# Czym jest bezpieczeństwo infrastruktury jako kodu (IaC)?

> Bezpieczeństwo infrastruktury jako kodu (infrastructure as code security, IaC security) to ochrona maszynowo czytelnych definicji i automatyzacji używanych do aprowizowania, konfigurowania, zmieniania i usuwania infrastruktury.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/infrastructure-as-code-security/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Stosuje kontrole inżynierii oprogramowania i operacyjne do całej ścieżki od źródła i modułów wielokrotnego użytku przez przegląd, testowanie, plany, stan, sekrety, zatwierdzenie i wykonanie, sprawdzając jednocześnie, czy wdrożone zasoby pozostają spójne z wymaganiami bezpieczeństwa i bezpieczeństwa operacyjnego.

Ponieważ IaC może odtwarzać konfiguracje na skalę, defekty lub skompromitowane przepływy pracy mogą odtwarzać ekspozycję szeroko. Kontrole chronią zarówno definicje, jak i uprzywilejowane systemy, które je interpretują i stosują.

### Najważniejsze punkty

- **Źródło i zależności:** Trzymaj definicje pod kontrolą wersji, wymagaj przeglądu, waliduj zaufane moduły i dostawców, przypinaj zależności tam, gdzie praktyczne oraz skanuj zmiany pod kątem naruszeń polityki, eksponowanych sekretów i niebezpiecznych relacji zasobów.
- **Stan i planowanie:** Traktuj plany, stan, inwentarze i wyjścia jako wrażliwe rekordy integralności; ograniczaj dostęp, chroń przechowywanie i blokowanie oraz przeglądaj proponowane efekty przed autoryzacją.
- **Zastosowanie i runtime:** Oddzielaj planowanie od uprzywilejowanej autoryzacji zastosowania, używaj krótkotrwałych poświadczeń, loguj zmiany, wykrywaj ręczne zmiany i dryf oraz uzgadniaj przez testowany proces z przepisami wycofania lub odtwarzania.
- **Istotne ograniczenie:** Zaliczony test IaC nie dowodzi, że wdrożone środowisko jest bezpieczne ani że zastosowanie zmiany jest operacyjnie bezpieczne. Zachowanie dostawcy, zmiany runtime, zewnętrzne zależności, niekompletne polityki i niezgodności stanu mogą zmienić wynik.

### Powiązane terminy

[Bezpieczeństwo potoków CI/CD](<https://yellowcube.eu/pl/glossary/continuous-integration-and-continuous-delivery-or-deployment-pipeline-security/>) · [Bezpieczeństwo chmury](<https://yellowcube.eu/pl/glossary/cloud-security/>) · [Zarządzanie postawą bezpieczeństwa w chmurze (CSPM)](<https://yellowcube.eu/pl/glossary/cloud-security-posture-management/>) · [Zarządzanie sekretami](<https://yellowcube.eu/pl/glossary/secrets-management/>) · [Błędna konfiguracja bezpieczeństwa](<https://yellowcube.eu/pl/glossary/security-misconfiguration/>)

### Źródła

[OWASP Infrastructure as Code Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Infrastructure_as_Code_Security_Cheat_Sheet.html) · [NIST SP 800-204D: Software Supply Chain Security in DevSecOps CI/CD Pipelines](https://csrc.nist.gov/pubs/sp/800/204/d/final) · [Terraform: Manage Sensitive Data in Configuration](https://developer.hashicorp.com/terraform/language/manage-sensitive-data)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.