Potok, który buduje i wdraża Twoje oprogramowanie, ma więcej uprawnień niż większość administratorów. Czyta kod źródłowy, przechowuje klucze do podpisywania i dane logowania do chmury oraz zapisuje na środowisku produkcyjnym. Jest też złożony z zewnętrznych akcji, wtyczek i pakietów, które zmieniają się bez uprzedzenia.
Testujemy tę drogę tak, jak zrobiłby to atakujący: co może zrobić współtwórca z minimalnymi uprawnieniami, do czego może dotrzeć złośliwa zależność lub pull request i czy da się wykazać, że wdrażany artefakt to ten sam, który przeszedł przegląd kodu.
01Zakres
Co testujemy
Kontrola wersji: ochrona gałęzi, zasady przeglądu kodu, uprawnienia, tokeny dostępu
Definicje potoków: wstrzykiwanie przez niezaufane dane wejściowe, niebezpieczne wyzwalacze, przepływy pracy dla pull requestów
Runnery: izolacja, stan zachowywany między zadaniami, zasięg sieciowy, ryzyka runnerów utrzymywanych samodzielnie
Sekrety: zakres, ujawnianie w logach, długotrwałe dane logowania w porównaniu z krótkotrwałą federacją tożsamości
Zewnętrzne akcje, wtyczki i szablony: przypinanie wersji i pochodzenie
Artefakty i rejestry: podpisywanie, pochodzenie, kontrola dostępu
Wdrożenia: rozdział obowiązków, zatwierdzenia, infrastruktura jako kod
02Podejście
Jak przebiega praca
01
Mapowanie
Śledzimy drogę od commita do środowiska produkcyjnego i wypisujemy systemy, tożsamości i sekrety, które się na niej znajdują.
02
Przegląd konfiguracji
Repozytoria, potoki i rejestry przeglądamy pod kątem OWASP Top 10 CI/CD Security Risks i wymagań SLSA.
03
Symulacja ataku
Z pozycji zewnętrznego współtwórcy, wewnętrznego programisty i przejętej zależności próbujemy dotrzeć do sekretów i zmienić to, co jest budowane. Pracujemy na forkach i projektach testowych wszędzie tam, gdzie to wystarcza do wykazania problemu.
04
Plan wzmocnienia zabezpieczeń
Zmiany porządkujemy według ścieżek ataku, które zamykają. Do każdej dołączamy konfigurację, która ją wprowadza.
Klasa słabości leżącej u podstaw każdego znaleziska.
The MITRE Corporation
06Pytania
Pytania o tę usługę
Czy uruchomicie złośliwy kod w naszych potokach?
Uruchamiamy nieszkodliwy kod dowodowy, który pokazuje, co byłoby osiągalne, na przykład nazwę sekretu, a nie jego wartość. Potoków produkcyjnych dotykamy tylko tam, gdzie pozwalają na to zasady prowadzenia testów; większość ścieżek wykazujemy w projekcie testowym o tej samej konfiguracji.
Korzystamy z zarządzanej usługi CI. Czy za bezpieczeństwo nie odpowiada dostawca?
Dostawca zabezpiecza platformę. Za to, co na niej umieszczasz, odpowiadasz Ty: uprawnienia, wyzwalacze, sekrety i komponenty zewnętrzne. Właśnie tam udają się ataki na potoki.
Czy usługa obejmuje wykaz komponentów oprogramowania (SBOM)?
Weryfikujemy, czy wykaz komponentów tworzony podczas Twojego procesu budowania jest kompletny i zgodny z artefaktem. Jego generowanie i utrzymanie należy do Twojego procesu budowania; doradzamy, jak to robić.
Ocena bezpieczeństwa środowisk AWS, Azure, Google Cloud i Kubernetes: tożsamości, ekspozycja sieciowa, magazyny danych i ścieżki od pierwszego przyczółka do pełnej kontroli.