Pandan sik lavi chèn ekipman lojisyèl la ap pwogrese soti nan kòd sous rive nan artefak ekzekisyonab, etap konstriksyon an rete yon moman kritik. Men, faz transfòmasyon sa a tou vilnerab a yon seri menas ki ka mete entegrite lojisyèl la an danje epi... build securityMenas sa yo ka enfiltre pwosesis konstriksyon an atravè plizyè metòd, tankou kontoune metòd etabli yo. CI/CD pipeline, modifye kòd kontwòl apre sous, konpwomèt pwosesis konstriksyon an li menm, oswa manipile depo atifak yo. Nan pòs blog sa a, nou fouye nan menas sa yo an pwofondè epi egzamine atak konstriksyon chèn ekipman lojisyèl ki pi répandu yo. Kontni sa a kontinye seri blog nou an k ap eksplore software supply chain security nan tout la SDLC.
Etap Konstriksyon an nan Sik Lavi Devlopman Lojisyèl la
Etap konstriksyon sik lavi chèn ekipman lojisyèl la anglobe pwosesis transfòmasyon kòd sous la an atifak lojisyèl ki ka egzekite. Etap sa a enplike konpilasyon, lyezon, ak anbalaj kòd sous la, ansanm ak jenerasyon pakè enstalasyon ak fichye konfigirasyon.
Build security Menas yo se vilnerabilite ki ta ka pèmèt yon advèsè entwodui chanjman san otorizasyon nan lojisyèl la pandan pwosesis konstriksyon an san li pa modifye kòd sous la. Menas sa yo ka entwodui atravè plizyè metòd, tankou konpwomèt anviwònman konstriksyon an oswa eksplwate vilnerabilite nan zouti konstriksyon yo.
Menas ki pi komen nan chèn ekipman lojisyèl - Atak Build
Deplase CI/CD
Sa refere a pratik pou kontourne sa ki etabli yo CI/CD (entegrasyon kontinyèl ak livrezon kontinyèl) pipeline pou konstwi epi pibliye lojisyèl dirèkteman san yo pa sibi pwosesis tès, verifikasyon ak odit rigoureux ke otorite ofisyèl yo anjeneral aplike. pipelineSa ka fèt lè w bati lojisyèl la manyèlman deyò a CI/CD anviwònman oswa lè w sèvi ak zouti oswa script ki pèmèt modifikasyon san otorizasyon nan pwosesis konstriksyon an. Yon egzanp sou kalite atak vektè sa a se te Atak JenkinsNan lane 2022, entru yo te enfiltre sistèm konstriksyon an. pipeline nan yon pwojè lojisyèl sous ouvè popilè yo rele Jenkins. Entru yo te enjekte kòd move nan yon Jenkinsfile, ki se yon script ki defini pwosesis konstriksyon an. Kòd move a te pèmèt entru yo kontoune CI/CD pipelineverifikasyon sekirite yo epi enjekte kòd yo nan pwosesis konstriksyon an. Apre sa, kòd sa a egzekite sou sistèm òganizasyon ki te enstale lojisyèl la.
Modifye kòd apre kontwòl sous la
Pratik sa a enplike fè chanjman san otorizasyon nan kòd sous la apre li fin fèt. commitkonekte ak yon sistèm kontwòl sous (SCS) ou fè konfyans epi answit konstwi lojisyèl la lè l sèvi avèk kòd modifye sa a. Sa ka fèt lè w modifye kòd la dirèkteman sou estasyon travay yon devlopè oswa lè w itilize zouti oswa script ekstèn pou enjekte kòd move nan pwosesis konstriksyon an. Yon egzanp atak vektè sa a se te atak GitLab an 2022. Entru yo te enfiltre pwosesis konstriksyon an. pipeline of GitLabEntru yo te enjekte kòd move nan GitLab la. CI/CD pipeline, ki se yon zouti ki otomatize build security pwosesis la. Kòd move a te pèmèt entru yo modifye kòd la apre yo te fin verifye li nan kontwòl sous la. Sa te pèmèt yo enjekte kòd yo nan lojisyèl la, ki te answit egzekite sou sistèm òganizasyon ki te enstale lojisyèl la.
Pwosesis konstriksyon konpwomi
Sa enplike manipile oswa modifye pwosesis konstriksyon an li menm, swa atravè aksè dirèk nan anviwònman konstriksyon an oswa lè w eksplwate vilnerabilite nan zouti konstriksyon oswa depandans twazyèm pati yo. Sa ka fèt pou entwodui kòd move nan rezilta konstriksyon an, manipile orijin konstriksyon an, oswa deranje pwosesis konstriksyon an nèt. Egzanp ki pi popilè nan atak vektè sa a se te Atak SolarWindsYon atakè te jwenn aksè san otorizasyon nan platfòm konstriksyon SolarWinds la, yon sistèm yo itilize pou konpile ak pake lojisyèl SolarWinds Orion. Script sa a te enjekte kòd move nan lojisyèl SolarWinds Orion ki te konpile a. Lè itilizatè yo te enstale lojisyèl konpwomèt la, kòd move a te egzekite sou sistèm yo, sa ki te bay atakè a aksè san otorizasyon nan sistèm yo. Atakè a te kapab vòlè done sansib nan sistèm yo tou, tankou kalifikasyon, pwopriyete entelektyèl, ak enfòmasyon kliyan.
Repozitwa atifak konpwomèt
Sa refere a aksè san otorizasyon oswa manipilasyon yon depo atifak, kote pakè lojisyèl ak binè yo estoke pou distribisyon bay itilizatè entèn oswa ekstèn. Moun ki atake yo ka eksplwate vilnerabilite sa a pou entwodui kòd move, manipile otantisite lojisyèl la, oswa deranje pwosesis deplwaman an. Yon egzanp atak vektè sa a se te RubyGems yo an 2022Enjenyè enfòmatik yo te enfiltre depo atifak RubyGems la. Enjenyè enfòmatik yo te ranplase yon atifak lejitim ak yon atifak move, ke plizyè milye òganizasyon k ap konstwi lojisyèl ak Ruby on Rails te telechaje apre sa. Atifak move a te pèmèt enjenyè enfòmatik yo egzekite kòd abitrè sou sistèm òganizasyon ki te enstale lojisyèl la. Sa te kapab potansyèlman pèmèt yo vòlè done, enstale malveyan, oswa deranje operasyon yo.
Remak Final
Pandan òganizasyon yo kontinye adopte pratik devlopman lojisyèl ki mete aksan sou automatisation ak livrezon kontinyèl, enpòtans pou sekirize pwosesis konstriksyon lojisyèl la pa janm pi gwo pase sa. Lè yo aplike mezi sekirite solid pandan tout etap konstriksyon an, òganizasyon yo ka diminye anpil risk pou yo tonbe viktim atak move ki ka konpwomèt entegrite ak sekirite lojisyèl yo.
Estrateji ki dekri nan pòs blog sa a ak egzanp yo bay yo sèvi kòm yon rapèl ke etap konstriksyon an se yon pwen vilnerab nan chèn ekipman lojisyèl la. Òganizasyon yo ta dwe pran an konsiderasyon menas sa yo epi aplike mezi sekirite ki nesesè yo pou pwoteje lojisyèl yo kont atak. Lè yo fè sa, yo ka asire entegrite, sekirite ak fyab lojisyèl yo pou itilizatè ak kliyan yo.
Vini nan vwayaj nou an pou yon ekosistèm lojisyèl an sekirite
Pa rate opòtinite sa a pou w rete alatèt nan evite menas nan chèn ekipman lojisyèl yo. Abòne ak blog nou an jodi a epi se pou w premye moun ki resevwa dènye enfòmasyon nou yo, pou asire ke òganizasyon w lan rete rezistan e an sekirite nan mitan menas k ap evolye yo. Ansanm, nou ka bati yon ekosistèm lojisyèl ki pi solid e an sekirite pou tout moun.
Gade Demo Videyo nou an
