Ohjelmistosi kokoavalla ja käyttöön ottavalla putkella on enemmän oikeuksia kuin useimmilla pääkäyttäjillä. Se lukee lähdekoodin, sisältää allekirjoitusavaimet ja pilven kirjautumistiedot ja kirjoittaa tuotantoon. Se on myös koottu kolmansien osapuolten toiminnoista, lisäosista ja paketeista, jotka muuttuvat ilman ennakkoilmoitusta.
Testaamme tämän polun niin kuin hyökkääjä: mitä vähäisin oikeuksin toimiva osallistuja voi tehdä, mihin haitallinen riippuvuus tai pull request ulottuu ja onko käyttöön otettu artefakti todistettavasti sama, joka katselmoitiin.
Seuraamme polun koodimuutoksesta tuotantoon ja luettelemme sen varrella olevat järjestelmät, identiteetit ja salaisuudet.
02
Konfiguraation läpikäynti
Koodivarastot, putket ja rekisterit käydään läpi OWASP Top 10 CI/CD Security Risks -luettelon ja SLSA-vaatimusten mukaan.
03
Hyökkäyssimulaatio
Ulkoisen osallistujan, sisäisen kehittäjän ja vaarantuneen riippuvuuden asemasta yritämme päästä salaisuuksiin ja muuttaa sitä, mitä kootaan. Työ tehdään haarautetuissa kopioissa (fork) ja testiprojekteissa aina, kun se riittää asian osoittamiseen.
04
Koventamissuunnitelma
Muutokset järjestetään niiden hyökkäyspolkujen mukaan, jotka ne sulkevat. Jokaiseen liitetään konfiguraatio, joka toteuttaa sen.
Jokaisen havainnon taustalla olevan heikkouden luokka.
The MITRE Corporation
06Kysymykset
Kysymyksiä tästä palvelusta
Ajatteko haitallista koodia putkissamme?
Ajamme vaaratonta todistuskoodia, joka näyttää, mihin pääsisi käsiksi, esimerkiksi salaisuuden nimen mutta ei sen arvoa. Tuotantoputkiin kosketaan vain, jos testauksen säännöt sen sallivat; useimmat polut osoitetaan testiprojektissa, jossa on sama konfiguraatio.
Käytämme hallinnoitua CI-palvelua. Eikö tietoturva ole palveluntarjoajan vastuulla?
Palveluntarjoaja suojaa alustan. Se, mitä rakennat sen päälle, on sinun vastuullasi: käyttöoikeudet, käynnistimet, salaisuudet ja kolmansien osapuolten komponentit. Juuri siinä putkiin kohdistuvat hyökkäykset onnistuvat.
Sisältyykö tähän ohjelmiston materiaaliluettelo (SBOM)?
Tarkistamme, että koontisi tuottama materiaaliluettelo on täydellinen ja vastaa artefaktia. Sen tuottaminen ja ylläpito kuuluvat koontiprosessiisi; suosittelemme, miten se tehdään.
AWS-, Azure-, Google Cloud- ja Kubernetes-ympäristöjen arviointi: identiteetit, verkon altistuminen, tietovarastot ja polut ensimmäisestä jalansijasta täyteen hallintaan.