Bitbucket = Las joyas de la corona de su entorno
Bitbucketal igual que otros repositorios Git, son fundamentales para el desarrollo de software. Pero, de hecho, es mucho más. Para muchas organizaciones, Bitbucket es la fuente de su IP y de todas las configuraciones críticas para el funcionamiento de su infraestructura. He aquí algunos casos de uso fundamentales:
- Control de versiones: Proporcionan un sólido sistema de control de versiones, lo que permite a los equipos realizar un seguimiento de los cambios, colaborar de manera eficiente y volver a versiones anteriores si es necesario.
- Colaboración: Permiten que varios desarrolladores trabajen simultáneamente en el mismo proyecto, fusionando cambios y resolviendo conflictos.
- Revisión del código: Funciones como los pull requests facilitan los procesos de revisión del código, mejorando su calidad y el intercambio de conocimientos.
- Integración CI/CD: Se integran a la perfección con las canalizaciones CI/CD, automatizando los procesos de creación, prueba y despliegue.
Amenazas para su IP, código fuente y configuraciones
Los datos y configuraciones almacenados en Bitbucket impulsan su organización. Se trata de almacenar y gestionar tus fuentes y la mayoría de tus configuraciones DevOps y de infraestructura. Por ejemplo, ¿dónde crees que se almacenan tus archivos YAML para tus funciones Lambda? ¿O sus plantillas Terraform ? Perder o corromper tus datos en Bitbucket puede:
- Comprometer su IP y código fuente.
- Exigir a su organización que reconstruya las configuraciones en toda la infraestructura y el ciclo de vida de las aplicaciones.
- Impacto en la experiencia del cliente
- Destruir la productividad de los desarrolladores.
Escenarios comunes que conducen a la pérdida de datos en Bitbucket
Puede clasificar estos escenarios por pérdida accidental de datos, errores de configuración y, como siempre, la Ley de Murphy.
Pérdida accidental de datos. Este es el escenario más común con diferencia y uno que puede garantizar que ocurrirá en su organización. Ya sea un administrador o un usuario, la gente comete errores. He aquí algunos ejemplos:
- Borrados accidentales (siempre se puede contar con esto)
- Sobrescribe
- Desconfiguraciones
Ciberataques o amenazas internas. Sus repositorios Git, ya sean Bitbucket o Githubson las joyas de la corona de tu organización. Esto los convierte en un objetivo lucrativo para que los ciberdelincuentes pidan rescates, realicen filtraciones o espionaje. He aquí algunos ejemplos recientes de ello:
- Inyección de código malicioso directamente en las bibliotecas expuestas
- Ataque a repositorios Git para el robo de credenciales de sus claves API, contraseñas y claves criptográficas.
- Contribuciones/commits maliciosos. El equipo de Checkmarx Zero expuso cómo en julio de 2023 detectaron commits sospechosos en varios repos.
- Envío fraudulento de pull requests
Recomendaciones: Garantizar la seguridad a nivel de inquilino, el cumplimiento y la continuidad del negocio de Bitbucket
Dado que la mayoría de las organizaciones utilizan Bitbucket en Atlassian Cloud, puede resultar confuso comprender el alcance de su responsabilidad. En otro artículo, resumimos el alcance de la responsabilidad entre un proveedor (Atlassian Cloud) y el inquilino (su organización). Aquí tienes una lista de comprobación de las acciones fundamentales de tu organización cuando utilices Bitbucket o cualquier otro repositorio en la nube.
- Active la autenticación multifactor (MFA) para todos los usuarios y utilice el inicio de sesión único (SSO).
- Aplicar políticas de privilegio mínimo para los derechos de acceso.
- Limite y controle los accesos/permisos, especialmente si su organización utiliza contratistas o agencias de desarrollo externas. Más información sobre cómo Atlassian Guard planea ayudar a las organizaciones con esto.
- Habilite las reglas de protección de sucursales y configure las restricciones de sucursales.
- Evite almacenar claves de API, contraseñas y tokens En Bitbucket
- Revisar el proceso de fusión y las contribuciones.
- Busque regularmente repositorios clonados.
- Automatice las copias de seguridad con una frecuencia diaria (como mínimo).
- Mantenga copias externas de su repositorio, a través de sus copias de seguridad, en un almacenamiento inmutable (por ejemplo, Amazon S3 bucket con object-lock activado).
- Pruebe periódicamente las recuperaciones de los repositorios para simular un ciberataque.
Para obtener más información sobre cómo asegurar y proteger sus repositorios Git, vea este debate a la carta entre los líderes de producto de HYCU: GitHub Seguridad: Fusionando la protección de datos con su flujo de trabajo DevOps.
¿Quiere saber más?
- Para más información,inscríbase en una Demo.
- Eleve sus capacidades conR-Cloud
- Libere el potencial de R-Graph con unaprueba exhaustiva
Obtenga las últimas novedades y actualizaciones
.png){kind=small}
