Pipelinen som bygger og ruller ut programvaren din, har flere rettigheter enn de fleste administratorer. Den leser kildekoden, har tilgang til signeringsnøklene og påloggingsinformasjonen til skyen og skriver til produksjon. Den er også satt sammen av actions, plugins og pakker fra tredjeparter som endres uten varsel.
Vi tester denne veien slik en angriper ville gjort: hva en bidragsyter med minimale rettigheter kan gjøre, hva en ondsinnet avhengighet eller pull request kan nå, og om artefaktet som rulles ut, beviselig er det samme som ble gjennomgått.
01Omfang
Hva vi tester
Versjonskontroll: grenbeskyttelse, regler for gjennomgang, tilganger, tilgangstokener
Pipelinedefinisjoner: injeksjon gjennom input som ikke er til å stole på, usikre utløsere, arbeidsflyter for pull requests
Runnere: isolasjon, tilstand som overlever mellom jobber, nettverkstilgang, risikoer ved egendriftede runnere
Hemmeligheter: omfang, eksponering i logger, langlivet påloggingsinformasjon kontra kortlivet føderasjon
Actions, plugins og maler fra tredjeparter: versjonslåsing og opphav
Artefakter og registre: signering, opphav, tilgangskontroll
Utrulling: rolleseparasjon, godkjenninger, infrastruktur som kode
02Fremgangsmåte
Slik utføres arbeidet
01
Kartlegging
Vi følger veien fra en commit til produksjon og lister opp systemene, identitetene og hemmelighetene langs den.
02
Gjennomgang av konfigurasjonen
Repositorier, pipeliner og registre gjennomgås mot OWASP Top 10 CI/CD Security Risks og kravene i SLSA.
03
Angrepssimulering
Fra posisjonen til en ekstern bidragsyter, en intern utvikler og en kompromittert avhengighet prøver vi å nå hemmeligheter og endre det som bygges. Arbeidet gjøres i forker og testprosjekter overalt der det er nok til å bevise poenget.
04
Plan for herding
Endringene ordnes etter angrepsveiene de lukker. Hver endring leveres med konfigurasjonen som gjennomfører den.
Kommer dere til å kjøre skadelig kode i pipelinene våre?
Vi kjører uskadelig demonstrasjonskode som viser hva som kan nås, for eksempel navnet på en hemmelighet og ikke verdien. Pipeliner i produksjon berøres bare der reglene for gjennomføring tillater det; de fleste veier bevises i et testprosjekt med samme konfigurasjon.
Vi bruker en administrert CI-tjeneste. Er det ikke leverandøren som har ansvaret for sikkerheten?
Leverandøren sikrer plattformen. Det du legger på den, er ditt: tilganger, utløsere, hemmeligheter og komponenter fra tredjeparter. Det er der angrep på pipeliner lykkes.
Inkluderer dette en stykkliste for programvaren (SBOM)?
Vi verifiserer at stykklisten som bygget ditt produserer, er fullstendig og stemmer med artefaktet. Å generere og vedlikeholde den er en del av byggeprosessen din; vi gir råd om hvordan.
Vurdering av AWS-, Azure-, Google Cloud- og Kubernetes-miljøer: identiteter, eksponering i nettverket, datalagre og veier fra et første fotfeste til full kontroll.