Plūsmai, kas būvē un izvieto jūsu programmatūru, ir vairāk privilēģiju nekā lielākajai daļai administratoru. Tā lasa pirmkodu, glabā parakstīšanas atslēgas un mākoņa piekļuves datus un raksta produkcijas vidē. Turklāt tā ir salikta no trešo pušu darbībām (actions), spraudņiem un pakotnēm, kas mainās bez brīdinājuma.
Šo ceļu testējam tā, kā to darītu uzbrucējs: ko var izdarīt līdzstrādnieks ar minimālām tiesībām, ko var sasniegt ļaunprātīga atkarība vai pull request un vai izvietotais artefakts ir pierādāmi tas pats, kas tika pārskatīts.
01Tvērums
Ko mēs testējam
Versiju kontrole: zaru aizsardzība, pārskatīšanas noteikumi, piekļuves tiesības, piekļuves marķieri
Artefakti un reģistri: parakstīšana, izcelsme, piekļuves kontrole
Izvietošana: pienākumu nošķiršana, apstiprinājumi, infrastruktūra kā kods
02Pieeja
Kā notiek darbs
01
Kartēšana
Izsekojam ceļu no komita līdz produkcijas videi un uzskaitām sistēmas, identitātes un noslēpumus, kas atrodas uz šī ceļa.
02
Konfigurācijas pārskatīšana
Repozitorijus, plūsmas un reģistrus pārskatām pēc OWASP Top 10 CI/CD Security Risks un SLSA prasībām.
03
Uzbrukuma simulācija
No ārēja līdzstrādnieka, iekšēja izstrādātāja un kompromitētas atkarības pozīcijas mēģinām piekļūt noslēpumiem un mainīt to, kas tiek būvēts. Darbu veicam repozitoriju atzarojumos (forks) un testa projektos visur, kur ar to pietiek, lai pierādītu problēmu.
04
Nostiprināšanas plāns
Izmaiņas sakārtojam pēc uzbrukuma ceļiem, ko tās slēdz. Katrai izmaiņai pievienojam konfigurāciju, kas to ievieš.
Nepilnības klase, kas ir katra konstatējuma pamatā.
The MITRE Corporation
06Jautājumi
Jautājumi par šo pakalpojumu
Vai jūs palaidīsiet ļaunprātīgu kodu mūsu plūsmās?
Palaižam nekaitīgu koncepcijas pierādījuma kodu, kas parāda, kas būtu sasniedzams, piemēram, noslēpuma nosaukumu, nevis tā vērtību. Produkcijas plūsmām pieskaramies tikai tur, kur to atļauj testēšanas noteikumi; lielāko daļu ceļu pierādām testa projektā ar tādu pašu konfigurāciju.
Mēs izmantojam pārvaldītu CI pakalpojumu. Vai par drošību neatbild pakalpojuma sniedzējs?
Pakalpojuma sniedzējs aizsargā platformu. Tas, ko jūs tajā ievietojat, ir jūsu ziņā: piekļuves tiesības, palaišanas notikumi, noslēpumi un trešo pušu komponenti. Tieši tur uzbrukumi plūsmām gūst panākumus.
Vai tas ietver programmatūras komponentu sarakstu?
Pārbaudām, vai jūsu būvējuma radītais komponentu saraksts ir pilnīgs un atbilst artefaktam. Tā ģenerēšana un uzturēšana ir daļa no jūsu būvēšanas procesa; ieteicam, kā to darīt.
AWS, Azure, Google Cloud un Kubernetes vides novērtējums: identitātes, tīkla atvērtība, datu krātuves un ceļi no pirmā atbalsta punkta līdz pilnai kontrolei.