የደህንነት የተሳሳተ ውቅር፡ በስታክዎ ውስጥ ያለው ጸጥተኛ አደጋ

ብትገርም የደህንነት ውቅር የተሳሳተነት ምንድን ነውብቻህን አይደለህም። ይህ የተለመደ ድክመት፣ እንደ የ OWASP የደህንነት የተሳሳተ ውቅር, ከኮንቴይነሮች እስከ የደመና አገልግሎቶች ድረስ ሁሉንም የቴክኖሎጂ ቁልል ማለት ይቻላል ይነካል። የደህንነት የተሳሳተ ውቅር ተጋላጭነት ስርዓቶች፣ አገልግሎቶች ወይም ኮድ ደህንነቱ ባልተጠበቀ ነባሪዎች ወይም በተጋለጡ ቅንብሮች ሲሰማሩ ይከሰታል። ክፍት የአስተዳደር ፓነል፣ ነባሪ ምስክርነቶች ወይም በተሳሳተ ሁኔታ የተዋቀረ የS3 ባልዲ ይሁን፣ እነዚህ ክፍተቶች ለአጥቂዎች ግልጽ የመግቢያ ነጥብ ይሰጣሉ።

የደህንነት የተሳሳተ ውቅር በዘመናዊ የሶፍትዌር ልማት ውስጥ በጣም ችላ ከተባሉት ግን በስፋት ከተከሰቱት ተጋላጭነቶች አንዱ ነው። የደህንነት የተሳሳተ ውቅር ምንድን ነው ብለው ከጠየቁ ወይም በከፍተኛ 10 ዝርዝር ውስጥ ባለው የ OWASP የደህንነት የተሳሳተ ውቅር ክፍል ውስጥ ከተገለበጡ፣ በጥልቀት ለመመልከት ጊዜው አሁን ነው። ከተጋለጡት Kubernetes dashboardበደመና አካባቢዎች ውስጥ የአስተዳዳሪ ምስክርነቶችን ነባሪ ለማድረግ፣ ይህ አደጋ ብዙ ገንቢዎች ከሚያውቁት በላይ የተለመደ ነው።

ጠንካራ ኮድ ቢኖርም፣ አንድ የተሳሳተ የውቅር አገልግሎት፣ ከልክ በላይ የሚፈቀድ የS3 ባልዲ ወይም የተረሳ የስህተት ሁነታ ሚስጥራዊ መረጃዎችን ሊያጋልጥ ወይም ለአጥቂዎች መንገድ ሊከፍት ይችላል። እነዚህ ችግሮች ቲዎሪቲ ብቻ አይደሉም፣ እውነተኛ ጥሰቶች ብዙውን ጊዜ የሚከሰቱት በመሠረታዊ የውቅር ስህተቶች ውስጥ ነው። CI/CD pipelines፣ Dockerfiles፣ ወይም የመሠረተ ልማት-እንደ-ኮድ አብነቶች።

በዚህ ጽሑፍ ውስጥ፣ የደህንነት የተሳሳተ ውቅር አሁንም በ OWASP ማዕቀፍ ውስጥ ካሉት ዋና ዋና ስጋቶች መካከል ለምን እንደሚመደብ እናብራራለን፣ በተግባር ምን እንደሚመስል እናሳይዎታለን፣ እና አቅርቦትዎን ሳያዘገዩ ለመከላከል ተግባራዊ መንገዶችን እናቀርባለን።

የደህንነት የተሳሳተ ውቅር ምንድን ነው?

የደህንነት የተሳሳተ ውቅር የሚከሰተው ስርዓቶች፣ አገልግሎቶች ወይም መተግበሪያዎች ደህንነታቸው ያልተጠበቀ ነባሪ ቅንብሮች፣ አላስፈላጊ ባህሪያት ወይም ከልክ በላይ ፍቃደኛ የሆኑ የመዳረሻ መቆጣጠሪያዎች ሲሰማሩ ነው። የዶከር ኮንቴይነር ተጋልጦ ከተዉት፣ commitቴድ አ .env በስህተት ፋይል ካደረጉ ወይም በምርት ውስጥ የስህተት ሁነታን ማሰናከል ከረሱ፣ ይህንን አደጋ በተግባር አይተዋል።

በቀላሉ ለማስቀመጥ ፣ የደህንነት ውቅር የተሳሳተነት ምንድነው? አካባቢዎ የሚሰራበት ጊዜ ነው፣ ነገር ግን ለበደል ሰፊ ክፍት ነው።

የ OWASP የደህንነት የተሳሳተ ውቅር እዚህ ላይ ይገኛል A05 በውስጡ OWASP ከፍተኛ 10እና በጥሩ ምክንያት። ከደመና ባልዲዎች እስከ ይፋዊ፣ የጠፉ የደህንነት ራስጌዎች፣ ክፍት የአስተዳደር ፓነሎች ያሏቸው ጊዜ ያለፈባቸው ቤተ-መጻሕፍት ድረስ የተለያዩ ሁኔታዎችን ይሸፍናል።

በተለይ አደገኛ የሚያደርገው ነገር በቀላሉ ማጣት መሆኑ ነው። ገንቢዎች ደህንነቱ የተጠበቀ ኮድ በመጻፍ ላይ ያተኩራሉ፣ ነገር ግን ብዙውን ጊዜ የውቅር ፋይሎችን ይረሳሉ፣ CI/CD ተለዋዋጮች፣ የኮንቴይነር ፈቃዶች እና የተጋለጡ ወደቦችም እንዲሁ ወሳኝ ናቸው።

ጥቂት የእውነተኛ ዓለም ምሳሌዎች እነሆ፡

የAWS S3 ባልዲ ያለ ማረጋገጫ በይፋ ተደራሽ ነው
ኤ ኩበርኔትስ dashboard በኢንተርኔት አማካኝነት ያለ ምንም ነገር ተደራሽ ሊሆን ይችላል login
ጄንኪንስ በነባሪ የይለፍ ቃላት ተዋቅሯል
በምርት ውስጥ ያሉ የቃላት ስህተት ገጾች የቁልል ዱካዎችን ያሳያሉ

የተሳሳቱ ውቅሮች ጸጥ ያሉ ስጋቶች ናቸው። ግንባታዎን አያፈርሱም፣ አንድ ሰው እስኪያገኛቸው ድረስ ከበስተጀርባ ይጠብቃሉ።

የደህንነት የተሳሳተ ውቅር ለምን እውነተኛ ተጋላጭነት ነው

በመጀመሪያ ሲታይ፣ ትንሽ የተሳሳተ ውቅር እንደ ስጋት ላይመስል ይችላል። ሆኖም ግን፣ የደህንነት የተሳሳተ ውቅር ተጋላጭነት በተለይም አገልግሎቶች እርስ በእርስ በተገናኙባቸው ደመና-ተኮር እና ኮንቴይነር በተሞላባቸው አካባቢዎች ውስጥ በፍጥነት ሙሉ በሙሉ ሊበላሽ ይችላል።

አጥቂዎች ብዙውን ጊዜ የሚከተሉትን ይቃኛሉ፦

እንደ ኪባና ወይም ጄንኪንስ ያሉ የልማት መሳሪያዎችን የሚያጋልጡ ወደቦችን ይክፈቱ
የተሳሳቱ የጣቢያ አቋራጭ ስክሪፕት (XSS) የሚፈቅዱ ራስጌዎች
የሕዝብ የደመና ንብረቶች (ለምሳሌ S3፣ GCS) ለማንኛውም ሰው "አንብብ/ጻፍ" ተብለው ተቀናብረዋል።
ሊኪ .git ማውጫዎች ወይም የተጋለጡ .env በ GitHub ፕሮጀክቶች ውስጥ ያሉ ፋይሎች

ከዚህም በላይ፣ የመተግበሪያ አመክንዮዎን እንኳን መጠቀም አያስፈልጋቸውም። በምትኩ፣ በነባሪነትዎ፣ በተረሱ ባንዲራዎችዎ ወይም ባልተስተካከሉ የአስተዳደር ፓነሎችዎ ላይ ይመረኮዛሉ።

የ 2024 ሪፖርት በ IBM X-Force እንዳሉት የተሳሳቱ ውቅሮች ከሁሉም የደመና ደህንነት ክስተቶች 25% አስከትለዋልይህም ከማንነት አስተዳደር ጉድለት ጀርባ ሁለተኛው በጣም የተለመደ የደመና ስጋት ምድብ ያደርጋቸዋል።

ይህንን በአጭሩ ጎን ለጎን እንከፋፍለው፡-

ቅንብር	በነባሪነት ደህንነቱ ያልተጠበቀ	የተጠናከረ ውቅር
የአስተዳዳሪ ፓነል	ያለ ነቅቷል login	የተረጋገጠ እና በአይፒ የተገደበ
S3 ባልዲ	የህዝብ መዳረሻ	ከIAM ደንቦች ጋር የግል
Dockerfile	የስር ተጠቃሚን ይጠቀማል	እንደ ሩት ያልሆነ ይሰራል
ጄንከንዝ	ነባሪ ምስክርነቶች	የተተገበሩ RBAC እና ቶከኖች

እነዚህ ችግሮች ብዙውን ጊዜ በመደበኛ ምርመራ ወቅት ሳይታወቁ ስለሚቀሩ፣ አንድ ሰው እስኪያገኛቸው ድረስ በመሠረተ ልማትዎ ውስጥ በጸጥታ ተቀምጠው የጥቃቱ ገጽ አካል ይሆናሉ። ለዚህም ነው ማከም ያለብዎት። የደህንነት የተሳሳተ ውቅር ለዘመናዊ የDevOps እና የAppSec ቡድኖች እውነተኛ ተጋላጭነት አስፈላጊ ነው።

የደህንነት የተሳሳተ ውቅር ተጋላጭነት ምሳሌዎች ገንቢዎች ብዙውን ጊዜ ይጎድላቸዋል

ልምድ ያላቸው ገንቢዎች እንኳን የደህንነት ስህተቶችን ችላ ይላሉ፣ ግድ ስለሌላቸው ሳይሆን ነባሪዎቹ ብዙውን ጊዜ ስለሚሰሩ ነው። በጣም ጥሩከዚህ በታች ከምታስቡት በላይ ብዙ ጊዜ ወደ ምርት የሚገቡ ምሳሌዎች ናቸው፡

በኮንቴይነሮች እና በዶከርፋይሎች ውስጥ የደህንነት የተሳሳተ ውቅር

እንደ እየሄደ ነው root መብት የሌለው ተጠቃሚ ከመሆን ይልቅ
የውስጥ ወደቦችን ማጋለጥ Dockerfile or docker-compose.yml
የጤና ምርመራ የመጨረሻ ነጥቦችን ያለ ምንም ጥበቃ መተው

በማከማቻ እና በመሠረተ ልማት ውስጥ የደመና ደህንነት የተሳሳተ ውቅር ተጋላጭነቶች

S3 ባልዲዎች ከ"በህዝብ የተነበበ" ወይም "በህዝብ የተፃፈ" ፈቃዶች ጋር
በተሳሳተ ውቅር IAM በኩል የተጋለጡ የጂሲፒ ባልዲዎች ወይም የ Azure ብሎቦች
Terraform የመዳረሻ ገደቦች ወይም ምስጠራዎች የሌላቸው ፋይሎች

CI/CD pipeline በደህንነት የተሳሳተ ውቅር ምክንያት የተከሰቱ ችግሮች

ጄንኪንስ ወይም GitLab ስም-አልባ መዳረሻ ያለው CI ነቅቷል
በቀላል ጽሑፍ ውስጥ የተከማቹ ምስጢሮች pipeline ውቅሮች
የሙከራ ሽፋን ሪፖርቶች ወይም የውስጥ መንገዶችን የሚያጋልጡ የኮድ ስካነሮች

የተለመዱ የድር መተግበሪያ ደህንነት የተሳሳተ ውቅር ምሳሌዎች

የስህተት አርም ሁነታ በ ውስጥ ነቅቷል ፋክስ, Djangoወይም ኤክስፕረስ
የቁልል ዱካዎችን ወይም የአካባቢ ዝርዝሮችን የሚያጋልጡ የቃላት ስህተት መልዕክቶች
የኤችቲቲፒ የደህንነት ራስጌዎች ይጎድላሉ (X-Content-Type-Options, Strict-Transport-Security, ወዘተ.)

በተጨማሪም፣ እነዚህ ስህተቶች ብቻ አይደሉም፣ ሊገመቱ የሚችሉ የመግቢያ ነጥቦች ናቸው። አጥቂዎች የሚተማመኑት በ አውቶማቲክ ስካነሮች እነዚህን ጉድለቶች በትክክል ለማግኘት።

ተደራሽ ከሆነ እና በተሳሳተ መንገድ ከተዋቀረ፣ ተጋላጭ ነው።

በ DevOps ውስጥ የደህንነት የተሳሳተ ውቅር ተጋላጭነቶችን እንዴት መከላከል እንደሚቻል

መከላከል የደህንነት የተሳሳተ ውቅር አዳዲስ መሳሪያዎችን ስለማከል አይደለም። ከልማት እስከ ምርት ድረስ ደህንነቱ የተጠበቀ ውቅርን በእያንዳንዱ አካባቢ ነባሪ ማድረግ ነው። እንዴት እንደሆነ እነሆ፦

1. ቀደም ብሎ ጠንከር ያሉ ነባሪዎችን ማጠንከር

በDockerfiles፣ Helm ገበታዎች እና Terraform ስክሪፕቶችዎ ውስጥ ባሉ ደህንነታቸው በተጠበቁ ቅንብሮች ይጀምሩ። አስፈላጊ ካልሆነ በስተቀር በ0.0.0.0 ላይ አገልግሎቶችን ከማጋለጥ ይቆጠቡ። ኮዱን ከመጫንዎ በፊት የናሙና ምስክርነቶችን፣ የቦታ ያዥ ምስጢሮችን እና መስመሮችን ይሞክሩ።

2. የመቆለፊያ መዳረሻ

ሁልጊዜም ማረጋገጫ እና ሚና-ተኮር የመዳረሻ መቆጣጠሪያን (RBAC) ያስፈጽሙ። የእርስዎ የCI መሣሪያ ወይም አስተዳዳሪ ከሆነ dashboard ለኢንተርኔት መጋለጥ አያስፈልገውም፣ በአይፒ ፈቃድ ዝርዝሮች ወይም በቪፒኤን በኩል መዳረሻን መገደብ የለበትም።

3. የውቅር ፋይሎችን በራስ-ሰር ይቃኙ

መተንተን የሚችሉ መሳሪያዎችን ይጠቀሙ IaC - መሠረተ ልማት እንደ ኮድ, የሄልም ገበታዎች እና የዶከርፋይሎች በ pull requests. የውቅርዎ የማይለዋወጥ ትንተና ልክ የመተግበሪያ ኮድዎን መቃኘት አስፈላጊ ነው።

4. ምስጢሮችን ደህንነቱ በተጠበቀ ሁኔታ ያቀናብሩ

ምስክርነቶችን በኮድዎ ወይም በአካባቢ ፋይሎችዎ ውስጥ ሳይሆን በሚስጥር አስተዳዳሪ ውስጥ ያስቀምጡ። በተጨማሪም፣ ምስጢሮችን በየጊዜው ያሽከርክሩ እና አላግባብ መጠቀምን ለመለየት የመዳረሻ ምዝግብ ማስታወሻዎችን ይመርምሩ።

5. ከቤንችማርክስ ጋር አረጋግጥ

እንደ መለኪያዎች ይጠቀሙ CIS, NIST, እና OpenSSF ፕሮጀክቶችዎን ለመፈተሽ የውጤት ካርዶች እና pipelineለተለመዱ የተሳሳቱ ውቅር ጉድለቶች s።

6. በራስ-ሰር ከ Guardrails

በእጅ ግምገማዎች ላይ ከመተማመን ይልቅ፣ በራስ-ሰር በኩል ደህንነታቸው የተጠበቁ ውቅሮችን ያስፈጽሙ CI/CD guardrailsለምሳሌ፣ የሕዝብ የደመና ሀብቶች የእርስዎን መመሪያዎች የማያሟሉ ሲሆኑ ውድቀት ይፈጠራል።

ደህንነቱ የተጠበቀ ነባሪዎች፣ አውቶሜሽን እና ማረጋገጫ የስርዓቱ አካል ሲሆኑ pipeline, የተሳሳተ የውቅር አደጋዎች በከፍተኛ ሁኔታ ይቀንሳሉ፣ እና ገንቢዎች ደህንነታቸውን ለመጠበቅ ፍጥነት መቀነስ የለባቸውም።

የደህንነት የተሳሳተ ውቅርን ለማገድ Xygeni ን ይጠቀሙ በ CI/CD Pipelines

የደህንነት የተሳሳተ ውቅር በጣም ከተለመዱት እና ችላ ከተባሉት ተጋላጭነቶች አንዱ ነው፣ ነገር ግን Xygeni በራስ-ሰር ሊያዩት፣ ሊያስተካክሉት እና ሊከላከሉት ወደሚችሉት ነገር ይቀይረዋል።

Xygeni የዴቭኦፕስ ቡድኖች ወደ ምርት ከመድረሳቸው በፊት የተሳሳቱ ውቅሮችን እንዲያቆሙ እንዴት እንደሚረዳቸው እነሆ፡

1. IaC Security በእውነተኛ ጊዜ መቃኘት

የኤክሲጂኒ ቅኝቶች የእርስዎ የቴራፎርም፣ የሄልም፣ የኩበርኔትስ እና የዶክ ፋይሎች በእያንዳንዱ ላይ commit ና pull request. እንደሚከተሉት ያሉ አደገኛ ውቅሮችን ይጠቁማል፦

የተጋለጡ ወደቦች ወይም 0.0.0.0 ማያያዣዎች
በሚና ላይ የተመሰረቱ ፈቃዶች እጥረት
የአውታረ መረብ ክፍፍል ወይም ምስጠራ ይጎድላል

2. CI/CD Guardrails የተሳሳቱ ግንባታዎችን ለማገድ

የእርስዎ ከሆነ pipeline ምስጢሮችን ያጋልጣል፣ ነባሪ ምስክርነቶችን ይጠቀማል ወይም ወሳኝ ፋይሎችን ክፍት ይተዋል፣ Xygeni ግንባታውን በራስ-ሰር ሊያግደው ይችላል። ደንቦቹን እርስዎ ያዘጋጃሉ፣ እኛ እናስፈጽማቸዋለን።

3. የውቅር ድራፍት ማወቂያ

Xygeni ያልተፈቀዱ ለውጦችን ለማግኘት አካባቢዎን ይከታተላል። የማከማቻ ባልዲ በድንገት ይፋ ከሆነ ወይም የስህተት ጥቆማ እንደገና ከነቃ፣ ክስተት ከመሆኑ በፊት ያውቃሉ።

4. ለደህንነታቸው የተጠበቀ ነባሪዎች እንደ መመሪያ-እንደ-ኮድ

ለመጀመር፣ የXygeni's ን ይጠቀሙ guardrails "በነባሪነት ደህንነቱ የተጠበቀ" ማለት ለቡድንዎ ምን ማለት እንደሆነ በትክክል ለመግለጽ። በዚህም ምክንያት፣ አደገኛ ውህዶችን ማገድ፣ የፖሊሲ ጥሰቶችን ማሳወቅ እና ተገዢነትን መጠበቅ ይችላሉ፣ ሁሉም ብጁ ስክሪፕቶችን ሳይጽፉ።

5. የምስጢር አስተዳደር ውህደት

በተጨማሪም፣ Xygeni በCI ውቅር ፋይሎችዎ ውስጥ የተደበቁ ምስጢሮችን፣ የተፈሱ ቶከኖችን ወይም ደህንነታቸው ያልተጠበቁ ማጣቀሻዎችን ያገኛል። እንዲሁም ማንኛውንም የተጋለጡ ምስክርነቶችን ለማረጋገጥ እና ለማስተካከል ከVaults እና KMS ጋር ያለምንም እንከን ይዋሃዳል።

ሁሉንም ነገር ከግምት ውስጥ በማስገባት፣ በ Xygeni አማካኝነት ደህንነታቸው የተጠበቀ ውቅሮችን ለማስፈጸም በማህደረ ትውስታ ወይም በማረጋገጫ ዝርዝሮች ላይ መተማመን የለብዎትም። በምትኩ፣ ደህንነት

በምንጩ ላይ የተሳሳቱ ውቅሮችን ለማስቆም ዝግጁ ነዎት?
Xygeniን ለ14 ቀናት በነፃ ይሞክሩት እና ሌሎች የሚያመልጡትን ማገድ ምን ያህል ቀላል እንደሆነ ይመልከቱ።