Entrevista a un experto: La infraestructura como código con Oscar Quintas

Una de las mejores cosas de trabajar en una startup tecnológica son todas las personas interesantes e inteligentes que puedes conocer y con las que colaboras a lo largo del camino. Hacer que una empresa pase de ser una idea genial a convertirse en una competidora seria en el mercado requiere formar tu propio equipo de Vengadores (o la Liga de la Justicia, según tu lealtad).

Con eso en mente, nos gustaría destacar a uno de nuestros expertos, Oscar Quintas. Forma parte de nuestro equipo de contenido de productos y trabaja como investigador sénior de seguridad. También es nuestro hechicero residente en todo lo relacionado con la infraestructura como código (IaC). Él es la fuerza detrás de nuestros 178 (¡y seguimos sumando!) Los desafíos de la plataforma iAC y nuestra referencia para todas las preguntas candentes que tenemos sobre este tema tan nuevo y candente.

Creemos que es muy especial, así que nos gustaría que lo conocieras un poco mejor. Aquí compartirá sus puntos de vista sobre un tema tan candente como la seguridad de la infraestructura como código, su función y lo que las organizaciones pueden hacer para preparar mejor a sus ingenieros e infraestructuras de nube:

P: Háblenos de su función en Secure Code Warrior. ¿Cómo es un día normal para usted?

R: Formo parte del equipo de contenido del producto y trabajo como investigador sénior de seguridad. Un día normal consiste en revisar el código de los desafíos en diferentes lenguajes (Python, Java, Golang y muchos otros) para garantizar que se cumplan los estándares de calidad del código y que se implementen las mejores prácticas de seguridad. También desarrollo nuevos contenidos para iAC.

P: Usted ha sido el genio detrás de todos nuestros desafíos de la plataforma Infrastructure as Code. ¿Cuál es su proceso?

R: Yo diría que es una combinación de investigación y trabajo duro para ofrecer contenido que brinde una gran relevancia y participación a múltiples niveles de habilidad. Por lo general, empiezo por analizar los problemas más comunes a los que se enfrentan los usuarios al implementar la infraestructura y, con esa información, desarrollo desafíos útiles para mostrar las mejores prácticas de seguridad para cada caso.

Siempre intento ofrecer una buena experiencia de aprendizaje a nuestros guerreros y asegurarme de que sea un ejercicio útil y relevante para el trabajo con un beneficio continuo.

P: La seguridad del iAC es un tema muy popular en este momento. ¿Cuáles son los principales problemas a los que se enfrentan las empresas en lo que respecta a sus prácticas de seguridad en la nube?
R: La infraestructura como código consiste en administrar los recursos de la infraestructura mediante código. Con solo unas pocas líneas de ese código, puede implementar cientos de recursos en la nube (redes, reglas de firewall, máquinas virtuales, contenedores, etc.) que pueden contener errores de seguridad si no se configuran correctamente. Por lo tanto, los mismos principios que se aplican a la implementación segura de aplicaciones pueden aplicarse a IaC, y todos los equipos que participan en el SDLC deben entender estos riesgos (y sus soluciones).

Este conocimiento y esta acción comienzan con una formación adecuada en seguridad de IaC y priorizando las habilidades de codificación segura de sus ingenieros de nube. Pueden ser una poderosa capa de defensa, y esto es especialmente importante cuando están creando la infraestructura que aloja las aplicaciones.

P: Hay mucho interés en la industria en torno a Kubernetes y parece que se usa ampliamente. Sin embargo, los datos de nuestra plataforma reflejan que Terraform es un lenguaje abrumadoramente popular y con un alto nivel de participación. ¿Tiene alguna idea que compartir sobre por qué está ganando tanta popularidad?
A: Terraform es el lenguaje de facto para IaC, ya que nos permite implementar recursos de infraestructura en entornos de múltiples nubes (por ejemplo, AWS, GCP, Azure) utilizando una sintaxis simple. Le permite definir su infraestructura mediante código e interactúa de forma transparente con las API de la nube para gestionar el despliegue de los recursos.

Este lenguaje es increíblemente versátil y, dado que se puede agregar a los repositorios de control de código fuente, los principios de DevOps y DevSecOps también se pueden aplicar a la implementación de la infraestructura. Sin embargo, esto también introducirá nuevas amenazas que deben abordarse, por lo que es imprescindible una formación integral en codificación segura con Terraform.

P: Eres un experto en seguridad de iAC. ¿Cuál es la mejor parte de su trabajo?
A: iAC aún está en sus inicios, por lo que se lanzan muchas cosas nuevas con frecuencia. Es un poco difícil mantenerse al día con estas nuevas tecnologías, pero es gratificante al mismo tiempo. Me gusta mucho aprender cosas nuevas y probar las mejores prácticas de seguridad para los nuevos servicios.

Lleve la seguridad de su iAC al siguiente nivel.

Si desea que sus desarrolladores de nube perfeccionen sus habilidades de seguridad en torno a la infraestructura como código, desafíese con nuestro Los 8 mejores de iAC! Lea cada capítulo para obtener un resumen completo de los ocho errores de seguridad más comunes de iAC, incluidos los desafíos interactivos para poner a prueba sus nuevos conocimientos.

¡Cuéntanos tu puntuación y haz que Oscar se sienta orgulloso!