አብዛኛዎቹ ቡድኖች የመብት ማስፋፊያ ተጋላጭነትን እንደ የከርነል ሳንካ ወይም አላግባብ ጥቅም ላይ ያልዋለ ችግር አድርገው ይቆጥሩታል። sudo በፕሮዳክሽን ሰርቨር ላይ። በ2026፣ የበለጠ አደገኛ የሆነው ስሪት በሌላ ቦታ ይኖራል፡ በ pipeline ኮድዎን የሚገነባ እና የሚልክ። ሀ CI/CD ስራ በመደበኛነት ወደ ማከማቻዎችዎ የመፃፍ መዳረሻን፣ የጥቅል መዝገቦችዎን ቶከኖች እና ለደመናዎ ምስክርነቶችን ይይዛል። በዚያ ስራ ውስጥ ኮድ እንዲሰራ የሚያደርግ አጥቂ ብዙ መጨመር አያስፈልገውም። pipeline ለእነሱ አስቀድሞ አድርጎታል።
ይህ መመሪያ የመብት ማስፋፊያ ተጋላጭነት በ ውስጥ ምን እንደሚመስል ያብራራል CI/CD pipelineዎች እና ኮንቴይነሮች፣ አጥቂዎች የሚጠቀሙባቸውን በጣም የተለመዱ መንገዶችን ይራመዳሉ፣ እና እያንዳንዱን እንዴት መዝጋት እንደሚቻል ያሳያል።
TL;DR: የመብት ማስፋፊያ ተጋላጭነት በ CI/CD pipelines
ውስጥ አንድ pipelineአጥቂው ብዙውን ጊዜ መብቶችን ከፍ ማድረግ አያስፈልገውም። pipeline ቀድሞውኑ አላቸው። የመብት ማስፋፊያ ተጋላጭነት በ CI/CD ብዙውን ጊዜ ከስራው ፍላጎት በላይ የሚወጣ ፈቃድ ሲሆን፣ የማይታመን ኮድ በውስጡ እንዲሰራ ይጠብቃል።
- Pipelineበዲዛይን የተከበሩ ናቸው። የምንጭ ኮድ ያነባሉ፣ ምስጢሮችን ይይዛሉ፣ ቅርሶችን ያትማሉ እና ወደ ምርት ያሰማራሉ፣ ይህም በድርጅትዎ ውስጥ ካሉት እጅግ ጠቃሚ የማሻሻያ ኢላማዎች አንዱ ያደርጋቸዋል።
- አብዛኛዎቹ የኤክስቴንሽን መንገዶች የተሳሳቱ ውቅሮች ናቸው፣ ብዝበዛዎች አይደሉም። ሰፊ ነባሪ ቶከኖች፣
pull_request_targetየሹካ ኮድን የሚያሄዱ የስራ ፍሰቶች እና ረጅም ጊዜ የሚቆዩ የደመና ቁልፎች ከማንኛውም ዜሮ-ቀን የበለጠ ጉዳት ያስከትላሉ። - የኮንቴይነር መብት ማስፋፊያ አንድን ሥራ ወደ ሙሉ ሯጭ ይለውጠዋል። የተከበሩ ኮንቴይነሮች፣ የስር ተጠቃሚዎች እና የተገጠመ የዶከር ሶኬት የግንባታ ኮንቴይነሩን ድንበር ሳይሆን በር ያደርጉታል።
- ቀድሞውኑ በደረጃው ላይ ይከሰታል። የCHAINDROP ትል ከሯጭ ማህደረ ትውስታ በቀጥታ ማስረጃዎችን ለማንበብ በጂትሆብ አክሽንስ ሯጮች ላይ ከፍተኛ መዳረሻን ተጠቅሟል።
- ማስተካከያው ዝቅተኛ መብት ያለው ሲሆን ያለማቋረጥ ተፈጻሚ ይሆናል። እያንዳንዱን ቶከን ቃኝተው፣ እያንዳንዱን ኮንቴይነር ጠንክረው ይያዙ እና አጥቂው ከማየቱ በፊት የፈቃድ ፍሰትን ያግኙ።
ደካማነት ምንድን ነው?
የመብት ማስፋፊያ ተጋላጭነት ማለት አንድ ተጠቃሚ፣ ሂደት ወይም የኮድ ክፍል ሊኖረው ከታሰበው በላይ ፈቃድ እንዲያገኝ የሚያስችል ማንኛውም ድክመት ነው። ሚትሬ አቲ ኤንድ ሲኬ እንደ የራሱ ስልት ይከታተለዋል፣ TA0004: የልዩ መብት ጭማሪምክንያቱም ትንሽ የእግር መቆሚያን ወደ እውነተኛ ጉዳት የሚቀይረው እርምጃ ነው።
ሁለት ክላሲክ ቅርጾች አሉ-
- አቀባዊ ከፍታ፡ ለምሳሌ ከመደበኛ ተጠቃሚ ወደ ሩት ወይም ከተነባቢ ብቻ ወደ መፃፍ የሚችል ቶከን ወደ ላይ መንቀሳቀስ።
- አግድም ጭማሪ፡ ወደ ጎን መንቀሳቀስ፣ ለምሳሌ የአንድን ሥራ መዳረሻ በመጠቀም የሌላ ቡድንን ማከማቻ፣ ሚስጥሮች ወይም አካባቢ ማግኘት።
አጥቂዎች በሦስት ዓይነት ድክመቶች አማካኝነት የመብት ማስፋፊያ ተጋላጭነትን ይጠቀማሉ፤ የሶፍትዌር ሳንካዎች፣ የተሳሳቱ ውቅሮች እና ከመጠን በላይ ፈቃዶች። በአገልጋዮች ላይ ሳንካዎች አብዛኛውን ትኩረት ያገኛሉ። በ CI/CD pipelineዎች፣ የተሳሳቱ ውቅሮች እና ከመጠን በላይ ፈቃዶች ሁሉንም ስራ ማለት ይቻላል ይሰራሉ።
ለምን በጣም አደገኛ ነው በ ውስጥ CI/CD pipelines
A pipeline የግንባታ መሳሪያ ብቻ አይደለም። በኩባንያዎ ውስጥ ካሉት ሰፊ መዳረሻዎች መካከል አንዱ የሆነው አውቶማቲክ ማንነት ነው። አንድ የተለመደ ሥራ የሚከተሉትን ሊያደርግ ይችላል፦
- የምንጭ ኮዱን ይመልከቱ እና ያሻሽሉ
- ከአካባቢ ተለዋዋጮች፣ ከካዝናዎች እና ከደመና ሜታዳታ አገልግሎቶች የተገኙ ምስጢሮችን ያንብቡ
- ፓኬጆችን፣ ምስሎችን እና የልቀት ቅርሶችን ያትሙ
- ወደ ዝግጅት እና ምርት ያሰማሩ
የ OWASP ከፍተኛ 10 CI/CD የደህንነት አደጋዎች ይህንን ችግር በቀጥታ ይጠቅሳል። አደጋው CICD-SEC-5፡ በቂ ያልሆነ Pipeline-የተመሰረቱ የመዳረሻ መቆጣጠሪያዎች ተንኮል አዘል ኮድ የሚያስኬዱ አጥቂዎች እንዴት እንደሚኖሩ ይገልጻል pipeline በጎን በኩል፣ በውስጥም ሆነ በውጭ ለመንቀሳቀስ የተሰጡትን ፈቃዶች አላግባብ መጠቀም CI/CD ስርዓት.
ይህ ቲዎሪቲካል አይደለም። በነሐሴ 2026 በቻይንድሮፕ ዘመቻ ወቅት፣ ማልዌር ጊዜያዊ ምስክርነቶችን ከ GitHub Actions Runner ማህደረ ትውስታ የተወሰዱ እና ተጨማሪ ፓኬጆችን ለመበከል የተሰረቁ የህትመት ቶከኖችን ተጠቅመዋል። በሊኑክስ ሯጮች ላይ የክፍያው ጭነት፣ የክፍያው ጭነት ሰብሳቢውን በሱዶ በኩል አሂድ የሯጭ ሂደቱን ማህደረ ትውስታ ለማንበብ። ያ በ CI/CD pipelineዎች በንጹህ መልክ፡- የተመረዘ ጥገኝነት፣ በሩጫው ላይ ከፍተኛ መዳረሻ እና ስራው ሊነካው የሚችለው እያንዳንዱ ሚስጥር። በሳምንታዊ ግኝቶቻችን ላይ የምናየው ተመሳሳይ ንድፍ ነው። ተንኮል አዘል የኤንፒኤም ፓኬጆች.
የመብት ማስፋፊያ ተጋላጭነት በ ውስጥ የት ይደበቃል? pipeline?
ስድስት የተለመዱ መንገዶች፣ እያንዳንዳቸው ለአጥቂ የሚከፍቱት እና የሚዘጋው መቆጣጠሪያ።
| የመለጠጥ መንገድ | እንዴት እንደሚከሰት | አጥቂው ምን ያገኛል | እንዴት መዝጋት እንደሚቻል |
|---|---|---|---|
| ከመጠን በላይ መብት ያለው pipeline ማስመሰያ | የስራ ፍሰቶች በሰፊው ነባሪ የቶከን ስኮፖች ይሰራሉ ምክንያቱም የለም permissions እገዳው ተዘጋጅቷል | ወደ ኮድ፣ ልቀቶች እና ሌሎች የስራ ፍሰቶች መዳረሻ ይፃፉ | የንባብ-ብቻ ነባሪዎችን ያቀናብሩ እና አስፈላጊ በሚሆንበት ቦታ ብቻ ለእያንዳንዱ ስራ የመፃፍ መዳረሻ ይስጡ |
| የተመረዘ pipeline ማስፈጸሚያ | pull_request_target ወይም ተመሳሳይ ቀስቅሴዎች ኮድን ከማይታመን ሹካ ይመልከቱ እና ያሂዱ | የማከማቻ ሚስጥሮች እና የመጻፍ ማስመሰያ፣ ከአንድ ነጠላ pull request | የፎርክ ኮድን በተከበረ አውድ ውስጥ በጭራሽ አታሂዱ፤ የታመኑ እና የማይታመኑ ስራዎችን ከፋፍሉ |
| የኮንቴይነር መብት ማራዘሚያ | ኮንቴይነሮችን እንደ ስር፣ በልዩ ሁኔታ ወይም በዶከር ሶኬት ከተገጠመ ጋር ይገንቡ | በሯጭ አስተናጋጅ ላይ ሩት እና ለሚያሄደው እያንዳንዱ ስራ መዳረሻ | እንደ ሩት ያልሆነ አሂድ፣ የመጣል ችሎታዎች እና የእቃ መያዣ ዝርዝር ውስጥ የብሎክ መብት ጭማሪ |
| ለረጅም ጊዜ የዘለቀ የደመና ምስክርነቶች | የማይንቀሳቀሱ የደመና ቁልፎች እንደ ሚስጥሮች ወይም የአካባቢ ተለዋዋጮች ተከማችተዋል | ስራው ካለቀ ከረጅም ጊዜ በኋላ ለደመና መለያዎች የማያቋርጥ መዳረሻ | አጭር ጊዜ የቆዩ፣ የተዋሃደ የምስክር ወረቀቶችን ይጠቀሙ እና የተገለጹ ምስጢሮችን በራስ-ሰር ይሰርዙ |
| የማያቋርጥ ራስን የሚያስተናግዱ ሯጮች | ሯጮች እንደገና ሳይገነቡ በተለያዩ የስራ ቦታዎችና ማከማቻዎች እንደገና ጥቅም ላይ ይውላሉ | ጽናት እና የሌሎች ቡድኖችን ግንባታዎች የመቀየር ችሎታ | ጊዜያዊ ሯጮችን ይጠቀሙ እና በእያንዳንዱ የእምነት ደረጃ ያገልሏቸው |
| ከመጠን በላይ መብት የተሰጣቸው የሰው ሂሳቦች | ንቁ ያልሆኑ አስተዳዳሪዎች፣ የውጭ ተባባሪዎች እና ያልተገመገሙ የፈቃድ ለውጦች እየተከማቹ ነው | ሊለወጥ የሚችል ትክክለኛ መለያ pipelineዎች እና የቅርንጫፍ ጥበቃዎች | መዳረሻን ያለማቋረጥ ይገምግሙ እና ያልተለመዱ የፈቃድ ለውጦችን ያሳውቁ |
የኮንቴይነር መብት ጭማሪ፡ የግንባታ ኮንቴይነር ወሰን በማይሆንበት ጊዜ
ኮንቴይነሮች እንደ መገለል ይሰማቸዋል፣ ስለዚህ ቡድኖች ብዙውን ጊዜ እንደ የደህንነት ድንበር አድርገው ይመለከቷቸዋል። CI/CDእነሱ ብዙውን ጊዜ አንድ አይደሉም። የኮንቴይነር መብት መጨመር የሚከሰተው በግንባታ ኮንቴይነር ውስጥ ያለው ኮድ አስተናጋጁን እና እዚያ የሚሠራውን ማንኛውንም ሌላ ስራ ሲቆጣጠር ነው።
ለአብዛኛዎቹ ጉዳዮች ሶስት ቅንብሮችን ይወክላሉ፦
- እንደ ሥር እየሮጠ። በመያዣው ውስጥ ያለው ሂደት ሥር የሰደደ ከሆነ፣ ማንኛውም መቆራረጥ የሚጀምረው በጣም ጠንካራ ከሆነ ቦታ ነው።
- ልዩ መብት ሁነታ። አንድ ልዩ መያዣ በቀጥታ በእሱ ላይ ከሚሰራ ሂደት ጋር ወደ አስተናጋጁ ተመሳሳይ መዳረሻ አለው።
- የተገጠመ የዶከር ሶኬት። ለመሰካት
/var/run/docker.sockአዳዲስ ልዩ መብት ያላቸውን ኮንቴይነሮች ሊጀምር ስለሚችል ምስሎችን በአስተናጋጅ ላይ ውጤታማ በሆነ መንገድ መገንባት እንዲችል ወደ ሥራ ገባ።
የደህንነት ተመራማሪዎች ይህ በእውነተኛ የCI ሲስተሞች ውስጥ እንዴት እንደሚሠራ አሳይተዋል። በአንድ በሚገባ በተመዘገበ ጉዳይ ላይ ተመራማሪዎች ከግንባታ ስክሪፕቶች ወደ አንድ የCI ኮንቴይነር ውስጥ እየሰሩ ነው። በCloudflare Pages የግንባታ አስተናጋጆች ላይ ሙሉ የኮንቴይነር ማምለጫ, ቅድመcisምክንያቱም ኮንቴይነሩ እንደ የደህንነት ድንበር እየተቆጠረ ነበር።
የተጠናከረ የኩበርኔቴስ የስራ ዝርዝር መግለጫ እንዴት እንደሚመስል እነሆ። ቁልፉ ቅንብር allowPrivilegeEscalation: false, ይህም አንድ ሂደት ከወላጁ የበለጠ መብቶችን እንዳያገኝ ይከላከላልለምሳሌ በ setuid binaries በኩል።
# የተጠናከረ የግንባታ ፖድ፡ በጣም የተለመዱትን የኮንቴይነር መብቶችን የማስፋፊያ መንገዶችን ያግዳል apiVersion: v1 ዓይነት: ፖድ ዲበ ውሂብ: ስም: ሲ-ግንባታ ዝርዝሮች: የደህንነት አውድ: runAsNonRoot: እውነተኛ runAsUser: 10001 seccompProfile: ዓይነት: የሩጫ ጊዜ ነባሪ ዕቃዎች: - ስም: መገንባት ምስል: registry.example.com/build-image@sha256፡ የደህንነት አውድ: allowPrivilegeEscalation: የሐሰት ልዩ መብት: የሐሰት የreadOnlyRootFilesystem: እውነተኛ ችሎታዎች:
ተመሳሳይ መርህ ለዶከርፋይል ራሱ ይሠራል። ሩት ያልሆነ ተጠቃሚ ያክሉ እና ከመግቢያው ነጥብ በፊት ወደ እሱ ይቀይሩት፡
# ኮንቴይነሩን እንደ ሩት ያልሆነ ተጠቃሚ ያሂዱ ከ ኖድ: 22-ቀጭን ፍንጭ ኦራራድ --ኡይድ 10001 ---ፍጠር-ቤት ሰሪ WORKDIR / መተግበሪያ ቅጂ --ቾውን=ገንቢ: ገንቢ . . USER ሰሪ CMD ["ኖድ", "index.js"]
የኩበርኔትስ ሰነድ በ የደህንነት አውድ ማዋቀር እያንዳንዱን እነዚህን ቅንብሮች በዝርዝር ይሸፍናል።
የጂትሃብ እርምጃዎች፡- በግልጽ የሚታይ የተደበቀ የተጋላጭነት ተጋላጭነት
የጂትሆብ እርምጃዎች ብዙ ቡድኖች ለመጀመሪያ ጊዜ የመብት ጭማሪ የሚያጋጥማቸው ቦታ ነው CI/CD pipelineዎች፣ ምክንያቱም አደገኛ ቅጦች ሙሉ በሙሉ ተራ ስለሚመስሉ። ሁለቱ ዛሬ በእያንዳንዱ ማከማቻ ውስጥ መፈተሽ ተገቢ ናቸው።
የቶከን ስኮፕ። እያንዳንዱ የስራ ፍሰት ያገኛል GITHUB_TOKENየጂትሆብ የራሱ መመሪያ አውቶማቲክ የቶከን ማረጋገጫ ግልጽ ነው፡ አንድ እርምጃ በግልጽ ባያስተላልፉትም እንኳ ወደዚያ ምልክት ሊደርስ ይችላል፣ ስለዚህ ፈቃዶቹን ሁልጊዜ በትንሹ መገደብ አለብዎት። የስራ ፍሰቱን አናት ላይ የንባብ-ብቻ ፈቃዶችን ማዘጋጀት እና በእያንዳንዱ ስራ የመፃፍ መዳረሻ መስጠት በአንድ እርምጃ ውስጥ በጣም የተለመደውን የማሳደጊያ መንገድ ያስወግዳል፡
ስም: መገንባት on: [ግፊት] # ለእያንዳንዱ ሥራ ነባሪ፡ ንባብ ብቻ ፍቃዶች: ይዘቶች: ያንብቡ ስራዎች: ሙከራ: ይሮጣል: ubuntu-latest ደረጃዎች: # የሶስተኛ ወገን እርምጃዎችን ሙሉ በሙሉ ያገናኙ commit SHA፣ የሚቀየር መለያ አይደለም - አጠቃቀሞች: እርምጃዎች/ቼክአውት@commit-ሻ> - ሩጫ: npm ci && npm ሙከራ መልቀቅ: ፍላጎት: ሙከራ ይሮጣል: ubuntu-latest # ይህ ስራ ብቻ ነው መጻፍ የሚችለው፣ እና የሚያስፈልገውን ብቻ ነው መጻፍ የሚችለው ፍቃዶች: ይዘቶች: ጻፈ ደረጃዎች: - አጠቃቀሞች: እርምጃዎች/ቼክአውት@commit-ሻ> - ሩጫ: ./scripts/release.sh
የማይታመኑ ቀስቅሴዎች። የስራ ፍሰቶች የሚቀሰቀሱት በ pull_request_target ምንም እንኳን የዒላማውን የማከማቻ ሚስጥሮች እና የመጻፍ ችሎታ ያለው ቶከን በመጠቀም ያሂዱ፣ ምንም እንኳን pull request ከሹካ የመጣ ነው። ያ የስራ ፍሰት የሹካውን ኮድ ካጣራ እና ካሄደ፣ ማንኛውም ሰው ሊከፍት ይችላል pull request እና ኮዱን በባለቤትነት መብቶችዎ ያስፈጽሙ። ያ ምንም አይነት ጥቅም የማያስፈልገው የመብት ማስፋፊያ ተጋላጭነት ነው፣ ብቻ pull request. በታመነ ኮድ ላይ ልዩ እርምጃዎችን ይያዙ፣ እና የማይታመን ኮድን ያለ ሚስጥሮች በተለየ የስራ ፍሰት ውስጥ ያሂዱ።
እነዚህን ቅጦች በአስተማማኝ ቦታ ማየት ከፈለጉ፣ ኦክሳይድ-ፍየል ማከማቻው ሆን ተብሎ ደህንነቱ ያልተጠበቀ ይሰበስባል pipeline ና IaC ለስልጠና ውቅሮች። ስለ GitHub ማዋቀርዎ ሰፋ ያለ ግምገማ ለማግኘት፣ መመሪያችንን ይመልከቱ በ የጂትሆብ መተግበሪያ ወይም ማከማቻ ደህንነቱ የተጠበቀ መሆኑን እንዴት ማወቅ እንደሚቻል.
የመብት ማጎልበት ተጋላጭነትን እንዴት መከላከል እንደሚቻል በ CI/CD pipelines
የመዝጊያ መብት ጭማሪ በ CI/CD pipelines ወደ አንድ መርህ ይመጣል፡ ዝቅተኛ መብት፣ በእያንዳንዱ ንብርብር ላይ የሚተገበር እና አንድ ጊዜ ሳይሆን ያለማቋረጥ የሚረጋገጥ። ተግባራዊ የማረጋገጫ ዝርዝር፡
- እያንዳንዱን ቶከን ገምግም። በነባሪነት ተነባቢ ብቻ፣ በአንድ ስራ የመፃፍ መዳረሻ፣ እና በማከማቻ የስራ ፍሰቶች ውስጥ ምንም አይነት ድርጅት አቀፍ ቶከኖች የሉም።
- የታመነ እና የማይታመን ኮድ ለይ። ሚስጥሮችን በሚይዝ ሥራ ውስጥ ከሹካዎች ወይም ከውጭ አስተዋፅዖ አበርካቾች ኮድ በጭራሽ አያስኬዱ።
- እያንዳንዱን የግንባታ ኮንቴይነር ያጠናክሩ። ሩት ያልሆኑ ተጠቃሚዎች፣ ልዩ መብት የሌላቸው ሁነታዎች፣ የዶከር ሶኬት የሌላቸው፣ አቅሞች ተጥለዋል፣
allowPrivilegeEscalation: false. - ረጅም ዕድሜ ያላቸውን ምስጢሮች ይተኩ። ለአጭር ጊዜ የሚቆይ የፌዴራል የምስክር ወረቀቶችን እመርጣለሁ፣ እና የተጋለጠውን ማንኛውንም ነገር ወዲያውኑ ሰርዝ።
- የሚሮጡትን ፒን ያድርጉ። የሶስተኛ ወገን እርምጃዎችን እና ምስሎችን በማጣቀሻ commit SHA ወይም Digest፣ ስለዚህ የተጎዳ መለያ የእርስዎን ሊለውጥ አይችልም። pipeline.
- ለመንሸራተት ተጠንቀቁ። ፈቃዶች በጊዜ ሂደት ይሰፋሉ። ስለ አዳዲስ አስተዳዳሪዎች፣ የተዳከሙ የቅርንጫፍ ጥበቃዎች እና ያልተጠበቁ የስራ ፍሰት ለውጦች ማስጠንቀቂያ።
- በሩ pipeline. ከመዋሃድዎ በፊት ወሳኝ የሆነ የተሳሳተ ውቅር ሲታይ ግንባታው ይከሽፋል።
አስቸጋሪው ነገር እነዚህን ደንቦች አለማወቅ ነው። በየቀኑ በሚለዋወጡ በመቶዎች የሚቆጠሩ ማከማቻዎች እና የስራ ፍሰቶች ላይ እነሱን ማስፈጸም ነው።
Xygeni የመብት ማስፋፊያ ተጋላጭነትን እንዴት ያቆማል? CI/CD?
እያንዳንዱ የኤክስቴንሽን መንገድ፣ ከ Xygeni ችሎታ ጋር የሚስማማ ሲሆን ይህም እሱን የሚለየው ወይም የሚያግደው ነው።
| አደጋ | ዢጌኒ የሚያደርገው ነገር |
|---|---|
| Pipeline የተሳሳቱ ውቅሮች | የተሳሳተ ውቅር ፈላጊዎች የCI የስራ ፍቺዎችን ይቃኙ፣ ስክሪፕቶችን እና የውቅር ፋይሎችን በ GitHub፣ GitLab፣ Azure DevOps፣ Bitbucket፣ CircleCI እና Jenkins ላይ ይገንቡ፣ እና ፈቃዶችን ከምርጥ ልምምድ በላይ ያሳዩ |
| የኮንቴይነር መብት ማራዘሚያ | IaC እና የኮንቴይነር ቼኮች የDockerfiles፣ የdocker-compose ፋይሎች፣ የKubernetes manifests እና የHelm ገበታዎች ሽፋን፣ እንደ root የሚሰሩ ኮንቴይነሮችን ጨምሮ |
| ከመጠን በላይ መብት ያላቸው እና እንቅስቃሴ-አልባ ተጠቃሚዎች | ዝቅተኛ መብት ያለው ትንተና እንቅስቃሴ-አልባ እና ከመጠን በላይ መብት የሌላቸውን ተጠቃሚዎችን ይለያል፣ እና Health Check እያንዳንዱን ግኝት ወደ ትኬት ይለውጠዋል |
| የፈቃድ ዝውውር | ያልተለመዱ የፈቃድ ለውጦች፣ ያልተለመዱ ውህዶች እና ያልተጠበቁ የተሰኪ ጭነቶች ላይ ያልተለመዱ የማወቂያ ማንቂያዎች |
| የተጋለጡ ምስክርነቶች | የሚስጥር ማወቂያ ኮድን ይሸፍናል፣ pipelines እና የኮንቴይነር ምስሎች፣ ለሚደገፉ ሚስጥራዊ ዓይነቶች በራስ-ሰር መሻር |
| በ ውስጥ ያለው ተንኮል አዘል ኮድ pipeline | የተገላቢጦሽ ሼሎችን እና የማልዌር ውርዶችን በ ውስጥ ያግዳል pipelineበእውነተኛ ጊዜ፣ እና MEW ፊርማ ከመኖሩ በፊት ተንኮል አዘል ፓኬጆችን ያገኛል |
| ማስፈጸም | Pre-commit hooks እና ሲአይ guardrails ለእራስዎ ህጎች ብጁ የYAML ፖሊሲዎችን በመጠቀም ወሳኝ ጉዳዮችን መገንባት ይሳናሉ |
ቼኮች ከሚከተሉት ጋር ይጣጣማሉ OWASP ከፍተኛ 10 CI/CD የደህንነት አደጋዎች ና standards እንደ CIS, NIST, እና OpenSSFእያንዳንዱ ግኝት ወደ Xygeni ASPMከኮድ፣ ከጥገኝነት እና ከሚስጥር ግኝቶች ጎን ለጎን ቅድሚያ የሚሰጠው ሲሆን፣ በእርግጥ ወደ ምርት የሚደርሰው የልዩነት ማጎልበቻ ተጋላጭነት መጀመሪያ ይስተካከላል።
ከፍተኛው የመብት ጭማሪ በ CI/CD pipelines በስራ ፍሰት ፋይሎችዎ ውስጥ አስቀድሞ ተቀምጧል፣ የማይታመን ኮድ እስኪሰራ ድረስ እየጠበቀ ነው።
በየጥ
የመብት ማስፋፊያ ተጋላጭነት ምንድን ነው? CI/CD?
ኮድ በ ውስጥ እንዲሰራ የሚያስችል ማንኛውም ድክመት ነው pipeline እንደ ከመጠን በላይ መብት ያለው ቶከን፣ የማይታመን ኮድ የሚያሄድ የስራ ፍሰት ወይም አስተናጋጁን ሊደርስበት የሚችል የግንባታ ኮንቴይነር ያሉ ስራዎች ከሚያስፈልጉት በላይ መዳረሻ ያግኙ።
የኮንቴይነር መብት መጨመር ምንድን ነው?
የኮንቴይነር መብት መጨመር የሚከሰተው በኮንቴይነር ውስጥ ያለ ሂደት ከፍተኛ መብቶችን ሲያገኝ ነው፣ ብዙውን ጊዜ በአስተናጋጁ ላይ ስር ሲሰራ። የተለመዱ ምክንያቶች እንደ ሩት፣ ልዩ ሁነታ እና የተገጠመ የዶከር ሶኬት እየሄዱ ነው።
ያመጣል allowPrivilegeEscalation: false የኮንቴይነር ማምለጫዎችን ያቁሙ?
አንድ አስፈላጊ መንገድን ያግዳል፡- ከወላጁ የበለጠ መብቶችን የሚያገኝ ሂደት፣ ለምሳሌ በ setuid binaries በኩል። ከስር-ያልሆነ ተጠቃሚ፣ ከተወገዱ ችሎታዎች እና ምንም ልዩ ሁነታ ከሌለ ጋር በጥሩ ሁኔታ ይሰራል።
Is pull_request_target ሁልጊዜ አደገኛ ነው?
በራሱ አይደለም። የስራ ፍሰቱ ሲረጋገጥ እና ኮዱን ከኮዱ ሲያስኬድ የመብት ማጎልበቻ ተጋላጭነት ይሆናል። pull requestምክንያቱም ያ ኮድ ከዚያ በኋላ ከሚስጥርዎ እና ሊጽፍ የሚችል ቶከን ጋር ይሰራል።
በብዙ የውሂብ ማከማቻዎች ውስጥ የመብት ማስፋፊያ መንገዶችን እንዴት ማግኘት እችላለሁ?
በእጅ የሚሰጡ ግምገማዎች አይለኩም። አውቶማቲክ CI/CD የደህንነት መሳሪያው እያንዳንዱን የስራ ፍሰት፣ የኮንቴይነር ዝርዝር መግለጫ እና የፈቃድ ስብስብ ያለማቋረጥ ይቃኛል፣ እና የሆነ ነገር ሲሰፋ ያስጠነቅቃል።
