Práctica: Asegurar el pipeline: secretos, vulnerabilidades, SBOM y firma

Lo que vas a aprender en este TP

• Detectar secretos y vulnerabilidades
• Producir una SBOM
• Firmar y verificar una imagen

Introducción #

Lo que vas a aprender en esta sección

• Detectar secretos y vulnerabilidades
• Producir una SBOM
• Firmar y verificar una imagen

Contexto. Una auditoría revela que ningún control de seguridad está automatizado. Añades a la cadena de entrega los controles DevSecOps esenciales, primero en local y después en el pipeline.

Requisitos previos: Docker y Git instalados en tu equipo  ·  Duración estimada: 50 min

Una imagen analizada, inventariada y firmada, y un pipeline que bloquea los riesgos críticos.

Puesta en práctica #

Pasos guiados, con su corrección.

1. 1. Detectar un secreto en un commit

   ¿Por qué? Un secreto en el historial de Git sigue siendo explotable incluso después de borrar el archivo.

   Crea un repositorio, haz commit y después borra un archivo con una clave AWS falsa, y analiza el historial con Gitleaks.

2. 2. Analizar las dependencias

   ¿Por qué? La mayoría de las vulnerabilidades vienen de las bibliotecas, no del código del equipo.

   Declara una dependencia antigua en requirements.txt y analiza el proyecto con Trivy en modo sistema de archivos, fallando en HIGH y CRITICAL.

3. 3. Construir y analizar la imagen

   ¿Por qué? La imagen también incluye los paquetes del sistema base, a menudo la primera fuente de CVE.

   Arranca un registro local, construye una imagen mínima, súbela y analízala con Trivy.

4. 4. Producir una SBOM

   ¿Por qué? La SBOM permite responder en minutos a «¿nos afecta esta nueva vulnerabilidad?».

   Genera la SBOM SPDX de la imagen con Syft, busca la versión de requests que contiene y analiza la SBOM con Trivy.

5. 5. Firmar y verificar la imagen

   ¿Por qué? La firma demuestra que la imagen viene de tu pipeline y no se ha modificado; se firma el digest, nunca una etiqueta.

   Genera un par de claves Cosign, firma la imagen por su digest (registro local, sin registro de transparencia), verifica la firma y muestra que otra imagen no puede verificarse.

6. 6. Integrar en el pipeline

   ¿Por qué? Los controles solo tienen valor si se ejecutan en cada cambio.

   Añade al workflow de GitHub Actions de la práctica de CI/CD un job de seguridad (Gitleaks, Trivy) y, tras la publicación, la SBOM y una firma sin clave (OIDC). Después limpia el registro local.

Nivel de dificultad : ●●●○○ (3/5)