Чаму сніфінг прыкладанняў мае значэнне ў DevSecOps
Праграма для сніфінгу прызначана не толькі для дыягностыкі сеткі; гэта схаваная рызыка ланцужка паставак, якая хаваецца ўнутры вашых DevSecOps pipelineс. У сучасных ланцужках паставак праграмнага забеспячэння, дзе код, кантэйнеры і залежнасці пастаянна праходзяць праз аўтаматызаваныя pipelineСніферныя праграмы могуць стаць схаванымі вектарамі атакі. Уявіце сабе ніферную праграму як інструмент, які захоплівае і аналізуе сеткавы або працэсны трафік. Распрацоўшчыкі і інжынеры бяспекі выкарыстоўваюць гэтыя інструменты для адладкі або маніторынгу. Але той жа ніфер пакетаў можа лёгка перакуліць і падсілкаваць... атака на ланцужок паставак праграмнага забеспячэння, крадзеж зменных асяроддзя, сакрэтаў або кода непасрэдна з вашага CI/CD pipelines.
Аўтаматызаваны pipelineпоўныя канфідэнцыйных дадзеных, якія пастаянна перамяшчаюцца. Ключы API, зменныя асяроддзя і ўласны код, усё гэта перамяшчаецца паміж этапамі і сэрвісамі. Зламыснікі ведаюць пра гэта. І яны ведаюць, што pipelineпа змаўчанні давярае занадта шмат кампанентам, што дазваляе праграме-сніферу лёгка зліцца з натоўпам незаўважаным чынам.
Як выглядае атака нюхання ў Pipelines?
Атака з выкарыстаннем сніфера — гэта калі хтосьці перахоплівае трафік, да якога не павінен мець доступу. Звычайна вы б падумалі пра сніфер пакетаў на перыметры сеткі. Але цяпер зламыснікі размяшчаюць праграмы для сніфера ўнутры вашай зборкі і разгортвання. pipelines. Пасля разгортвання інструмент маніторынгу ціха фіксуе трафік у вашым pipeline, запісваючы ўзаемадзеянне паміж этапамі зборкі, кантэйнерамі або нават паміж службамі ўнутры вашага кластара.
Такія інструменты, як Wireshark або tcpdump, з'яўляюцца законнымі сніферамі пакетаў, якія выкарыстоўваюцца ў распрацоўніцкіх працэсах. Але іх лёгка выпадкова пакінуць у вобразах кантэйнераў, ці, што яшчэ горш, зламыснік можа падставіць іх туды. Пасля актывацыі сніфер пакетаў запісвае ўсё без вашага ведама.
Вы павінны ведаць розніцу:
- Пасіўнае нюханне: ціха рэгіструе трафік, не змяняючы яго. У асяроддзях DevOps гэта часта адбываецца ўнутры кантэйнерных зборак, дзе схаваны інструмент запісвае ключы API або сакрэты па меры ўзаемадзеяння працэсаў.
- Актыўнае нюханне: перахоплівае і патэнцыйна змяняе патокі дадзеных. Гэта сустракаецца радзей, але больш небяспечна. Падумайце пра несанкцыянаваныя кантэйнеры або шкоднасныя скрыпты ўнутры вашага pipeline якія не толькі захопліваюць трафік, але і змяняюць запыты або адказы па меры іх праходжання.
Ваш CI/CD pipeline ператвараецца ў цішыню уцечка дадзеных калі пакінуць без нагляду.
Як праграмы для адсочвання становяцца пагрозамі для ланцужкоў паставак
Зламыснікі выкарыстоўваюць праграмы для перахопу дадзеных у сучасных атаках на ланцужкі паставак, такіх як гэты:
- Узламаныя кантэйнерыСхаваныя праграмы для перахопу дадзеных, папярэдне загружаныя ў вобразы Docker, якія запісваюць дадзеныя з вашых зборак.
- Шкоднасныя плагіны: Убудовы неперарыўнай інтэграцыі іншых вытворцаў, якія ўбудоўваюць сніфер пакетаў у ваш pipelines.
- Інсайдэрскія атакіРаспрацоўшчык або адміністратар усталёўвае інструмент для зборкі ўліковых дадзеных падчас зборкі.
- Інструменты адладкі засталіся запушчаныміЛегальныя сніферы, такія як tcpdump, застаюцца актыўнымі ў прадукцыйных кантэйнерах.
Тое, што пачынаецца як сніфер пакетаў, пакінуты для адладкі, можа перарасці ў паўнавартасную атаку сніфера, у выніку якой падчас зборкі будуць уцечаны вашы найбольш канфідэнцыйныя дадзеныя.
Сапраўдны распрацоўшчык Pipeline Прыклады пагроз
- Агенты CI скампраметаваныАгент Jenkins падвяргаецца бэкдору з дапамогай праграмы-сніфера, якая захоплівае сакрэты падчас зборкі. Зламыснік ціха збірае ключы API з дапамогай сніфера пакетаў.
- Зламысная залежнасцьПадроблены npm-пакет убудоўвае сніфер пакетаў, які рэгіструе HTTP-трафік падчас зборкі. Ціхая пагроза, якую большасць каманд нават не прадбачаць.
- Агульныя кластары KubernetesЗламыснікі запускаюць сніферы на агульныя вузлы, рэгіструючы міжпадовы трафік. Нават зашыфраваны трафік можа быць скампраметаваны з-за няправільных канфігурацый.
Сніфінгавыя атакі могуць адбывацца з дапамогай несанкцыянаванага кода, шкоднасных малюнкаў або непасрэднага ўбудавання сніфінг-праграм інсайдэрамі.
Чаму PipelineЗрабіце атакі сніфінга лёгкімі
- Сляпая вера ў інструменты: Pipelineдавяраць плагінам, кантэйнерам і скрыптам без належнай праверкі.
- Няма бачнасціЭфемерныя зборкі і кантэйнеры хаваюць шкоднасныя працэсы.
- Інструменты адладкі, якія засталіся ў прадукцыйнай версііІнструменты пошуку інфармацыі часам застаюцца актыўнымі па памылцы.
- Складаныя інтэграцыіБольш плагінаў, больш інтэграцый, больш шляхоў атакі для сніфераў пакетаў.
Pipelineз'яўляюцца ідэальным асяроддзем для схаваных нападаў сніфінгам.
Азнаёмцеся з лепшымі інструментамі для абароны вашага праграмнага забеспячэння з ранніх стадый
Азнаёмцеся з нашым кіраўніцтвам па найлепшых software supply chain security інструменты на 2025 год
Як выявіць і заблакаваць інструменты для пошуку ў Pipelines
Калі вы хочаце спыніць атакі сніфтынгу, дзейнічайце практычна. Вось што працуе:
- Выдаліце інструменты адладкі перад разгортваннемАўтаматызаваць выдаленне Wireshark, tcpdump і падобных сніфераў пакетаў з кантэйнераў зборкі.
- Дадаць у белы спіс толькі надзейныя інструментыЗаблакуйце свой CI/CD асяроддзяў для зацверджаных бінарных файлаў.
- Зашыфраваць усёВыкарыстоўвайце TLS усюды, нават унутры кластара. Не дапускайце перахопу сніферамі зручнага адкрытага тэксту.
- Маніторынг запушчаных працэсаўАдсочвайце актыўныя працэсы. Калі ў вашых зборках з'яўляецца нешта накшталт tcpdump, праверце гэта.
- рэгулярнае Pipeline Аўдыты: Сканіраванне на наяўнасць шкоднаснага праграмнага забеспячэння і невядомых праграм для сніфінгу.
- Кампаненты іншых вытворцаў для ветэрынараўВыконваць праверкі плагінаў, залежнасцей і малюнкаў на наяўнасць убудаваных сніфераў.
- Ужыць найменшы прывілеіАбмежуйце выкарыстанне агентаў і інструментаў CI толькі тым, што ім патрэбна.
Вы нават можаце выкарыстоўваць dashboardкаб папярэдзіць вас, калі будуць выяўленыя сніферы:
Ставіцеся да сніфераў як да рэальных пагроз ланцужку паставак
Сніферы пакетаў — гэта ўжо не проста сеткавыя інструменты; яны pipeline бэкдорЗламыснікі хаваюць праграмы для перахопу інфармацыі ў надзейных кантэйнерах, скрыптах і плагінах, каб збіраць вашы сакрэты падчас зборкі і разгортвання. Вам трэба кантраляваць, блакаваць і пастаянна правяраць свае pipelineкаб працягваць вынюхваць атакі.
Як Xygeni дапамагае распрацоўшчыкам блакаваць інструменты для перахопу дадзеных
Ксігені тут, каб дапамагчы вашай камандзе DevSecOps убачыць, што адбываецца ўнутры вашага pipelines:
- Знайдзіце схаваных нюхачоўXygeni скануе вашы кантэйнеры зборкі на наяўнасць несанкцыянаваных праграм для перахопу пакетаў і перахопнікаў пакетаў.
- Сачыце за падазронай актыўнасцю: Ён пазначае дзіўныя запісы ў журнал або выцісканне дадзеных, якія могуць азначаць атаку сніфінга.
- Інструменты адладкі і ачысткіXygeni дапамагае ўжываць палітыкі для выдалення інструментаў адладкі, такіх як tcpdump, з вашых вытворчых кантэйнераў.
- Манітор унутры вашага PipelinesУ адрозненне ад сеткавых інструментаў, Xygeni сканцэнтраваны ўнутры вашых зборак і разгортванняў, каб выяўляць праграмы-сніферы на ранняй стадыі.
З Xygeni вы атрымліваеце бачнасць таго, што працуе ў вашым CI/CD. Ніводнае прыкладанне для сніфера пакетаў або сніфінгу не атрымлівае бясплатнага праходу.
Некаторыя заключныя думкі пра прыкладанне Sniffing
Незалежна ад таго, ці былі яны наўмысна размешчаныя, ці пакінутыя, яны могуць незаўважна leak secretпадчас зборкі. Сніферы пакетаў могуць незаўважна перахопліваць сакрэты і код падчас зборкі, што прыводзіць да шкодных атак сніфераў. Трымайце свае pipelines clean: выдаляйце інструменты адладкі, кантралюйце працэсы, абмяжоўвайце інструменты і правярайце кампаненты іншых вытворцаў. Разглядайце кожны сніфер пакетаў як патэнцыйнае парушэнне, пакуль не пераканаецеся ў яго бяспецы.
Спыненне праграм для перахопу інфармацыі — гэта пытанне бачнасці і кантролю. Пераканайцеся, што ў вашай камандзе DevSecOps ёсць абодва.
