专家访谈：与 Oscar Quintas 探讨基础设施即代码

在科技初创公司工作最棒的一点，就是能结识各种有趣、聪明的人并与他们共事。将一家公司从一个绝妙的点子发展成市场上的强力竞争者，需要组建一支属于你自己的“复仇者联盟”（或者根据你的喜好，也可以是“正义联盟”）。

基于此，我们想向大家介绍我们的专家之一：Oscar Quintas。他是产品内容团队的一员，担任高级安全研究员。他也是我们团队在基础设施即代码（IaC）领域当之无愧的“魔法师”。他不仅是我们平台 178 个（且还在增加！）IaC 挑战背后的核心力量，也是我们解答关于这一热门话题所有棘手问题的首选专家。

我们认为他非常出色，所以想让你对他有更多了解。在这里，他将分享关于基础设施即代码安全这一热门话题的见解、他的工作职责，以及企业如何更好地为云基础设施和工程师做好准备：

问：请介绍一下你在 Secure Code Warrior 的工作。你典型的一天是怎样的？

答：我是产品内容团队的一名高级安全研究员。我典型的一天包括审查不同语言（Python、Java、Golang 等！）的挑战代码，以确保代码符合质量标准并落实了安全最佳实践。此外，我还会开发新的 IaC 内容。

问：你是我们所有基础设施即代码平台挑战背后的天才。你的工作流程是怎样的？

答：我认为这是研究与努力工作的结合，旨在提供具有高度相关性且能吸引不同技能水平用户的内容。我通常会先研究用户在部署基础设施时面临的最常见问题，然后根据这些信息开发实用的挑战，展示针对每种情况的安全最佳实践。

我始终致力于为我们的战士们提供良好的学习体验，并确保这些练习与工作相关、实用且具有持续的价值。

问：IaC 安全目前是一个非常热门的话题。企业在云安全实践方面面临的主要问题是什么？
答：基础设施即代码的核心在于使用代码来管理基础设施资源。只需几行代码，你就能部署数百个云资源（网络、防火墙规则、虚拟机、容器等），如果配置不当，这些资源可能包含安全漏洞。因此，应用于安全应用部署的原则同样适用于 IaC，软件开发生命周期（SDLC）中的每个团队都必须了解这些风险及其修复方法。

这种意识和行动始于适当的 IaC 安全培训，并优先提升云工程师的安全编码技能。他们可以成为一道强大的防御防线，尤其是在他们构建承载应用程序的基础设施时，这一点尤为重要。

问：业界对 Kubernetes 有很多关注，而且它似乎被广泛使用。然而，我们的平台数据显示 Terraform 是一种极其受欢迎且参与度很高的语言。你对它为何如此受欢迎有什么见解吗？
答：Terraform 是 IaC 的事实标准语言，因为它允许我们使用简单的语法在多云环境（如 AWS、GCP、Azure）中部署基础设施资源。它让你能够通过代码定义基础设施，并透明地与云 API 交互以管理资源部署。

这种语言用途极其广泛，而且由于它可以添加到源代码仓库中，DevOps/DevSecOps 原则也可以应用于基础设施部署。然而，这也带来了必须解决的新威胁，因此，进行全面的 Terraform 安全编码培训是必不可少的。

问：作为一名 IaC 安全专家，你觉得这份工作最棒的地方是什么？
答：IaC 仍处于起步阶段，因此经常有许多新事物发布。跟上这些新技术的发展步伐确实有些挑战，但同时也很有成就感。我非常喜欢学习新事物，并为新服务测试安全最佳实践。

将你的 IaC 安全水平提升到新高度。

如果你想让你的云开发人员磨练他们在基础设施即代码方面的安全技能，请挑战我们的 IaC Top 8！阅读每一章，全面了解八种常见的 IaC 安全漏洞，并通过互动挑战来测试他们新学到的知识。

告诉我们你的得分，让 Oscar 为你感到骄傲！