Security as Code

Guía práctica y concisa publicada por O'Reilly en 2023 en la que BK Sarthak Das (ingeniero de seguridad en Google y exarquitecto de AWS) y Virginia Chu (principal DevSecOps engineer en AWS) abordan la filosofía de Security as Code (SaC) aplicada al entorno de Amazon Web Services. Está orientada a ingenieros de DevOps, desarrolladores cloud y profesionales de ciberseguridad con nivel intermedio que conocen los servicios principales de AWS y la orquestación de contenedores, y que buscan automatizar controles de seguridad («shift left») dentro del ciclo de desarrollo de software (SDLC) en lugar de tratarlos como una revisión tardía previa al despliegue.

El contenido enseña patrones arquitectónicos y de automatización integrando herramientas nativas de AWS y utilidades de código abierto: configuración de Infraestructura como Código (IaC) con escaneos automatizados para detectar desviaciones (drift) y fallos de configuración; despliegue y hardening de microservicios en contenedores sobre Kubernetes (Amazon EKS); integración de seguridad continua en canalizaciones de CI/CD mediante AWS Code Suite (CodeBuild, CodeDeploy, CodePipeline); diseño de arquitecturas de telemetría y auditoría con Amazon CloudWatch, AWS CloudTrail y Amazon VPC; y gestión de accesos basada en el principio de mínimo privilegio con IAM y Role-Based Access Control (RBAC). Además, introduce pruebas de resiliencia mediante inyección de fallos con AWS Fault Injection Simulator (FIS).

A lo largo de los capítulos se trabaja con el caso de estudio de «Automatoonz», una aplicación en contenedores sobre la cual se construye una canalización completa de DevSecOps con controles de seguridad automatizados, monitorización activa y pruebas de fallos. Su gran valor radica en su síntesis (alrededor de 120 páginas) y en presentar patrones reales y probados sin rodeos teóricos. Como contrapartida, está fuertemente enfocado en el ecosistema de AWS, por lo que quienes utilicen Google Cloud o Azure deberán encargarse de extrapolar los conceptos a las herramientas equivalentes de sus proveedores.