制限砲弾とは何か、そしてジャンプ砲弾攻撃が重要な理由とは？
制限付きシェルは、ユーザーが実行できるコマンドを制御するために使用され、多くの場合、次のような操作を防止します。 cd新しいシェルを起動したり、環境変数をエクスポートしたりします。これらは通常、 CI/CD ユーザーの行動を制限するために、エージェントや構築環境を使用する。 しかし、攻撃者は、制限されたシェル環境から脱出し、次のような制限のないシェルにアクセスするために使われる方法であるジャンプシェルを実行する方法を探しています。 ビン/バッシュ中に入ると it攻撃者はコマンドラインを完全に制御できるため、制限された環境のあらゆる制約を回避できます。
ジャンプシェルの仕組み：制限付きシェルからbin/bashへ
ジャンプ砲弾の目標は、制限された環境の弱点を突いて砲弾の脱出を誘発し、 ビン/バッシュ脱出制限砲弾攻撃の一般的な手法には以下が含まれる。
$ ls /bin/bash $ /bin/bashIf ビン/バッシュ アクセス可能であれば、この簡単な呼び出しで完了します。
もう一つの一般的な方法：
$ echo "/bin/bash" > run.sh $ sh run.sh 攻撃者は次のようなエディタを悪用する可能性もあります。 vi or less:
vi :set shell=/bin/bash :shell これらの方法は、ジャンプする砲弾がいかに簡単に ビン/バッシュ 実行権限を付与し、制限されたシェル保護を効果的に回避する。
DevOpsにおけるこれらの攻撃の真のリスク
共有 CI/CD 環境では、制限付きシェルを使用してビルドを隔離し、リスクを軽減します。しかし、攻撃者がジャンプシェルで成功し、 ビン/バッシュセキュリティモデルは崩壊する。
リスクは次のとおりです。
- 環境秘密への不正アクセス
- 無制限の権限による特権の昇格 ビン/バッシュ
- ビルドの改ざん pipelineまたはアーティファクト
- 永続的なツールの展開 pipeline
脱出制限シェル ビン/バッシュ システム全体の侵害への扉を開く、多くの場合、より広範な最初の動き DevSecOps攻撃.
ジャンプシェルおよびbin/bashエスケープの監視と検出
セキュリティチームは、ジャンプシェル動作を検出し、エスケープ制限付きシェルの試行をブロックするために、以下のことを行う必要があります。
- すべてのシェルアクティビティをログに記録します。特に /bin/bash 実行
- シェル起動ベクターとしてのエディタの悪用とスクリプトの使用を監視する
- シェル設定ファイルへのアクセスを追跡する .bashrc or .bash_profile
起動などの行動パターン ビン/バッシュ 制限された環境からの侵入は、優先度の高い警告として扱うべきである。早期に検知することで、より深刻な横方向への侵入を防ぐことができる。
脱出制限シェル攻撃および悪用を防止する
ジャンプシェルのリスクを軽減し、攻撃者が起動するのを防ぐため ビン/バッシュ:
- 制限されたシェルを硬化する: 取り外すかブロックする アクセス
- コマンドの実行を制限するには、AppArmorまたはSELinuxを使用してください。
- 最小特権の適用 CI/CD 役割とランナー
- Containerize は、シェルが欠落している distroless イメージを使用してビルドします。 ビン/バッシュ
- ビルドの前後で環境を検証し、異常を検出する。
制限付きシェルからの脱出シナリオを防ぐには、制限付きシェルに頼るだけでなく、階層的な制御が必要です。制限付きシェルが安全だと考えてはいけません。 ビン/バッシュ 潜在的には到達可能かもしれない。
結論：殻の脱出は侵入経路となる
制限付きシェルは防御層であり、保証ではありません。ジャンプシェル攻撃は、脆弱な隔離と不十分な検証を標的にします。 /bin/bash攻撃者は、DevSecOpsインフラストラクチャを方向転換、永続化、侵害することができる。
検出と隔離は不可欠です。コマンドログの記録、制限された環境、およびパッケージマネージャーの適切なクリーンアップを組み合わせることで、リスクを軽減できます。
最後に、次のようなツール ザイゲニ これらのリスクを可視化します。コードの整合性を強化し、異常なシェル動作を検出し、 あなたの安全 pipeline内部および外部の脅威からの単純なジャンプシェルから始まるものも含め /bin/bash あるいは、制限されたシェル環境からの脱出を試みる行為。
