo sobre DevSecOps que enseña a incrustar prácticas y controles de seguridad automatizados en todo el ciclo de entrega e infraestructura en la nube. Publicado en 2018 por Julien Vehent (exresponsable de seguridad de operaciones en Mozilla Firefox), está enfocado a ingenieros DevOps, administradores de sistemas y desarrolladores de backend de nivel intermedio que conocen los fundamentos de Linux, redes IP, contenedores y pipelines de integración continua, y buscan proteger aplicaciones web e infraestructuras en Amazon Web Services (AWS).

El núcleo de la obra es la metodología Test-Driven Security (seguridad guiada por pruebas), organizada en capas sucesivas de protección: seguridad en aplicaciones web (prevención de vulnerabilidades OWASP Top 10, Content Security Policy, cookies seguras y auditoría de dependencias), seguridad en la infraestructura en la nube (arquitectura de AWS VPC, subredes públicas y privadas, grupos de seguridad con principio de mínimo privilegio y bastiones SSH con autenticación de dos factores), cifrado y gestión de certificados (TLS/HTTPS con Let's Encrypt y HSTS) y protección del pipeline en CircleCI y Docker Hub. Además, enseña a centralizar y proteger logs de auditoría (CloudWatch, ELK/Syslog), monitorizar intrusiones con herramientas como Mozilla MIG u OSSEC, y planificar la respuesta forense ante incidentes mediante simulaciones de intrusión.

A lo largo del libro se construye, empaqueta y asegura un microservicio web de facturación («Invoicer») desarrollado en Go, automatizando sus análisis de vulnerabilidades, su contenedor Docker y su despliegue continuo en AWS Elastic Beanstalk con base de datos relacional aislada. Destaca por trasladar al lector la experiencia operativa real adquirida por el autor en la infraestructura de Mozilla, demostrando que la seguridad puede integrarse ágilmente en los flujos diarios sin frenar el ritmo de despliegue. Aunque ciertos servicios de AWS y versiones de herramientas han recibido mejoras estéticas y funcionales, los principios de defensa en profundidad y automatización de auditorías siguen siendo completamente vigentes.