Какво е странично движение в киберсигурността и защо е важно за разработчиците
Ако сте разработчик, който пише инфраструктура като код, конфигурирането на build pipelineили разполагането на контейнери, трябва да разберете какво е странично движение в киберсигурността. Това не е просто тактика на червения екип; това е как истинските нападатели се движат във вашите системи след първото нарушение. И това пряко влияе върху вашите работни процеси. Това се отнася до способността на атакуващия да се премества между системи, преминавайки от компрометиран CI изпълнител към облачен акаунт или от контейнер към вашата контролна равнина. А ескалацията на привилегиите е това, което прави това възможно: превръщането на ограничения достъп в администраторски контрол.
Защо е важно за разработчиците:
- Pipelineчесто се изпълняват с твърде много разрешения
- Тайните се използват повторно в различни среди
- Неправилно конфигурираните контейнери отварят пътища към други услуги
Първата стъпка е да се разбере какво е странично движение в киберсигурността. Спирането му на ниво код и pipeline нивото е мястото, където се намесват разработчиците.
Ескалацията на привилегиите като гориво за странично движение
Ескалацията на привилегиите е това, което превръща незначителното нарушение в сериозно странично движение. Веднъж влезли вътре, нападателите търсят всякакъв начин да увеличат достъпа, независимо дали това е чрез изтичане на ключове, неправилно конфигурирани услуги или свръхразрешени роли.
Примери, които разработчиците трябва да имат предвид:
- Задачи за действия в GitHub, изпълнявани с пълна версия Разрешения за AWS
- Твърдо кодирани администраторски идентификационни данни в скриптове
- Контейнери, монтиращи Docker сокета или пътищата на хоста
- CI задачи, които могат да се разположат директно в производствена среда
⚠️Внимание: Никога не отпечатвайте тайни или токени в лог файловете. Това е често срещан източник на ескалация на привилегиите.
Без да guardrails, нападателите злоупотребяват с тези привилегии, за да се придвижват странично, от една работа, контейнер или услуга към друга. Ескалацията на привилегиите е това, което задвижва съвременното странично движение в DevOps среди.
Общи пътища в CI/CD и облачни среди
Разбирането какво е странично движение в киберсигурността започва с картографиране на реалните пътища на атакуващите. Разработческите среди са пълни с такива.
Вектори на странично движение с висок риск:
- Повторно използвани токени или идентификационни данни в множество pipelines
- Контейнери, работещи с привилегирован или достъп до hostPath
- Плоски мрежови топологии без изолация на услугите
- Зависимости от отворен код със скриптове преди/след инсталация
⚠️Внимание: Избягвайте да стартирате контейнери с повишени привилегии, освен ако не е необходимо.
⚠️Внимание: Постинсталационните скриптове в пакети на трети страни са известен вектор на атака.
Това са често срещани места, където започва странично движение, когато една компрометирана работа или компонент води до друга и още една.
Откриване и ограничаване на странично движение, преди то да достигне производството
Не е нужно пълно SOC, за да спрете страничното движение; необходими са ви видимост и контроли на нивото за разработка.
Как да откриете ескалация на привилегиите и странично движение рано:
- Следете къде се използват идентификационни данниНеочакваното използване в несвързани задачи е червен флаг.
- Проследяване на необичайни командиДекодирането на Base64, изходящите мрежови повиквания или достъпът до скрити файлове в CI са лоши знаци.
- употреба най-малка привилегия in pipelinesНе давайте права за внедряване на продукти за тестови задачи.
Съвет: Сканиране за несигурно използване на Docker вътре pipelines.
Ескалацията на привилегии може да бъде засечена, преди да причини реални щети, ако вградите откриване в работния процес.
Отвъд откриването: Как Xygeni помага за проследяване на пътищата на експлоатация
Страничното движение не е случайно; то следва закономерности. Ксигени помага на екипите от разработчици да картографират тези модели, преди атакуващите да го направят. Как помага Ксигени:
- Визуализира пътища през хранилища, CI/CDи облак
- Идентифицира точки на ескалация на привилегиите в задачи за изграждане и контейнери
- Сигнализира злоупотреба с тайни, токени и високорискови пакети
- Изгражда поведенчески базови линии за откриване на аномалии във времето
Ето как се изместваш наляво, не само при тестването, но и при спирането на страничното движение и злоупотребата с привилегии, преди да се стигне до производство.
Спиране на ескалацията на привилегиите: Вашата най-добра защита срещу странично движение
Не можеш да спреш това, което не можеш да видиш. И ако не разбираш какво е странично движение в киберсигурността, твоят код, pipelineи контейнерите вече са изложени.
За да осигурите жизнения си цикъл на разработка:
- Третирайте ескалацията на привилегиите като основен риск за AppSec
- Следете за ранни признаци на странично движение в CI/CD и облак
- Използвайте инструменти като Xygeni, за да проследявате пътищата на атакуващите в код, компилации и внедрявания
Това не е теоретично. Това е вашата среда, освен ако не я ограничите.
