Experteninterview: Infrastructure as Code mit Oscar Quintas

Einer der größten Vorteile der Arbeit in einem Tech-Startup sind die vielen interessanten und klugen Menschen, die man auf dem Weg kennenlernt und mit denen man zusammenarbeiten darf. Ein Unternehmen von einer coolen Idee zu einem ernsthaften Marktteilnehmer zu entwickeln, erfordert den Aufbau eines eigenen „Avengers“-Teams (oder der „Justice League“, je nach persönlicher Vorliebe).

Vor diesem Hintergrund möchten wir einen unserer Experten ins Rampenlicht rücken: Oscar Quintas. Er ist Teil unseres Product-Content-Teams und arbeitet als Senior Security Researcher. Zudem ist er unser hauseigener Zauberer für alles, was mit Infrastructure as Code (IaC) zu tun hat. Er ist die treibende Kraft hinter unseren 178 (und es werden ständig mehr!) IaC-Plattform-Challenges und unser Ansprechpartner für alle brennenden Fragen zu diesem hochaktuellen Thema.

Wir finden, er ist etwas ganz Besonderes, und möchten, dass Sie ihn ein wenig besser kennenlernen. Hier teilt er seine Erkenntnisse zum hochaktuellen Thema Infrastructure-as-Code-Sicherheit, spricht über seine Rolle und darüber, was Unternehmen tun können, um ihre Cloud-Infrastruktur und ihre Entwickler besser vorzubereiten:

F: Erzählen Sie uns von Ihrer Rolle bei Secure Code Warrior. Wie sieht ein typischer Arbeitstag bei Ihnen aus?

A: Ich bin Teil des Product-Content-Teams und arbeite als Senior Security Researcher. Ein typischer Tag besteht darin, den Code unserer Challenges in verschiedenen Sprachen (Python, Java, Golang und vielen anderen!) zu überprüfen, um sicherzustellen, dass Qualitätsstandards eingehalten und Best Practices für die Sicherheit umgesetzt werden. Außerdem entwickle ich neue IaC-Inhalte.

F: Sie sind das Genie hinter all unseren Infrastructure-as-Code-Plattform-Challenges. Wie sieht Ihr Prozess aus?

A: Ich würde sagen, es ist eine Kombination aus Recherche und harter Arbeit, um Inhalte zu liefern, die für verschiedene Qualifikationsstufen hochrelevant und ansprechend sind. Normalerweise beginne ich damit, mir die häufigsten Probleme anzusehen, mit denen Benutzer bei der Bereitstellung von Infrastruktur konfrontiert sind. Mit diesen Informationen entwickle ich dann nützliche Challenges, um die Sicherheits-Best-Practices für jeden Fall aufzuzeigen.

Ich versuche immer, unseren „Warriors“ eine gute Lernerfahrung zu bieten und sicherzustellen, dass es sich um eine praxisrelevante und nützliche Übung mit nachhaltigem Nutzen handelt.

F: IaC-Sicherheit ist derzeit ein sehr beliebtes Thema. Was sind die größten Herausforderungen für Unternehmen in Bezug auf ihre Cloud-Sicherheitspraktiken?
A: Bei Infrastructure as Code geht es darum, Infrastrukturressourcen mithilfe von Code zu verwalten. Mit nur wenigen Zeilen Code können Hunderte von Cloud-Ressourcen (Netzwerke, Firewall-Regeln, virtuelle Maschinen, Container usw.) bereitgestellt werden, die bei unsachgemäßer Konfiguration Sicherheitslücken enthalten können. Die gleichen Prinzipien, die für die sichere Anwendungsbereitstellung gelten, lassen sich also auch auf IaC anwenden. Diese Risiken – und deren Behebung – müssen von jedem Team verstanden werden, das am SDLC beteiligt ist.

Dieses Bewusstsein und das entsprechende Handeln beginnen mit einer fundierten Schulung in IaC-Sicherheit und der Priorisierung der sicheren Programmierkenntnisse Ihrer Cloud-Entwickler. Sie können eine mächtige Verteidigungslinie bilden, was besonders wichtig ist, wenn sie die Infrastruktur aufbauen, auf der Anwendungen gehostet werden.

F: Es gibt in der Branche großes Interesse an Kubernetes, und es scheint weit verbreitet zu sein. Unsere Plattformdaten zeigen jedoch, dass Terraform eine überaus beliebte Sprache mit hoher Beteiligung ist. Haben Sie Erkenntnisse darüber, warum sie so stark an Bedeutung gewinnt?
A: Terraform ist die De-facto-Sprache für IaC, da sie es uns ermöglicht, Infrastrukturressourcen in Multi-Cloud-Umgebungen (z. B. AWS, GCP, Azure) mit einer einfachen Syntax bereitzustellen. Sie ermöglicht es, die Infrastruktur als Code zu definieren, und interagiert transparent mit Cloud-APIs, um die Bereitstellung der Ressourcen zu verwalten.

Diese Sprache ist unglaublich vielseitig. Da sie in Quellcode-Repositories aufgenommen werden kann, lassen sich auch DevOps-/DevSecOps-Prinzipien auf die Infrastrukturbereitstellung anwenden. Dies bringt jedoch auch neue Bedrohungen mit sich, die angegangen werden müssen. Daher ist eine umfassende Schulung in sicherem Programmieren mit Terraform ein Muss.

F: Sie sind ein Experte für IaC-Sicherheit. Was ist das Beste an Ihrem Job?
A: IaC steckt noch in den Kinderschuhen, daher werden ständig viele neue Dinge veröffentlicht. Es ist zwar eine Herausforderung, bei diesen neuen Technologien auf dem Laufenden zu bleiben, aber gleichzeitig auch sehr lohnend. Ich lerne sehr gerne neue Dinge und teste Sicherheits-Best-Practices für neue Dienste.

Bringen Sie Ihre IaC-Sicherheit auf das nächste Level.

Wenn Sie möchten, dass Ihre Cloud-Entwickler ihre Sicherheitskenntnisse im Bereich Infrastructure as Code vertiefen, fordern Sie sich selbst mit unseren IaC Top 8 heraus! Lesen Sie jedes Kapitel für einen vollständigen Überblick über acht häufige IaC-Sicherheitslücken, inklusive interaktiver Challenges, um das neue Wissen zu testen.

Verraten Sie uns Ihren Punktestand und machen Sie Oscar stolz!