O Google liberou o Forset Security:, um conjunto de ferramentas de segurança ousado no Google Cloud Platform (GCP). O projeto é o resultado de uma parceria entre Spotify e Google, combinando o que foi originalmente um trabalho separado em um conjunto único ferramentas. As ferramentas foram criadas visando a automatização dos processos de segurança, facilitando o desenvolvimento para os desenvolvedores.
As principais ferramentas são:
- Inventory: snapshotting de serviços intermitentes para fins de auditoria de segurança.
- Scanner: monitora os controles de acessos, com um sistema de notificação que será acionado quando as políticas estiverem erradas.
- Enforcer: garante que as políticas de segurança estarem em um determinado estado, prevenindo alterações indesejadas.
- IAM Explain: tutorial que ajuda com informações de como fazer e como criar o Cloud Identity e políticas de gerenciamento de identidade.
No Spotify, o Forseti é usado para criar um pipeline de notificações que informa as equipes de desenvolvimento sobre riscos nas configurações de segurança. Seu objetivo é que os times tenham consentimento e responsabilidade sobre as operações de segurança e remoção de bloqueadores. Segundo o Spotify:
Forseti nos possibilita uma melhor visibilidade na infraestrutura do GCP que não tínhamos antes, além de usarmos para garantir que temos os controles de acessos corretos e, assim, ficarmos à frente do que está acontecendo. Além de nos manter informados sobre o que está acontecendo nos ambientes, podemos encontrar mais rapidamente qualquer tipo de risco de alguma configuração errada e assim corrigi-las com antecedência. Essas ferramentas possibilitam a criação de um workflow que faz com que o time de segurança trabalhe de maneira pró-ativa e não reativa. Podemos informar todos os envolvidos antes que aconteça algum incidente.
Uma das principais funcionalidades, a ferramenta Inventory, é usada para armazenar informações e os recursos utilizados pelo GCP e, a partir desses dados gerados, o Scanner e o Enforcer operam sobre esses dados. Como resultado é gerado uma lista de quais recursos do GCP estão sendo monitorados, exibindo-os em uma tabela informativa.
Um dos principais usos do Inventory é para fins de auditoria, facilitando encontrar quando e em que ponto as configurações de segurança foram alteradas e por quem.
A ferramenta Scanner pode utilizar JSON ou YAML para configurar as definições de políticas de segurança esperadas. Ele também utiliza um mecanismo para fazer uma comparação das regras esperadas com as regras atuais, e em seguida armazena as diferenças (violações) no CloudSQL.
Em vez de apenas monitorar e reportar, a ferramenta Enforcer também opera sobre qualquer detectação de violação de segurança. O Enforcer utiliza o Google Cloud APIs para tentar fazer com que os recursos voltem ao estado de segurança desejado.
A ferramenta IAM Explain é utilizada para analisar e desenvolver as regras do Cloud IAM, que geralmente podem ser difíceis de configurar em projetos mais complexos. Por exemplo, a ferramenta pode demonstrar porque um diretor tem acesso a um determinado recurso, ou até mesmo sugerir uma maneira de conceder um determinado recurso a um diretor.
Tanto a documentação, quanto o código fonte do Forseti podem ser encontrados online, e estão disponíveis para instalação e uso com GCP.