Den pipeline som bygger och driftsätter din programvara har fler privilegier än de flesta administratörer. Den läser källkoden, bär signeringsnycklarna och inloggningsuppgifterna till molnet och skriver till produktionen. Den är dessutom sammansatt av actions, plugins och paket från tredje part som ändras utan förvarning.
Vi testar den här vägen så som en angripare skulle göra: vad en bidragsgivare med minimala rättigheter kan göra, vad ett skadligt beroende eller en skadlig pull request kan nå, och om den artefakt som driftsätts bevisligen är den som granskades.
Artefakter och register: signering, ursprung, åtkomstkontroll
Driftsättning: åtskillnad av arbetsuppgifter, godkännanden, infrastruktur som kod
02Arbetssätt
Så utförs arbetet
01
Kartläggning
Vi följer vägen från en commit till produktion och listar systemen, identiteterna och hemligheterna längs den.
02
Granskning av konfigurationen
Kodförråd, pipelines och register granskas mot OWASP Top 10 CI/CD Security Risks och kraven i SLSA.
03
Attacksimulering
Från positionerna som extern bidragsgivare, intern utvecklare och komprometterat beroende försöker vi nå hemligheter och ändra det som byggs. Arbetet görs i forkar och testprojekt där det räcker för att bevisa poängen.
04
Härdningsplan
Ändringarna ordnas efter de attackvägar de stänger. Varje ändring levereras med den konfiguration som genomför den.
Vi kör ofarlig kod som bevisar vad som skulle gå att nå, till exempel namnet på en hemlighet och inte dess värde. Pipelines i produktionen berörs bara där uppdragsreglerna tillåter det; de flesta vägar bevisas i ett testprojekt med samma konfiguration.
Vi använder en hanterad CI-tjänst. Är det inte leverantören som ansvarar för säkerheten?
Leverantören skyddar plattformen. Det du lägger på den är ditt: behörigheter, triggers, hemligheter och komponenter från tredje part. Det är där attacker mot pipelines lyckas.
Ingår en programvaruförteckning (SBOM)?
Vi verifierar att den förteckning som ditt bygge tar fram är fullständig och stämmer med artefakten. Att ta fram och underhålla den är en del av ditt bygge; vi rekommenderar hur.
Granskning av miljöer i AWS, Azure, Google Cloud och Kubernetes: identiteter, exponering mot nätverket, datalager och vägar från ett fotfäste till full kontroll.