DevSecOps 20250112-1 Flashcards
¿Qué es DevSecOps y cuál es su principal objetivo?
DevSecOps es una filosofía de desarrollo de software que integra prácticas de seguridad en el ciclo de vida del desarrollo (SDLC). Su principal objetivo es automatizar la seguridad para que sea una responsabilidad compartida entre los equipos de desarrollo, operaciones y seguridad, garantizando que la seguridad se implemente desde el inicio y a lo largo de todo el proceso de desarrollo.
¿Cuáles son los tres pilares fundamentales de DevSecOps?
Los tres pilares fundamentales de DevSecOps son Desarrollo (Dev), Operaciones (Ops) y Seguridad (Sec). Estos pilares trabajan juntos para integrar la seguridad en todas las etapas del ciclo de vida del desarrollo de software.
¿Cómo se diferencia DevSecOps de DevOps tradicional?
DevSecOps diferencia de DevOps tradicional al incorporar explícitamente la seguridad en todas las fases del ciclo de vida del desarrollo, en lugar de tratar la seguridad como una etapa separada al final del proceso.
¿Qué es el shift-left en el contexto de DevSecOps?
El shift-left es una práctica que implica integrar actividades de seguridad desde las primeras etapas del ciclo de vida del desarrollo de software. Esto permite identificar y mitigar vulnerabilidades más temprano, reduciendo costos y mejorando la calidad del software.
¿Qué papel juega la automatización en DevSecOps?
La automatización en DevSecOps es crucial para integrar la seguridad en el flujo continuo de desarrollo y operaciones. Permite realizar pruebas de seguridad, análisis de código, escaneo de vulnerabilidades y otras tareas de seguridad de manera eficiente y consistente.
¿Qué son los pipelines de CI/CD y cómo se integran con DevSecOps?
Los pipelines de CI/CD (Integración Continua/Despliegue Continuo) son flujos de trabajo automatizados que permiten la integración y el despliegue constante de código. En DevSecOps, se integran con herramientas de seguridad para realizar pruebas y validaciones automáticas, asegurando que el código sea seguro antes de ser desplegado.
¿Qué es un análisis de vulnerabilidades y cómo se implementa en DevSecOps?
Un análisis de vulnerabilidades es un proceso de identificar, clasificar y mitigar vulnerabilidades en el software. En DevSecOps, se implementa de manera automatizada dentro de los pipelines de CI/CD, utilizando herramientas que escanean el código, dependencias y configuraciones para detectar y reportar vulnerabilidades.
¿Qué es la gestión de secretos y por qué es importante en DevSecOps?
La gestión de secretos implica almacenar y manejar credenciales, claves API y otros datos sensibles de manera segura. Es importante en DevSecOps para evitar fugas de información y asegurar que los secretos no sean expuestos en el código o en entornos no seguros.
¿Qué es la infraestructura como código (IaC) y cómo contribuye a DevSecOps?
La infraestructura como código (IaC) es una práctica de gestionar y aprovisionar infraestructura a través de código en lugar de procesos manuales. Contribuye a DevSecOps al permitir la automatización, consistencia y verificación de la seguridad de la infraestructura, integrándola en los pipelines de CI/CD.
¿Qué es el monitoreo continuo y cuál es su importancia en DevSecOps?
El monitoreo continuo es la supervisión constante de las aplicaciones, infraestructura y entornos para detectar anomalías y posibles amenazas de seguridad. Es importante en DevSecOps para responder rápidamente a incidentes, mantener la integridad del sistema y asegurar el cumplimiento de políticas de seguridad.
¿Qué es un contenedor y cómo afecta a la seguridad en DevSecOps?
Un contenedor es una tecnología que empaqueta una aplicación y sus dependencias en una unidad portátil y aislada. Afecta la seguridad en DevSecOps al ofrecer entornos consistentes y reproducibles, pero también introduce nuevos desafíos como la gestión de vulnerabilidades en imágenes de contenedores y la configuración segura de los mismos.
¿Qué es Kubernetes y cuál es su papel en DevSecOps?
Kubernetes es una plataforma de orquestación de contenedores que automatiza el despliegue, escalado y gestión de aplicaciones en contenedores. En DevSecOps, Kubernetes facilita la implementación de prácticas de seguridad como la gestión de políticas, el aislamiento de recursos y la automatización de controles de seguridad.
¿Cómo se implementa el principio de menor privilegio en DevSecOps?
El principio de menor privilegio se implementa en DevSecOps limitando los permisos y accesos de los usuarios y servicios a solo lo necesario para realizar sus tareas. Esto se logra mediante el uso de roles y políticas de acceso estrictas, herramientas de gestión de identidades y la revisión regular de permisos.
¿Qué es un CASB y cómo mejora la seguridad en DevSecOps?
Un CASB (Cloud Access Security Broker) es una herramienta que proporciona visibilidad y control sobre el uso de servicios en la nube. Mejora la seguridad en DevSecOps al aplicar políticas de seguridad, detectar amenazas, asegurar el cumplimiento y proteger los datos en entornos de nube utilizados en el desarrollo y operaciones.
¿Qué es el SAST y cómo se utiliza en DevSecOps?
El SAST (Static Application Security Testing) es una técnica de análisis de código que detecta vulnerabilidades sin ejecutar la aplicación. En DevSecOps, se utiliza de manera automatizada dentro de los pipelines de CI/CD para identificar y corregir problemas de seguridad en el código fuente temprano en el ciclo de desarrollo.
¿Qué es el DAST y cómo se integra en DevSecOps?
El DAST (Dynamic Application Security Testing) es una técnica de análisis de seguridad que evalúa las aplicaciones en funcionamiento para identificar vulnerabilidades. En DevSecOps, se integra en los pipelines de CI/CD para realizar pruebas de seguridad en aplicaciones desplegadas, complementando el SAST y proporcionando una evaluación completa de la seguridad.
¿Qué es un BOM (Bill of Materials) en DevSecOps y cuál es su importancia?
Un BOM (Bill of Materials) en DevSecOps es una lista detallada de todas las dependencias, componentes y versiones utilizados en una aplicación. Es importante para gestionar la seguridad, ya que permite identificar y rastrear vulnerabilidades en componentes específicos, facilitando la remediación y el cumplimiento de políticas de seguridad.
¿Qué es el compliance como código y cómo se utiliza en DevSecOps?
El compliance como código es la práctica de definir y gestionar las políticas de cumplimiento de seguridad mediante código, permitiendo su automatización y verificación continua. En DevSecOps, se utiliza para asegurar que todas las configuraciones y despliegues cumplen con las normativas y estándares de seguridad de manera consistente y repetible.
¿Qué son las políticas de seguridad automatizadas y cómo se aplican en DevSecOps?
Las políticas de seguridad automatizadas son reglas definidas que se aplican automáticamente a lo largo del ciclo de vida del desarrollo para garantizar el cumplimiento de los estándares de seguridad. Se aplican en DevSecOps mediante herramientas que escanean código, configuraciones y despliegues, bloqueando o alertando sobre cualquier incumplimiento detectado.
¿Qué es un incident response plan y cómo se integra en DevSecOps?
Un incident response plan es un conjunto de procedimientos y directrices para detectar, responder y recuperarse de incidentes de seguridad. En DevSecOps, se integra mediante la automatización de alertas, la colaboración entre equipos y la definición clara de roles y responsabilidades para manejar incidentes de manera eficiente.
¿Qué es la gestión de identidades y accesos (IAM) en DevSecOps?
La gestión de identidades y accesos (IAM) en DevSecOps es el proceso de gestionar y controlar quién puede acceder a qué recursos y servicios dentro del entorno de desarrollo y operaciones. Incluye la autenticación, autorización, y la implementación de políticas de acceso basadas en roles y necesidades específicas.
¿Cómo se utiliza el escaneo de dependencias en DevSecOps?
El escaneo de dependencias en DevSecOps implica analizar las bibliotecas y frameworks utilizados en un proyecto para identificar vulnerabilidades conocidas. Se realiza de manera automatizada dentro de los pipelines de CI/CD utilizando herramientas como Snyk, OWASP Dependency-Check o WhiteSource, permitiendo la remediación temprana de problemas de seguridad.
¿Qué es la seguridad de las APIs y cómo se implementa en DevSecOps?
La seguridad de las APIs se refiere a las prácticas y tecnologías utilizadas para proteger las interfaces de programación de aplicaciones de accesos no autorizados y ataques. Se implementa en DevSecOps mediante autenticación robusta, autorización, encriptación, limitación de tasas, monitoreo continuo y pruebas de seguridad automatizadas.
¿Qué es la cultura de seguridad en DevSecOps y por qué es importante?
La cultura de seguridad en DevSecOps es la mentalidad y las prácticas compartidas que priorizan la seguridad en todas las etapas del desarrollo y operaciones. Es importante porque fomenta la responsabilidad compartida, promueve la colaboración entre equipos y asegura que la seguridad sea una parte integral del ciclo de vida del desarrollo.
¿Qué es la observabilidad en DevSecOps y cómo contribuye a la seguridad?
La observabilidad en DevSecOps se refiere a la capacidad de entender el estado interno de un sistema a través de sus salidas externas, como logs, métricas y trazas. Contribuye a la seguridad al permitir la detección rápida de anomalías, la identificación de incidentes y la mejora continua de las defensas mediante el análisis de datos en tiempo real.
¿Qué es el ‘security as code’ y cómo se aplica en DevSecOps?
El ‘security as code’ es la práctica de definir políticas y controles de seguridad mediante código, lo que permite su automatización y gestión en el mismo ciclo de vida del desarrollo. Se aplica en DevSecOps integrando scripts y configuraciones de seguridad en los pipelines de CI/CD, asegurando que las medidas de seguridad se apliquen de manera consistente y repetible.
