Entretien d'expert : l'Infrastructure as Code avec Oscar Quintas

L'un des meilleurs aspects du travail dans une startup technologique est la rencontre et la collaboration avec des personnes aussi intelligentes qu'intéressantes. Faire passer une entreprise d'une idée géniale à un acteur sérieux du marché exige de constituer votre propre équipe d'Avengers (ou de Justice League, selon vos préférences).

Dans cette optique, nous souhaitons mettre en lumière l'un de nos experts, Oscar Quintas. Membre de notre équipe Product Content, il occupe le poste de chercheur principal en sécurité. Il est également notre magicien attitré pour tout ce qui concerne l'Infrastructure as Code (IaC). Il est la force motrice derrière nos 178 défis (et ce n'est pas fini !) sur la plateforme IaC, et notre interlocuteur privilégié pour toutes les questions brûlantes concernant ce sujet très actuel.

Nous le trouvons exceptionnel et nous aimerions que vous appreniez à mieux le connaître. Il partage ici ses réflexions sur le sujet brûlant de la sécurité de l'Infrastructure as Code, son rôle et ce que les organisations peuvent faire pour mieux préparer leur infrastructure cloud et leurs ingénieurs :

Q : Parlez-nous de votre rôle chez Secure Code Warrior. À quoi ressemble une journée type pour vous ?

R : Je fais partie de l'équipe Product Content en tant que chercheur principal en sécurité. Une journée type consiste à examiner le code des défis dans différents langages (Python, Java, Golang, et bien d'autres !) pour garantir le respect des normes de qualité et la mise en œuvre des meilleures pratiques de sécurité. Je développe également de nouveaux contenus IaC.

Q : Vous êtes le génie derrière tous nos défis de plateforme Infrastructure as Code. Quel est votre processus ?

R : Je dirais que c'est une combinaison de recherche et d'efforts constants pour fournir un contenu pertinent et engageant pour différents niveaux de compétence. Je commence généralement par examiner les problèmes les plus courants rencontrés par les utilisateurs lors du déploiement d'infrastructures, et à partir de là, je développe des défis utiles pour illustrer les meilleures pratiques de sécurité pour chaque cas.

J'essaie toujours d'offrir une expérience d'apprentissage enrichissante à nos guerriers, et de m'assurer qu'il s'agit d'un exercice utile et pertinent pour leur travail, avec un bénéfice durable.

Q : La sécurité IaC est un sujet très populaire en ce moment. Quels sont les principaux problèmes auxquels les entreprises sont confrontées en matière de pratiques de sécurité cloud ?
R : L'Infrastructure as Code consiste à gérer vos ressources d'infrastructure à l'aide de code. Avec seulement quelques lignes de ce code, vous pouvez déployer des centaines de ressources cloud (réseau, règles de pare-feu, machines virtuelles, conteneurs, etc.) qui peuvent contenir des failles de sécurité si elles ne sont pas correctement configurées. Ainsi, les principes appliqués au déploiement d'applications sécurisées peuvent s'appliquer à l'IaC, et ces risques — ainsi que leurs correctifs — doivent être compris par chaque équipe impliquée dans le cycle de vie du développement logiciel (SDLC).

Cette prise de conscience et cette action commencent par une formation appropriée à la sécurité IaC et par la priorité donnée aux compétences en codage sécurisé de vos ingénieurs cloud. Ils peuvent constituer une puissante couche de défense, ce qui est particulièrement important lorsqu'ils construisent l'infrastructure qui héberge les applications.

Q : Il y a beaucoup d'intérêt dans l'industrie pour Kubernetes, qui semble être largement utilisé. Cependant, les données de notre plateforme montrent que Terraform est un langage extrêmement populaire, avec un fort engagement. Avez-vous des idées sur les raisons de cet engouement ?
R : Terraform est le langage de facto pour l'IaC car il nous permet de déployer des ressources d'infrastructure dans des environnements multi-cloud (par exemple AWS, GCP, Azure) en utilisant une syntaxe simple. Il vous permet de définir votre infrastructure via du code et interagit de manière transparente avec les API cloud pour gérer le déploiement des ressources.

Ce langage est incroyablement polyvalent et, comme il peut être ajouté aux dépôts de contrôle de version, les principes DevOps / DevSecOps peuvent également être appliqués au déploiement de l'infrastructure. Cependant, cela introduit également de nouvelles menaces qui doivent être traitées ; une formation complète au codage sécurisé avec Terraform est donc indispensable.

Q : Vous êtes un expert en sécurité IaC. Quel est le meilleur aspect de votre travail ?
R : L'IaC en est encore à ses débuts, donc beaucoup de nouveautés sortent fréquemment. Il est parfois difficile de rester à jour avec ces nouvelles technologies, mais c'est aussi très gratifiant. J'aime vraiment apprendre de nouvelles choses et tester les meilleures pratiques de sécurité pour les nouveaux services.

Faites passer votre sécurité IaC au niveau supérieur.

Si vous souhaitez que vos développeurs cloud perfectionnent leurs compétences en sécurité autour de l'Infrastructure as Code, relevez le défi avec notre Top 8 IaC ! Lisez chaque chapitre pour obtenir un aperçu complet des huit failles de sécurité IaC les plus courantes, incluant des défis interactifs pour tester leurs nouvelles connaissances.

Faites-nous part de votre score et rendez Oscar fier !