Las estaciones de trabajo de los desarrolladores son el punto de origen de la cadena de suministro de software: el entorno en el que se escribe el código fuente, se resuelven localmente las dependencias, se gestionan las credenciales de desarrollo y se prueban las primeras iteraciones de los procesos de compilación. Pese a su papel como punto de entrada a todo el proceso de desarrollo y entrega de software, las estaciones de trabajo de los desarrolladores suelen gestionarse con un nivel de seguridad considerablemente inferior al de los entornos de producción en los que acabará ejecutándose el software que producen. Los controles de seguridad que se aplican a los sistemas de producción (configuraciones reforzadas, detección en endpoints, controles de acceso, supervisión) rara vez se aplican con el mismo rigor a las computadoras portátiles de los desarrolladores en las que se origina ese software.
El problema de la exposición de credenciales en los entornos de desarrollo es especialmente grave. En su trabajo diario, los desarrolladores interactúan con una amplia variedad de sistemas autenticados: proveedores de nube, registros de paquetes, plataformas de control de versiones, sistemas de CI/CD y entornos de pruebas. Las credenciales de estos sistemas suelen almacenarse en archivos de configuración de la estación de trabajo del desarrollador: ~/.aws/credentials para AWS, ~/.npmrc para los tokens del registro de npm, ~/.ssh para las claves SSH y diversos almacenes de credenciales específicos de cada aplicación. Una estación de trabajo de desarrollo comprometida da acceso a todas estas credenciales, junto con los repositorios de código fuente en los que se autentican.
La cadena de suministro de extensiones del IDE es un vector de ataque emergente y poco evaluado. Los entornos de desarrollo integrados (VSCode, JetBrains, Eclipse) admiten ecosistemas de extensiones paralelos a la cadena de suministro de dependencias de las aplicaciones. Una extensión maliciosa de VSCode instalada por un desarrollador puede acceder al código fuente, al contenido del portapapeles, a las variables de entorno, a las credenciales del espacio de trabajo y a las conexiones de red desde la estación de trabajo del desarrollador. El mercado de extensiones ha sufrido los mismos ataques de typosquatting y de compromiso de mantenedores que afectan a los registros de paquetes de aplicaciones, pero la gestión de extensiones en las estaciones de trabajo de los desarrolladores recibe mucho menos escrutinio de seguridad que la gestión de dependencias de las aplicaciones.
Por qué es importante
La seguridad del entorno de desarrollo es relevante para TPRM porque la cadena de suministro de software comienza en las estaciones de trabajo de los desarrolladores. Un proveedor cuyo entorno de producción está reforzado, pero cuyas estaciones de trabajo de desarrollo ofrecen acceso no supervisado al código fuente, a las credenciales y a las herramientas de compilación tiene un punto de entrada a la cadena de suministro cuyo nivel de seguridad no está a la altura del entorno de producción al que da soporte.
- Estaciones de trabajo de los desarrolladores fuera del alcance de la evaluación de seguridad: enfoque centrado en producción
- Almacenamiento de credenciales en archivos de configuración ocultos (dotfiles), expuestas si se compromete la estación de trabajo
- Ausencia de gestión de extensiones del IDE: las extensiones maliciosas no se supervisan
- Cuentas personales para repositorios de trabajo: acceso no gestionado al código fuente de producción
- Resolución local de dependencias: acceso completo a internet desde los entornos de compilación de los desarrolladores
Cómo se ve una buena práctica
Los programas maduros de seguridad del entorno de desarrollo aplican a las estaciones de trabajo de los desarrolladores una seguridad de endpoints equivalente a la de los endpoints de producción, centralizan la gestión de credenciales mediante herramientas como 1Password Teams o HashiCorp Vault en lugar de archivos de configuración ocultos, restringen la instalación de extensiones del IDE a extensiones verificadas y exigen dispositivos gestionados para acceder al código fuente de producción.
- Detección en endpoints en las estaciones de trabajo de los desarrolladores, equivalente a la de los endpoints de producción
- Gestión centralizada de credenciales, no archivos de configuración ocultos para las credenciales de nube y de registros
- Dispositivos gestionados para acceder al código fuente: restricciones de BYOD para los repositorios de producción
- Política de extensiones del IDE: lista de extensiones verificadas y supervisión de las nuevas instalaciones
- Inclusión de las estaciones de trabajo de los desarrolladores en el alcance de la evaluación de seguridad
Herramientas
Seguridad para desarrolladores: 1Password Teams y Doppler para la gestión de credenciales de desarrollo; MDM para la gestión de las estaciones de trabajo de los desarrolladores
Las plataformas de gestión de dispositivos móviles aplicadas a las estaciones de trabajo de los desarrolladores proporcionan la gestión de la configuración, la supervisión y la aplicación de políticas que la gestión de endpoints de producción aplica a los servidores. Las herramientas de gestión de credenciales para desarrolladores sustituyen el almacenamiento de credenciales en archivos de configuración ocultos por almacenes de credenciales centralizados y con registro de accesos que reducen la exposición en caso de compromiso de una estación de trabajo.
Desafíos de gobernanza
El reto de gobernanza de la seguridad del entorno de desarrollo es la tensión con la cultura de los desarrolladores. Los desarrolladores valoran la autonomía y la flexibilidad de configuración en sus entornos de trabajo: los controles de seguridad que restringen el acceso de administrador local, la instalación de extensiones del IDE o el uso de cuentas personales se perciben como fricción. La solución de gobernanza son controles de seguridad lo menos intrusivos posible (una gestión centralizada de credenciales que resulte más sencilla que los archivos de configuración ocultos, políticas de extensiones que permitan las extensiones populares verificadas y bloqueen las desconocidas) en lugar de restricciones generales que incentivan las soluciones alternativas.
- Incluir las estaciones de trabajo de los desarrolladores en el programa de seguridad de endpoints
- Implementar una gestión centralizada de credenciales que sustituya a los archivos de configuración ocultos
- Auditar las extensiones del IDE instaladas en busca de extensiones de alto riesgo
- Exigir dispositivos gestionados para acceder al código fuente de producción
- Incluir el entorno de desarrollo en el alcance de la evaluación de seguridad de proveedores
Si usted forma parte de un equipo pequeño
Haga a sus tres proveedores de software más críticos una pregunta que no formulan las evaluaciones de seguridad centradas en producción: ¿son las estaciones de trabajo de sus desarrolladores dispositivos gestionados con una seguridad de endpoints equivalente a la de sus endpoints de producción? En concreto, ¿están sujetas a las mismas políticas de EDR, gestión de parches y control de acceso? Si la respuesta es no, o si las estaciones de trabajo de los desarrolladores son BYOD con una gestión limitada, habrá identificado el punto de entrada a la cadena de suministro que la postura de seguridad de producción no cubre.
- Preguntar si las estaciones de trabajo de los desarrolladores son dispositivos gestionados con una seguridad de endpoints equivalente a la de producción
- Preguntar por la gestión de extensiones del IDE y las políticas de extensiones verificadas
- Preguntar por la gestión de las credenciales del entorno de desarrollo
- Incluir la seguridad del entorno de desarrollo en el alcance de la evaluación de proveedores
Qué exigir
Pregunte directamente:
“¿Son las estaciones de trabajo de sus desarrolladores dispositivos gestionados sujetos a controles de seguridad de endpoints equivalentes a los de sus sistemas de producción, incluidas las políticas de EDR, gestión de parches y gestión de credenciales? ¿Y tienen políticas de extensiones del IDE que impidan instalar extensiones no verificadas?”
Evidencia que debe esperar
- Confirmación de MDM y de la seguridad de endpoints en las estaciones de trabajo de los desarrolladores
- Gestión centralizada de las credenciales de desarrollo
- Política y supervisión de extensiones del IDE
- Requisito de dispositivos gestionados para acceder a los repositorios de producción
A un proveedor que confirma una seguridad sólida en producción se le debe preguntar por la seguridad de las estaciones de trabajo de los desarrolladores. La cadena de suministro comienza en la computadora portátil del desarrollador. Los controles de seguridad de producción protegen lo que produce la cadena de suministro. La seguridad de las estaciones de trabajo de los desarrolladores protege el lugar donde comienza la cadena de suministro.
Cómo demostrarlo
- Evaluación de la seguridad de las estaciones de trabajo de los desarrolladores
- Revisión de las prácticas de gestión de credenciales
- Evaluación de la política de extensiones del IDE
- Verificación del requisito de dispositivos gestionados
Conclusión clave
Entorno de producción: protegido, reforzado y supervisado. Estaciones de trabajo de los desarrolladores: administrador local, credenciales en archivos de configuración ocultos, cuentas personales de GitHub y extensiones maliciosas de VSCode instaladas. La cadena de suministro de software comienza donde se escribe el código fuente. La seguridad de producción protege lo que se entrega. La seguridad del entorno de desarrollo protege cómo se escribe, quién lo escribe y en qué dispositivo. La misma gestión de credenciales, detección en endpoints y controles de acceso que se aplican a producción deben extenderse a los entornos en los que se origina el software de producción; de lo contrario, la cadena de suministro tiene un punto de entrada inseguro antes de cada control de producción.