Entrevista a expertos: Infraestructura como código con Oscar Quintas

Una de las mejores cosas de trabajar en una startup tecnológica es la cantidad de personas interesantes y brillantes que conoces y con las que colaboras en el camino. Hacer crecer una empresa desde una idea genial hasta convertirla en un competidor serio en el mercado requiere reunir a tu propio equipo de Vengadores (o de la Liga de la Justicia, según tus preferencias).

Con esto en mente, queremos destacar a uno de nuestros expertos, Oscar Quintas. Forma parte de nuestro equipo de Contenido de Producto como Investigador Senior de Seguridad. Además, es nuestro mago particular en todo lo relacionado con la Infraestructura como Código (IaC). Él es la fuerza detrás de nuestros 178 (¡y sumando!) desafíos de la plataforma de IaC, y nuestra referencia para todas las preguntas candentes que tenemos sobre este tema tan actual y relevante.

Creemos que es alguien muy especial, así que queremos que lo conozcas un poco mejor. Aquí compartirá sus conocimientos sobre el candente tema de la seguridad en la Infraestructura como Código, su rol y lo que las organizaciones pueden hacer para preparar mejor su infraestructura en la nube y a sus ingenieros:

P: Cuéntanos sobre tu rol en Secure Code Warrior. ¿Cómo es un día típico para ti?

R: Formo parte del equipo de Contenido de Producto como Investigador Senior de Seguridad. Un día típico implica revisar el código de los desafíos en diferentes lenguajes (¡Python, Java, Golang y muchos otros!) para asegurar que se cumplan los estándares de calidad de código y se implementen las mejores prácticas de seguridad. También desarrollo nuevo contenido de IaC.

P: Has sido el genio detrás de todos nuestros desafíos de la plataforma de Infraestructura como Código. ¿Cuál es tu proceso?

R: Diría que es una combinación de investigación y mucho trabajo para ofrecer contenido que sea altamente relevante y atractivo para múltiples niveles de habilidad. Normalmente empiezo analizando los problemas más comunes a los que se enfrentan los usuarios al desplegar infraestructura y, con esa información, desarrollo desafíos útiles para mostrar las mejores prácticas de seguridad en cada caso.

Siempre intento ofrecer una buena experiencia de aprendizaje para nuestros guerreros y asegurar que sea un ejercicio útil y relevante para su trabajo, con un beneficio continuo.

P: La seguridad en IaC es un tema muy popular en este momento. ¿Cuáles son los principales problemas a los que se enfrentan las empresas en cuanto a sus prácticas de seguridad en la nube?
R: La Infraestructura como Código consiste en gestionar tus recursos de infraestructura mediante código. Con solo unas pocas líneas de ese código, puedes desplegar cientos de recursos en la nube (redes, reglas de firewall, máquinas virtuales, contenedores, etc.) que pueden contener fallos de seguridad si no se configuran correctamente. Por lo tanto, los mismos principios aplicados al despliegue seguro de aplicaciones pueden aplicarse a la IaC, y estos riesgos —y sus soluciones— deben ser comprendidos por todos los equipos involucrados en el ciclo de vida de desarrollo de software (SDLC).

Esta concienciación y acción comienza con una formación adecuada en seguridad de IaC y priorizando las habilidades de codificación segura de tus ingenieros en la nube. Pueden ser una poderosa capa de defensa, y esto es especialmente importante cuando están construyendo la infraestructura que aloja las aplicaciones.

P: Hay mucho interés en la industria por Kubernetes y parece que se utiliza ampliamente. Sin embargo, los datos de nuestra plataforma reflejan que Terraform es un lenguaje abrumadoramente popular, con un alto nivel de participación. ¿Tienes alguna idea sobre por qué está ganando tanta tracción?
R: Terraform es el lenguaje de facto para IaC, ya que nos permite desplegar recursos de infraestructura en entornos multinube (por ejemplo, AWS, GCP, Azure) utilizando una sintaxis sencilla. Te permite definir tu infraestructura mediante código e interactúa de forma transparente con las API de la nube para gestionar el despliegue de los recursos.

Este lenguaje es increíblemente versátil y, como puede añadirse a repositorios de control de versiones, los principios de DevOps/DevSecOps también pueden aplicarse al despliegue de infraestructura. Sin embargo, esto también introducirá nuevas amenazas que deben abordarse, por lo que una formación integral en codificación segura con Terraform es imprescindible.

P: Eres un experto en seguridad de IaC. ¿Qué es lo mejor de tu trabajo?
R: La IaC todavía está en sus inicios, por lo que frecuentemente se lanzan muchas cosas nuevas. Es un poco difícil mantenerse al día con estas nuevas tecnologías, pero al mismo tiempo es gratificante. Me gusta mucho aprender cosas nuevas y probar las mejores prácticas de seguridad para nuevos servicios.

Lleva tu seguridad de IaC al siguiente nivel.

Si quieres que tus desarrolladores en la nube perfeccionen sus habilidades de seguridad en torno a la Infraestructura como Código, ¡ponte a prueba con nuestro Top 8 de IaC! Lee cada capítulo para obtener un resumen completo de los ocho fallos de seguridad más comunes en IaC, incluyendo desafíos interactivos para poner a prueba sus nuevos conocimientos.

¡Cuéntanos tu puntuación y haz que Oscar se sienta orgulloso!