基礎架構即程式碼的五大安全風險 – thenewstack

1.網路暴露
不安全的IaC配置會擴大攻擊面，從而可以進行偵察，列舉，有時甚至可以將網路攻擊傳遞到雲環境。配置開放式安全組，可公共訪問的雲端儲存服務，公共ssh訪問以及可從Internet訪問的資料庫是常見的IaC錯誤配置示例，它們會增加雲中的攻擊面。
對IaC進行靜態安全分析，並在雲部署生命週期的早期消除風險。及早發現並解決這些問題具有很高的成本效益，並減少了殘留風險。

2.漏洞
如今，IaC模板透過包含儲存在受信任登錄檔中的基本映象來用於提供計算例項和容器化例項。這為早期檢測和解決此類基礎映像中的任何已知漏洞提供了機會，並大大降低了補救成本。
對IaC檔案中引用的映象執行漏洞評估，並在開發生命週期的早期檢測漏洞。

3.未經授權的特權升級
IaC已用於提供可能包括Kubernetes，容器和微服務的全棧雲環境。開發人員經常使用特權帳戶來供應雲應用程式和其他層，這會帶來特權升級的風險。如果將這種風險與硬編碼的機密和網路暴露結合在一起，則攻擊者將面臨嚴重的違規路徑。
確保在IaC中實施了最低特權原則，並在IaC中檢測特權爬升。

4.配置漂移
儘管開發人員可能會遵循IaC最佳做法，但緊急情況可能會迫使運營團隊直接在生產環境中進行配置更改。這種行為打破了雲基礎架構的不變性，這種前提是基於這樣的前提，即在部署基礎架構後永遠不要對其進行修改。如果需要以任何方式更新，修復或修改某些內容，則必須透過程式碼來提供新的基礎結構。更重要的是，配置更改可能會帶來風險，從而導致雲的狀態從提供基礎架構之前透過IaC定義的安全狀態偏離。
透過監視預配置的雲基礎架構和IaC之間的狀態漂移來保持基礎架構的不變性，並減輕引入風險的變更。

5.幽靈資源
標記雲資產是確保合規性和治理的關鍵要求。使用IaC構建的未標記資源會導致幻影資源，這些幻影資源可能會導致在實際雲環境中檢測，視覺化和獲得可觀察性方面遇到挑戰。結果是長期無法察覺的雲態漂移，以及補救風險方面的挑戰。除了安全後果外，未加標籤的資源還使得很難檢測對成本，維護和可靠性等操作的影響。