Konveieril, mis teie tarkvara koostab ja juurutab, on rohkem õigusi kui enamikul administraatoritel. See loeb lähtekoodi, hoiab allkirjastamisvõtmeid ja pilve sisselogimisandmeid ning kirjutab toodangukeskkonda. See on ka kokku pandud kolmandate osapoolte konveierisammudest, pluginatest ja pakettidest, mis muutuvad ette teatamata.
Testime seda teed nii, nagu teeks ründaja: mida saab teha minimaalsete õigustega kaasarendaja, milleni ulatub pahatahtlik sõltuvus või pull request ja kas juurutatud artefakt on tõendatavalt sama, mis üle vaadati.
Jälgime teed koodimuudatusest toodangukeskkonnani ning loetleme selle ääres olevad süsteemid, identiteedid ja saladused.
02
Seadistuse ülevaatus
Hoidlad, konveierid ja registrid vaadatakse üle dokumendi OWASP Top 10 CI/CD Security Risks ja SLSA nõuete alusel.
03
Ründe simuleerimine
Välise kaasarendaja, sisemise arendaja ja kompromiteeritud sõltuvuse positsioonilt püüame jõuda saladusteni ja muuta seda, mida koostatakse. Töö tehakse hoidla harukoopiates ja testprojektides alati, kui sellest piisab tõendamiseks.
04
Karmistamise kava
Muudatused järjestatakse nende ründeteede järgi, mida need sulgevad. Igaühega on kaasas seadistus, mis selle ellu viib.
Kas käivitate meie konveierites pahatahtlikku koodi?
Käivitame kahjutut tõenduskoodi, mis näitab, mis oleks kättesaadav, näiteks saladuse nime, mitte selle väärtust. Toodangukonveiereid puudutame ainult seal, kus testimise reeglid seda lubavad; enamik teid tõendatakse sama seadistusega testprojektis.
Kasutame hallatud CI-teenust. Kas turvalisuse eest ei vastuta teenusepakkuja?
Teenusepakkuja kaitseb platvormi. See, mille te sinna panete, jääb teie vastutada: õigused, käivitajad, saladused ja kolmandate osapoolte komponendid. Just seal õnnestuvad ründed konveierite vastu.
Kas see hõlmab tarkvara koostisosade loetelu?
Kontrollime, et teie koostamisprotsessis loodav koostisosade loetelu on täielik ja vastab artefaktile. Selle loomine ja ajakohasena hoidmine on osa teie koostamisprotsessist; soovitame, kuidas seda teha.
AWS-i, Azure’i, Google Cloudi ja Kubernetese keskkondade hindamine: identiteedid, võrgu avatus, andmehoidlad ja teed esimesest tugipunktist täieliku kontrollini keskkonna üle.