基础设施安全工程师是纯种马中的独角兽

由柏拉图重新发布

关注： 0

在最近一次云原生行业活动中，一个团队告诉我们“我们刚刚结束谈话，显然我们现在是基础设施安全工程师”时大笑起来。随着科技行业裁员的猖獗，职位头衔的乐趣背后是对在新角色和相关生态系统中蓬勃发展的期望的真正不确定性。

在 Kubernetes 和云原生应用程序部署的时代，基础设施安全工程师是一个有奖聘用的人。但在几十个职位描述和从业者访谈中，我们发现这个角色反映了一个极其艰巨的挑战：在间接影响和硬技术技能方面做到最好。

那么什么是基础设施安全工程呢？基础架构或云安全团队位于（毫不奇怪）基础架构层，而不是应用程序层。他们主要关注部署和运行的云环境。

关于这个角色，首先要了解的是云安全共担责任模型要求他们。如果是托管 Kubernetes 平台，我们可以假设一个通用的 PaaS 模型。这意味着一种责任共担模式，几乎云的整体配置在基础设施安全角色的手中。用谷歌自己的话来说，“对于 GKE，你负责保护你的工作节点，包括为操作系统、运行时和 Kubernetes 组件部署补丁，当然还有保护你自己的工作负载。”

但共担责任模式仅仅是个开始。没有任何角色存在于真空中，除了漏洞管理和及时了解该领域的最新趋势之外，该角色的第三大最常见要求是在组织中的其他团队中灌输最佳实践。正如一位招聘经理所说，“你的主要职责是确保我们的工程团队将安全最佳实践整合到他们的工作流程中，并提供安全的产品和服务。”

要求开发团队做任何可能减慢新功能进入生产的流程，这存在内在的摩擦，即使已经表明团队将安全性纳入他们的 DevOps 流程实际上确实可以更快地交付。

基础设施安全工程师需要什么才能取得成功

招聘经理认为怎样才能使求职者在刚刚描述的那种职位上取得成功？毫不奇怪，这个角色的第三个最常见的要求——在云平台和网络的实践经验之后——是精通脚本语言，结合任何组合的实践经验 IaC、Terraform 和 CI/CD 管道. 为什么？因为如果您从未使用代码进行自动化部署，就不可能将安全最佳实践分享给每天都这样做的开发人员。

基础架构安全角色的最后一个常见要求是深入了解端到端开发管道。如果安全工程师希望在日常工作中跟上云的最新动态、影响开发并管理云漏洞，他们需要了解效率、它们如何协同工作以及如何确定优先级.

以下是我们的受访者提供的更多提示：

“如果您只关注云，请不要忘记 Kubernetes。虽然如今它经常通过托管云服务进行部署，但它无法像解决云环境漏洞的方式那样得到解决。” — 云安全总监
“分类很关键。当我的团队过去失败时，通常是因为我们一直在追逐闪亮的东西。通过对优先级排序有纪律和有条不紊，我们保持信心，我们（几乎）在任何给定时间都在处理正确的问题。” — 经理，基础设施和 IT 安全
“不要低估工程团队对解决安全问题的兴趣。用数据和背景赋予他们权力，看看他们有多渴望使用它。” — 经理，基础设施和 IT 安全

为什么这可能是最难的工作

有趣的是，在我们的研究中，只有一个职位描述有一个“安全审查”的项目，该角色允许安全团队对开发变更说是或否。这在其他关于直接影响和间接影响对工程和开发的作用的观察的背景下是有说服力的；例如，需要 IaC 知识不是为了直接使用它，而是为了能够告诉其他人如何使用它。

此外，沟通和指导并未被列为最常见的工作先决条件，但仍有一半的角色对这项软技能抱有很高的期望。对于更高级别的职位尤其如此。

在影响开发团队的要求、IaC 工具和自动化所需的知识、沟通和指导的需要以及几乎完全没有正式安全审查的要求之间，最成功的基础设施安全专业人员的观点开始出现。此人将在云生态系统中拥有广泛的实践经验，以及在日常管理高度新颖、尖端的 GitOps 工具的熟练团队中影响和建立信誉的技能。这确实是一个很高的标准！