Infrastructure-as-Code (IaC) Security
¿Qué es Infrastructure-as-Code (IaC) Security?
Infrastructure-as-Code (IaC) SecurityThe discipline of scanning, policy-checking, and securing IaC templates (Terraform, OpenTofu, Pulumi, CloudFormation, Helm, Kubernetes manifests) before they provision misconfigured cloud resources.
Infrastructure-as-Code (IaC) security treats declarative provisioning templates as a primary security artifact: most cloud misconfigurations now originate not from manual console edits but from Terraform, OpenTofu, Pulumi, AWS CloudFormation, Bicep, Helm, or raw Kubernetes manifests committed to a repo and applied by CI. Programs combine static analysis tools (Checkov, KICS, tfsec, Terrascan, Snyk IaC, Trivy config-scan), policy-as-code engines that enforce rules at plan-time (OPA/Rego, Conftest, HashiCorp Sentinel, Checkmarx Cloudguard, Wiz Code), drift-detection comparing live state to source-of-truth, and secret scanners that block hard-coded credentials in `.tf` and `values.yaml`. Increasingly, IaC security extends 'left' into developer workflows (IDE plugins, pre-commit hooks) and 'right' into runtime correlation (proving the deployed S3 bucket matches the reviewed module). Common findings include public S3 buckets, over-broad IAM `*`, missing encryption-at-rest, security groups open to 0.0.0.0/0, and Kubernetes pods running as root.
● Ejemplos
- 01
A pull-request CI step runs Checkov against the Terraform plan and blocks a merge that would create an S3 bucket without server-side encryption.
- 02
An OPA policy denies any Kubernetes manifest that mounts the Docker socket or runs with `privileged: true`.
● Preguntas frecuentes
¿Qué es Infrastructure-as-Code (IaC) Security?
The discipline of scanning, policy-checking, and securing IaC templates (Terraform, OpenTofu, Pulumi, CloudFormation, Helm, Kubernetes manifests) before they provision misconfigured cloud resources. Pertenece a la categoría de Seguridad en la nube en ciberseguridad.
¿Qué significa Infrastructure-as-Code (IaC) Security?
The discipline of scanning, policy-checking, and securing IaC templates (Terraform, OpenTofu, Pulumi, CloudFormation, Helm, Kubernetes manifests) before they provision misconfigured cloud resources.
¿Cómo funciona Infrastructure-as-Code (IaC) Security?
Infrastructure-as-Code (IaC) security treats declarative provisioning templates as a primary security artifact: most cloud misconfigurations now originate not from manual console edits but from Terraform, OpenTofu, Pulumi, AWS CloudFormation, Bicep, Helm, or raw Kubernetes manifests committed to a repo and applied by CI. Programs combine static analysis tools (Checkov, KICS, tfsec, Terrascan, Snyk IaC, Trivy config-scan), policy-as-code engines that enforce rules at plan-time (OPA/Rego, Conftest, HashiCorp Sentinel, Checkmarx Cloudguard, Wiz Code), drift-detection comparing live state to source-of-truth, and secret scanners that block hard-coded credentials in `.tf` and `values.yaml`. Increasingly, IaC security extends 'left' into developer workflows (IDE plugins, pre-commit hooks) and 'right' into runtime correlation (proving the deployed S3 bucket matches the reviewed module). Common findings include public S3 buckets, over-broad IAM `*`, missing encryption-at-rest, security groups open to 0.0.0.0/0, and Kubernetes pods running as root.
¿Cómo defenderse de Infrastructure-as-Code (IaC) Security?
Las defensas contra Infrastructure-as-Code (IaC) Security combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.
¿Cuáles son otros nombres para Infrastructure-as-Code (IaC) Security?
Nombres alternativos comunes: IaC scanning, Policy-as-Code for IaC, Terraform security.
● Términos relacionados
- cloud-security№ 209
Configuración incorrecta en la nube
Brecha de seguridad provocada por ajustes incorrectos o inseguros de servicios cloud, como almacenamiento expuesto, políticas IAM débiles o puertos de gestión abiertos.
- cloud-security№ 280
CSPM (Cloud Security Posture Management)
Categoría de herramientas que evalúan continuamente las cuentas de nube frente a buenas prácticas y normativas para detectar y corregir configuraciones incorrectas.
- cloud-security№ 939
Política como Código
Práctica de definir reglas de seguridad, cumplimiento y gobierno en código legible por máquina para versionarlas, probarlas, revisarlas y aplicarlas de forma automática.
- cloud-security№ 848
OPA (Open Policy Agent)
Motor de políticas de propósito general graduado por la CNCF que desacopla las decisiones de autorización de las aplicaciones y del control de admisión de Kubernetes usando el lenguaje Rego.
- cloud-security№ 1103
Seguridad como Código
Práctica de expresar controles, pruebas e infraestructura de seguridad como código fuente para versionarlos, revisarlos, automatizarlos y entregarlos continuamente junto a las aplicaciones.
- appsec№ 1145
Shift-Left Security
Práctica de adelantar las actividades de seguridad en el ciclo de vida del software para detectar y corregir vulnerabilidades antes de llegar a producción.