Okwu Mmalite: Ntak IaC Security Ihe Dị Mkpa Maka Ndị Otu DevOps Ọ Bụla
Akụrụngwa dị ka koodu (IaC) agbanweela otu anyị si ewuli ma na-amụba gburugburu. commit, ị nwere ike itinye netwọk, nchekwa data, na mkpokọta ngwa niile n'ime nkeji ole na ole. Agbanyeghị, otu ọsọ a nwere ike ịrụ ọrụ megide gị. Nhazi na-ezighi ezi na edemede Terraform, Kubernetes, ma ọ bụ CloudFormation na-abanyekarị na mmepụta ngwa ngwa karịa ka nyocha nchekwa ọdịnala nwere ike ime. Dịka 2024 si kwuo Akụkọ Ihe Iyi Egwu Igwe Ojii Palo Alto Unit 42, ihe fọrọ nke nta ka ọ bụrụ 70% nke òtù dị iche iche nwere IaC ndebiri nwere opekata mpe otu nhazi nchekwa na-ezighi ezi, ọtụtụ n'ime nsogbu ndị a ka e ji mee ihe ozugbo. Ọzọkwa, nke afọ 2023 Akụkọ Ọnọdụ nke DevSecOps nke Red Hat chọpụtara na Pasentị 55 nke ndị otu DevOps na-arụ ọrụ IaC mgbanwe na-enweghị nyocha nchekwa pụrụ iche, na-eme ka ohere nke adịghị ike zoro ezo gbasaa gburugburu ebe obibi dịkwuo elu.
Nke a bụ ihe mere IaC security Ọ karịrị naanị nzọụkwụ mgbakwunye na ntinye. N'eziokwu, ọ bụ eziokwu akụrụngwa dị ka code security Ọ pụtara ịkwado na itinye usoro kacha mma ozugbo na usoro mmepe gị. Ọ bụ gbasara ijide ihe ndị dị ize ndụ, amụma IAM na-anabata nke ukwuu, ma ọ bụ otu nchekwa mepere emepe tupu Ha na-erute akaụntụ igwe ojii gị mgbe ọ bụla.
Na ụzọ ziri ezi, IaC nchekwa cyber na-aghọ akụkụ nke usoro ndụ mmepe ngwanrọ gị (SDLC). N'ụzọ dị otu a, nke gị IaC A na-enyocha koodu ahụ ozugbo, a na-egosi nhazi na-ezighi ezi n'oge, enwere ike itinye ndozi echekwara na akpaghị aka, na-ebelataghị nnyefe.
Ịghọta Ezigbo Ihe Ize Ndụ na Akụrụngwa Dị ka Koodu
Ọ bụrụ na ị bụ onye ọhụrụ na echiche ahụ, lelee ntuziaka anyị 'Okwu Mmalite Banyere Akụrụngwa Dị Ka Koodu' maka mmebi zuru oke tupu ịbanye n'akụkụ nchekwa.
Ike kachasị ukwuu nke akụrụngwa dịka Koodu, ọsọ na nguzosi ike, bụkwa adịghị ike kachasị ukwuu ya mgbe nchekwa anaghị arụ ọrụ nke ọma. Otu akụrụngwa ahazighị nke ọma na edemede Terraform ma ọ bụ ngosipụta Kubernetes nwere ike ịghọ akụkụ nke gburugburu ebe ọ bụla ị na-etinye.
Nhahie abụghị ikpe dị ụkọ, OWASP IaC Security Project na-eme ka ọ pụta ìhè na ọrụ IAM nke na-anaghị anabata ihe karịrị akarị bụ otu n'ime nsogbu ndị kachasị na-apụtakarị na ntinye akpaaka.
Ihe atụ: Ọrụ Terraform IAM yana ikike Wildcard
Ná mbụ, nke a nwere ike iyi ka ụzọ dị ngwa iji "mee ka ọ rụọ ọrụ." Agbanyeghị, ọ na-enye ohere nchịkwa zuru oke iji nweta ihe niile dị na akaụntụ gị. IaC- usoro ọrụ nke a na-achịkwa, enwere ike itinye iwu ọjọọ a n'ofe gburugburu niile n'ime sekọnd.
Ihe atụ: Ntinye Kubernetes na Ụdị Pụrụ Iche
Ntọala a na-enye ohere ka akpa ndị ahụ rụọ ọrụ site na ikike ọkwa nnabata. N'ihi ya, ọ bụrụ na onye mwakpo emebie pod, ha nwere ike ịbawanye ikike ma weghara node dị n'okpuru.
Ihe ndị a abụghị ihe egwu nkịtị, ha bụ ihe ndị a na-emekarị na-apụta n'ihe ndị mere n'ezie n'oge mmepụta. Ozugbo e jikọtara nkọwa ndị a na ngalaba bụ isi gị, a na-agbasa ha na akpaghị aka na ntinye ọ bụla n'ọdịnihu.
Igodo isi ụzọ: na-enweghị nyocha na-arụ ọrụ nke ọma na akpaghị aka guardrails, IaC nhazi na-ezighi ezi ga-agbasa n'enweghị nsogbu, na-ezere nchekwa oge ọsọ ọdịnala ngwaọrụ.
Building IaC Nchekwa Cyber n'ime usoro ọrụ gị
Ichekwa akụrụngwa gị dị ka Koodu abụghị maka ịme nyocha otu ugboro tupu etinye ya. Ọ bụ maka itinye ihe. IaC security n'ime otu usoro ọrụ ị na-eji ede, nyochaa, na izipu koodu. Nke ahụ pụtara ijide nhazi dị ize ndụ na pull requests, igbochi mgbanwe ndị na-adịghị mma tupu njikọta, na itinye usoro kacha mma na akpaghị aka na gị CI/CD pipelines.
Akụkọ ihe iyi egwu igwe ojii nke Palo Alto Unit 42 chọpụtara na 80% nke akụrụngwa igwe ojii akọwapụtara na IaC ndebiri nwere opekata mpe otu nhazihieIhe na-enye nsogbu karị bụ na ihe fọrọ nke nta ka ọ bụrụ ọkara nke ha ka e depụtara dị ka ndị nwere nnukwu ihe egwu, nke pụtara na a pụrụ iji ha mee ihe ozugbo ma ọ bụrụ na e tinye ha n'ọrụ. Nke a na-egosi ihe kpatara ya akụrụngwa dị ka code security kwesịrị ịmalite tupu koodu gị amalite mmepụta.
na IaC nchekwa cyber a mịrị amị n'ime SDLC, ị nwere ike:
- Doppler IaC ndebiri n'oge dị adị: Chọpụta ihe ndị na-adịghị mma, ebe netwọk mepere emepe, na ikike karịrị akarị mgbe ị ka nọ na IDE.
- Mee iwu guardrails in CI/CD: Gbochie ebe ndị a na-etinye ihe n'ime otu nchekwa na-anaghị agbaso iwu ma ọ bụ bọket nchekwa ọha.
- Jikọta ya na iwu-dị ka koodu nhazi: Mmezi gị IaC yana ntọala nchekwa site na NIST 800-53 or CIS Ntụle.
- Chọpụta ihe egwu dị na usoro ọkọnọ: Chọpụta ma gbochie modulu ọjọọ ma ọ bụ onyonyo ntọala dị n'ime gị IaC ndị dabere na ya.
Site n'ịgbanwe IaC Ọ bụrụ na ị lelee ihe ndị ọzọ, ị naghịzi adabere na ịdọ aka ná ntị oge ọrụ mgbe ihe ahụ gasịrị. Kama nke ahụ, ị na-ahụ na ọ bụ naanị nkọwa ndị dị nchebe ka a ga-emepụta ya na mbụ, ọ bụkwa ebe ngwaọrụ dịka Xygeni na-enwu. Nwaa ya n'onwe gị pipeline, Malite n'efu na gbute IaC security ihe egwu tupu ịjikọta.
Xygeni na-enyocha Terraform, Kubernetes, CloudFormation, na ndị ọzọ IaC usoro kpọmkwem na mmepe gị na CI/CD usoro ọrụ. Ị na-enweta nzaghachi ozugbo, aro ndozi akpaaka nke AI na-akwado, yana nchọpụta ihe na-adịghị mma iji hụ mgbanwe ndị na-adịghị ahụkebe na ebe nchekwa gị ma ọ bụ pipeline nhazi. N'ihi ya, ị na-egbochi itinye akụrụngwa na-adịghị mma, na-ebelata ọsọ nnyefe gị.
Common IaC Security Ihe Iyi Egwu Ị Na-agaghị Eleghara Anya
Ọbụna otu IaC nhazi na-ezighi ezi nwere ike ịtọ ntọala maka nnukwu mmebi igwe ojii. MITRE ATT&CK Cloud Matrix na-edekọ usoro ndị na-awakpo ụwa n'ezie nke na-amalitekarị site na enweghị nchekwa ma ọ bụ nnukwu ikike akụrụngwa dị ka nkọwa Koodu. N'okpuru ebe a bụ ụfọdụ n'ime ihe iyi egwu kachasị, na nke kachasị dị ize ndụ, yana otu esi Xygeni na-achọpụta ma na-egbochi ha tupu a na-enye ha ọrụ.
| Egwu | Ihe Nlereanya n'ezie n'ụwa | Mapping nke MITRE ATT&CK | Otu Xygeni si achọpụta ma gbochie ya |
|---|---|---|---|
| Atumatu IAM Ndị Na-anabata Ihe Nile | Ederede Terraform nke na-enye aka *:* ikike maka ọrụ AWS, na-eme ka ọ bụrụ onye nchịkwa maka ọrụ niile nke ọma. | T1078 - Akaụntụ Ndị Dị Mma | Nyocha IaC maka ikike IAM wildcard, na-egosipụta ọrụ ndị a na-ekpughe oke, ma na-atụ aro amụma ndị kacha nta nwere ihe ùgwù na ndozi akpaaka. |
| Nchekwa nke a pụrụ inweta n'ihu ọha | Ejiri bọket S3 mee ihe public-read ACL, na-ekpughe ndekọ ndị dị nro na ịntanetị. | T1530 - Data sitere na Ihe Nchekwa Igwe Ojii | Na-achọpụta nhazi nchekwa na-enweghị nchekwa na ndebiri Terraform, CloudFormation, na ARM tupu commit ma ọ bụ njikọ PR. |
| Ihe Nzuzo E Dere n'ime IaC | Igodo ohere AWS agbakwunyere na faịlụ mgbanwe Terraform commitzigara Git. | T1552 - Akwụkwọ ikike enweghị nchekwa | Na-agba ọsọ nyocha nzuzo na IaC faịlụ, na-akwado ya na onye na-enye ọrụ, ma na-akagbu asambodo ndị e mebiri emebi na akpaghị aka. |
| Iwu otu nchekwa ndabara | Otu nchekwa na 0.0.0.0/0 ohere ịbanye na ọdụ ụgbọ mmiri 22 (SSH), na-enye ohere ka mwakpo ike brute-force wakpo. | T1021 – Ọrụ Dị Anya | Na-egosi iwu netwọk sara mbara nke ukwuu ma na-akwado oke CIDR echekwara ma ọ bụ ohere VPN naanị. |
| Data Ezoghị Ezochi na Ezumike | A na-akọwapụta Diski Azure na-enweghị ntọala nzuzo na template ARM. | T1602 - Ezochiri Data | Na-achọpụta ọkọlọtọ nzuzo na mmelite akpaaka na-efu IaC ndebiri iji mee ka nzuzo nke onye na-enye ọrụ rụọ ọrụ. |
| Nhazi Akpa Nchekwa Na-adịghị | Mbupu Kubernetes YAML na privileged: true na securityContext. | T1613 - Iwu Nchịkwa Akpa | Nyocha K8 na-egosi maka akpa ndị nwere ihe ùgwù na njikọta blọk ruo mgbe edobere iwu oge ọrụ echekwara. |
Ihe kpatara nke a ji dị mkpa:
Dịka MITRE ATT&CK Cloud Matrix si doo anya, ndị na-awakpo na-ejikarị adịghị ike ndị a eme ihe. Ozugbo ha banyere, mmụba na-adị ngwa ngwa. N'ihi ya, atụmatụ kachasị mma bụ ịchọpụta ma dozie nsogbu ndị a n'oge gị SDLCogologo oge tupu e tinye ha n'ime igwe ojii. Xygeni na-eme ka ụdị aka ekpe a na-agbanwe agbanwe dị irè site na igbochi nchekwa adịghị mma IaC nkọwa na commit ma ọ bụ PR, kama ịdabere na nchọpụta oge ọsọ n'oge ikpeazụ.
Otu Xygeni si eme ka akụrụngwa sikwuo ike Code Security
Ịchekwa akụrụngwa dịka Koodu abụghị naanị ịchọta nsogbu, kama ọ bụ ịchọpụta ha n'oge, idozi ha ngwa ngwa, na ijide n'aka na ha agaghị erute mmepụta. Xygeni na-etinye nchekwa ozugbo n'ime usoro mmepe gị, yabụ IaC nchekwa na-eme na akpaghị aka.
- Nyochaa nke ọ bụla commit na pull request iji chọpụta ihe egwu tupu ha ada n'alaka isi gị.
- Chọpụta ihe ndị ekpughere, nhazi ndị na-enweghị nchekwa, na modulu ndị a na-anaghị enyocha kpọmkwem ebe ị na-arụ ọrụ.
- iwekota IaC na-enyocha site na SAST, SCA, na Guardrails maka zuru ezu pipeline mkpuchi.
- Tinye nhazi akpaaka nke AI na-akwado iji dozie nhazi ndị dị ize ndụ ozugbo, ọ dịghị mkpa ka e jiri aka mee mgbanwe.
Na Xygeni, ị gaghị ahụ naanị nhazi na-ezighi ezi ị na-eme IaC security atumatu n'oge dị adị, ozugbo na IDE gị na CI/CD pipelines.
Ihe Nlereanya Ụwa N'ezie: Ịgbochi Ihe Na-akpata Nsogbu IaC Mgbanwe Tupu Ntinye
Ka anyị kwuo na onye mmepụta na-akwali edemede Terraform iji mepee ọdụ ụgbọ mmiri 22 nye ụwa:
🚨 Amụma IAM dị ize ndụ — Enyemaka *:* ohere zuru oke na ọrụ niile
Ụdị nhazi a bụ ihe ochie IaC security ọkọlọtọ uhie. N'ime mmepụta, ọ ga-ekwe ka mwakpo ike ọjọọ si ebe ọ bụla.
Lee ihe na-eme ma Xygeni nọrọ n'ọnọdụ ya:
- Nchọpụta na commit: Anyị akụrụngwa dị ka code security Nlele na-agba ọsọ na akpaghị aka na PR gị.
- Nzaghachi ozugbo: Nke dị ize ndụ
0.0.0.0/0A na-akọwapụta oke ihe egwu ahụ nke ọma site na nkọwa doro anya. - Mmezi onwe: Xygeni na-atụ aro ka a machibido ohere ịnweta oke IP a pụrụ ịtụkwasị obi ma ọ bụ iji onye nnabata nchekwa nchekwa.
- Mmanye: The CI/CD nchekwa na-egbochi njikọta ahụ ruo mgbe mgbanwe ahụ ruru iwu.
nke ahụ bụ IaC nchekwa cyber na-eme ihe, na-egbochi nhazi na-ezighi ezi ịbanye na gburugburu mmepụta gị.
Mee ihe: Wuo Akụrụngwa siri ike dịka Code Security
Uringchekwa nke gị akụrụngwa dị ka koodu abụghịzi nhọrọ. IaC security na-akpụzi ọnọdụ nchekwa igwe ojii gị ozugbo, otu nzọụkwụ na-ezighi ezi na Terraform, Kubernetes, ma ọ bụ CloudFormation nwere ike ikpughe gburugburu gị nye ndị na-awakpo.
Site na itinye akụrụngwa dị ka code security n'ime usoro ọrụ gị, ị:
- Jide nhazi na-ezighi ezi tupu ha erute mmepụta.
- Ọzọkwa, belata elu mwakpo n'ime gburugburu igwe ojii gị.
- Chekwaa oge site na ndozi AI na mmanye akpaaka.
Ya na Xygeni, IaC nchekwa cyber na-aghọ akụkụ nke ikpo okwu nchekwa cyber jikọtara ọnụ nke na-ekpuchi koodu gị, ihe ndị ị na-adabere na ya, pipelines, akpa, na SCM - niile n'otu ebe.
