რა არის შეზღუდული გარსი და რატომ არის მნიშვნელოვანი ნახტომისებური გარსის შეტევები
შეზღუდული გარსები გამოიყენება იმ ბრძანებების გასაკონტროლებლად, რომელთა შესრულებაც მომხმარებლებს შეუძლიათ, ხშირად ხელს უშლიან ისეთ ქმედებებს, როგორიცაა cd, ახალი გარსების გაშვება ან გარემოს ცვლადების ექსპორტი. ისინი, როგორც წესი, განლაგებულია CI/CD აგენტები ან შექმენით გარემო მომხმარებლის ქცევის შესაზღუდად. თუმცა, თავდამსხმელები ეძებენ გზებს, რათა შეასრულონ jumping shell, მეთოდი, რომელიც გამოიყენება შეზღუდული shell გარემოდან თავის დასაღწევად და შეუზღუდავ shell-ებზე წვდომის მოსაპოვებლად, როგორიცაა ბინ/ბაშშიგნით შესვლის შემდეგ it, თავდამსხმელს აქვს სრული ბრძანების ხაზის კონტროლი, შეზღუდული გარემოს ყველა შეზღუდვის გვერდის ავლით.
როგორ მუშაობს Jumping Shell: შეზღუდულიდან bin/bash-მდე
ხტომის ჭურვის მიზანია შეზღუდულ გარემოში სისუსტეების გამოყენება და ჭურვიდან გაქცევის გამოწვევა, რაც იწვევს ბინ/ბაშშეზღუდული ჭურვების შეტევებისგან თავის დაღწევის გავრცელებული ტექნიკა მოიცავს:
$ ls /bin/bash $ /bin/bashIf ბინ/ბაშ ხელმისაწვდომია, ეს მარტივი გამოძახება ასრულებს მას.
კიდევ ერთი გავრცელებული მეთოდი:
$ echo "/bin/bash" > run.sh $ sh run.sh თავდამსხმელებმა ასევე შეიძლება გამოიყენონ ისეთი რედაქტორები, როგორიცაა vi or ნაკლები:
vi :set shell=/bin/bash :shell ეს მეთოდები ასახავს, თუ რამდენად მარტივად შეიძლება ხტომა გამოიწვიოს ბინ/ბაშ შესრულება, ეფექტურად გვერდის ავლით შეზღუდული გარსის დაცვა.
ამ თავდასხმების რეალური რისკები DevOps-ში
გაზიარებულში CI/CD გარემოში შეზღუდული ჭურვები გამოიყენება აწყობის იზოლირებისა და რისკის შესამცირებლად. მაგრამ როდესაც თავდამსხმელი წარმატებას მიაღწევს ხტომის ჭურვით და მიაღწევს ბინ/ბაშ, უსაფრთხოების მოდელი იშლება.
რისკები მოიცავს:
- გარემოსდაცვით საიდუმლოებებზე უნებართვო წვდომა
- პრივილეგიების ესკალაცია შეუზღუდავი გზით ბინ/ბაშ
- კონსტრუქციის მანიპულირება pipelineან არტეფაქტები
- მუდმივი ხელსაწყოების განლაგება pipeline
გაქცევის ჭურვი შემოიფარგლებოდა ბინ/ბაშ ხსნის კარს სისტემის სრული კომპრომისისკენ, რაც ხშირად პირველი ნაბიჯია უფრო ფართო სპექტრში. DevSecOps შეტევა.
ხტომის მონიტორინგი და აღმოჩენა ჭურვებისა და ურნების/დარტყმების შედეგად.
ხტომის ქცევის აღმოსაჩენად და შეზღუდული გაქცევის მცდელობების დასაბლოკად, დაცვის ჯგუფებმა უნდა:
- ყველა shell აქტივობის რეგისტრაცია, განსაკუთრებით / ბინ / ბაში შესრულების
- რედაქტორის ბოროტად გამოყენებისა და სკრიპტის გამოყენების მონიტორინგი, როგორც shell spawn ვექტორები
- shell კონფიგურაციის ფაილებზე წვდომის თვალყურის დევნება, როგორიცაა .ბაშრკ or . bash_profile
ქცევითი ნიმუშები, როგორიცაა გაშვება ბინ/ბაშ შეზღუდული გარემოდან შემოსული შეტყობინებები მაღალი პრიორიტეტის გაფრთხილებებად უნდა ჩაითვალოს. მისი ადრეული გამოვლენა ხელს შეუშლის უფრო ღრმა გვერდითი მოძრაობის თავიდან აცილებას.
შეზღუდული ჭურვის შეტევებისა და ექსპლოიტების თავიდან აცილება
ჭურვის ნახტომის რისკების შესამცირებლად და თავდამსხმელების მიერ სროლის თავიდან ასაცილებლად ბინ/ბაშ:
- შეზღუდული გარსების გამაგრება: მოხსენით ან დაბლოკეთ შედიხართ
- ბრძანების შესრულების შეზღუდვისთვის გამოიყენეთ AppArmor ან SELinux
- მინიმალური პრივილეგიის აღსრულება CI/CD როლები და მორბენლები
- კონტეინერიზაცია დისტრიბუციის გარეშე გამოსახულებებით, რომლებსაც არ აქვთ გარსები, როგორიცაა ბინ/ბაშ
- გარემოს შემოწმება აწყობამდე და მის შემდეგ ანომალიების აღმოსაჩენად
შეზღუდული გარსების სცენარებისგან გაქცევის თავიდან აცილება მოითხოვს მრავალშრიან კონტროლს და არა მხოლოდ შეზღუდულ გარსებზე დაყრდნობას. ნუ ჩათვლით, რომ შეზღუდული გარსები უსაფრთხოა, თუ ბინ/ბაშ პოტენციურად მისაღწევიც კია.
დასკვნა: ჭურვის გაქცევა შესასვლელი წერტილებია
შეზღუდული ჭურვები თავდაცვის ფენაა და არა გარანტია. ნახტომისებური ჭურვების შეტევები მიზნად ისახავს სუსტ იზოლაციას და ცუდ ვალიდაციას. შიგნით შესვლის შემდეგ / ბინ / ბაში, თავდამსხმელებს შეუძლიათ DevSecOps ინფრასტრუქტურის შეცვლა, მისი დაჟინება და საფრთხე შეუქმნან.
აღმოჩენა და იზოლაცია აუცილებელია. ბრძანებების ჟურნალირების, შეზღუდული გარემოს და პაკეტების მენეჯერების სათანადო გაწმენდის კომბინაცია ამცირებს ზემოქმედებას.
და ბოლოს, ისეთი ინსტრუმენტები, როგორიცაა ქსიგენი ამ რისკების ხილვადობას უზრუნველყოფენ. ისინი ხელს უწყობენ კოდის მთლიანობის დაცვას, გარსის უჩვეულო ქცევის აღმოჩენას და დაიცავით თქვენი pipelineშიდა და გარე საფრთხეებისგან, მათ შორის ისეთებიც, რომლებიც იწყება მარტივი ხტომის ჭურვით / ბინ / ბაში ან ცდილობს შეზღუდული shell გარემოდან თავის დაღწევას.
