У конвейера, который собирает и развёртывает ваше ПО, больше привилегий, чем у большинства администраторов. Он читает исходный код, хранит ключи подписи и облачные учётные данные и пишет в рабочую среду. При этом он собран из сторонних actions, плагинов и пакетов, которые меняются без предупреждения.
Мы проверяем этот путь так, как это сделал бы злоумышленник: что может участник с минимальными правами, до чего дотянется вредоносная зависимость или pull request и можно ли доказать, что развёрнутый артефакт — именно тот, который прошёл проверку.
01Объём
Что мы проверяем
Система контроля версий: защита веток, правила ревью, права, токены доступа
Описания конвейеров: инъекции через недоверенный ввод, небезопасные триггеры, сценарии для pull request
Раннеры: изоляция, состояние между заданиями, сетевая доступность, риски собственных раннеров
Секреты: область действия, попадание в журналы, долгоживущие учётные данные против краткоживущей федерации
Сторонние actions, плагины и шаблоны: закрепление версий и происхождение
Артефакты и реестры: подпись, происхождение, разграничение доступа
Развёртывание: разделение обязанностей, согласования, инфраструктура как код
02Подход
Как выполняется работа
01
Построение карты
Прослеживаем путь от коммита до рабочей среды и перечисляем системы, учётные записи и секреты на этом пути.
02
Анализ конфигурации
Репозитории, конвейеры и реестры проверяются по OWASP Top 10 CI/CD Security Risks и требованиям SLSA.
03
Имитация атаки
С позиций внешнего участника, внутреннего разработчика и скомпрометированной зависимости пытаемся добраться до секретов и изменить результат сборки. Работа ведётся на форках и тестовых проектах везде, где этого достаточно для доказательства.
04
План усиления
Изменения упорядочены по путям атаки, которые они закрывают. К каждому прилагается конфигурация, которая его реализует.
Класс недостатка, лежащего в основе каждой находки.
The MITRE Corporation
06Вопросы
Вопросы об этой услуге
Вы будете запускать вредоносный код в наших конвейерах?
Мы запускаем безвредный доказательный код, который показывает, что было бы достижимо, — например, имя секрета, но не его значение. Рабочие конвейеры затрагиваются только там, где это разрешено правилами проведения работ; большинство путей доказывается в тестовом проекте с той же конфигурацией.
У нас управляемый CI-сервис. Разве за безопасность не отвечает провайдер?
Провайдер защищает платформу. То, что вы на ней разместили, — ваше: права, триггеры, секреты и сторонние компоненты. Именно здесь атаки на конвейеры достигают цели.
Входит ли сюда перечень компонентов ПО (SBOM)?
Мы проверяем, что перечень, который формирует ваша сборка, полон и соответствует артефакту. Его формирование и ведение — часть вашей сборки; мы рекомендуем, как это устроить.
Аудит сред AWS, Azure, Google Cloud и Kubernetes: идентификация, сетевая доступность, хранилища данных и пути от первой точки опоры к полному контролю.