Los laboratorios de Secure Pipelines son ejercicios prácticos diseñados para explorar escenarios reales de seguridad en CI/CD y en la cadena de suministro de software.
Se centran en comprender cómo se atacan los pipelines, dónde se rompen los límites de confianza y cómo pueden implementarse controles de seguridad eficaces.
Qué esperar de los laboratorios
Los laboratorios son prácticos por diseño y están construidos en torno a plataformas y herramientas CI/CD reales.
- Ejercicios paso a paso
- Configuraciones y workflows CI/CD reales
- Ejemplos y comandos en YAML
- Resultados esperados claramente definidos
- Escenarios de fallo y configuraciones incorrectas
Cada laboratorio está diseñado para demostrar no solo cómo asegurar un pipeline, sino también cómo y por qué los controles de seguridad pueden fallar.
Laboratorios por plataforma CI/CD
Estos laboratorios se centran en la seguridad de plataformas CI/CD específicas y de sus entornos de ejecución.
- Laboratorios de GitHub Actions
Seguridad de workflows, permisos, runners y acciones de terceros. - Laboratorios de GitLab CI
Protección de pipelines, jobs, runners y workflows de despliegue. - Motores CI/CD personalizados
Laboratorios basados en herramientas como Tekton o runners autoalojados.
Laboratorios de cadena de suministro de software
Estos laboratorios exploran ataques y defensas relacionados con la cadena de suministro de software.
- Compromiso y envenenamiento de dependencias
- Manipulación y sustitución de artefactos
- Generación y verificación de procedencia
- Creación y validación de SBOM
Laboratorios de endurecimiento de pipelines
Estos laboratorios se centran en reforzar los entornos de ejecución de los pipelines.
- Aislamiento de runners y modelos de ejecución
- Principio de mínimo privilegio y delimitación de permisos
- Exposición y protección de secretos
- Restricciones de red y del sistema de archivos
Escenarios de ataque y defensa
Comprender las técnicas de los atacantes es esencial para poder defender los pipelines.
- Rutas de ataque reales en CI/CD
- Abuso de permisos de los pipelines
- Dependencias y acciones comprometidas
- Estrategias defensivas de detección y mitigación
Cómo utilizar los laboratorios
Los laboratorios están diseñados para ejecutarse en entornos de prueba o sandbox.
Antes de comenzar un laboratorio, se recomienda:
- Tener conocimientos básicos de CI/CD y Git
- Comprender la plataforma o herramienta objetivo
- Utilizar únicamente entornos que no sean de producción
Cada laboratorio incluye:
- Requisitos previos
- Instrucciones de configuración
- Pasos de ejecución
- Guía de limpieza
Ecosistema relacionado
Para aspectos relacionados con gobernanza, auditabilidad y cumplimiento normativo en materia de seguridad CI/CD, consulta regulated-devsecops.com.
Secure Pipelines se centra en cómo se implementan y prueban los controles de seguridad, mientras que Regulated DevSecOps explica cómo dichos controles se gobiernan y evalúan.
