Jei tau įdomu Kas yra saugos konfigūracijos klaida, jūs ne vienas. Šis dažnas trūkumas, klasifikuojamas kaip Neteisinga OWASP saugumo konfigūracija, paveikia beveik visų tipų technologijų paketus – nuo konteinerių iki debesijos paslaugų. saugumo netinkamos konfigūracijos pažeidžiamumas Taip nutinka, kai sistemos, paslaugos ar kodas diegiami su nesaugiais numatytaisiais nustatymais arba pažeidžiamais nustatymais. Nesvarbu, ar tai atvira administratoriaus panelė, numatytieji prisijungimo duomenys, ar neteisingai sukonfigūruotas S3 segmentas, šios spragos suteikia užpuolikams aiškų patekimo tašką.
Neteisinga saugumo konfigūracija išlieka viena iš labiausiai nepastebimų, tačiau plačiai paplitusių šiuolaikinės programinės įrangos kūrimo pažeidžiamumų. Jei kada nors klausėte, kas yra netinkama saugumo konfigūracija, arba peržvelgėte ją OWASP netinkamos saugumo konfigūracijos skiltyje iš 10 populiariausių sąrašo, laikas atidžiau pažvelgti. Iš atskleistų „Kubernetes“... dashboardJei debesies aplinkose administratoriaus kredencialai naudojami pagal numatytuosius nustatymus, ši rizika yra dažnesnė, nei daugelis kūrėjų supranta.
Net ir naudojant sustiprintą kodą, viena neteisingai sukonfigūruota paslauga, pernelyg liberalus S3 segmentas arba pamirštas derinimo režimas gali atskleisti jautrius duomenis arba atverti kelią užpuolikams. Šios problemos nėra tik teorinės, realūs pažeidimai dažnai kyla dėl pagrindinių konfigūravimo klaidų. CI/CD pipelines, „Dockerfiles“ arba infrastruktūros kaip kodo šablonus.
Šiame įraše aptarsime, kodėl netinkama saugumo konfigūracija vis dar yra viena iš pagrindinių grėsmių OWASP sistemoje, parodysime, kaip tai atrodo praktiškai, ir pasiūlysime veiksmingų būdų, kaip to išvengti nesulėtinant jūsų paslaugų teikimo.
Kas yra netinkama saugos konfigūracija?
Saugumo netinkamas konfigūravimas įvyksta, kai sistemos, paslaugos ar programos diegiamos su nesaugiais numatytaisiais nustatymais, nereikalingomis funkcijomis arba pernelyg liberaliais prieigos valdikliais. Jei kada nors palikote „Docker“ konteinerį atvirą, committedas a .env failą per klaidą arba pamiršote išjungti derinimo režimą gamyboje, jūs jau matėte šią riziką praktiškai.
Paprasčiau tariant, Kas yra netinkama saugumo konfigūracija? Tai yra tada, kai tavo aplinka veikia, bet yra atvira piktnaudžiavimui.
Neteisinga OWASP saugumo konfigūracija yra A05 viduje 10 geriausių „OWASP“, ir ne be reikalo. Tai apima įvairius scenarijus – nuo debesies saugyklų, nustatytų kaip viešos, iki trūkstamų saugos antraščių ir pasenusių bibliotekų su atidarytomis administratoriaus panelėmis.
Ypač pavojingą daro tai, kaip lengva nepastebėti. Kūrėjai daugiausia dėmesio skiria saugaus kodo rašymui, tačiau dažnai pamiršta, kad konfigūracijos failai, CI/CD kintamieji, konteinerio leidimai ir atviri prievadai yra tokie pat svarbūs.
Štai keletas realaus pasaulio pavyzdžių:
- AWS S3 kibiras, viešai prieinamas be autentifikavimo
- Kubernetes dashboard pasiekiamas internetu be login
- „Jenkins“ sukonfigūruotas su numatytaisiais slaptažodžiais
- Išsamūs klaidų puslapiai gamybinėje aplinkoje, atskleidžiantys steko pėdsakus
Neteisingos konfigūracijos yra tylios grėsmės. Jos nesugadina jūsų sistemos, jos laukia fone, kol kas nors jas suras.
Kodėl netinkama saugumo konfigūracija yra tikras pažeidžiamumas
Iš pirmo žvilgsnio nedidelė konfigūracijos klaida gali neatrodyti kaip grėsmė. Tačiau saugumo netinkamos konfigūracijos pažeidžiamumas gali greitai tapti visaverčiu pažeidimu, ypač debesijos ir konteinerinėse aplinkose, kuriose paslaugos yra tarpusavyje sujungtos.
Užpuolikai dažnai ieško:
- Atidaryti prievadai, rodantys tokius kūrėjų įrankius kaip „Kibana“ ar „Jenkins“
- Neteisingai sukonfigūruotos antraštės, leidžiančios vykdyti scenarijus tarp svetainių (XSS)
- Viešojo debesies ištekliai (pvz., S3, GCS) nustatyti kaip „skaitomi / rašomi“ visiems
- Nesandarus
.gitkatalogai arba atviri.envfailai „GitHub“ projektuose
Be to, jiems net nereikia išnaudoti jūsų programos logikos. Vietoj to, jie pasikliauja jūsų numatytaisiais nustatymais, pamirštomis vėliavėlėmis arba neatnaujintais administratoriaus skydeliais.
2024 m. Ataskaita IBM X-Force radau tai Neteisingos konfigūracijos sukėlė 25 % visų debesijos saugumo incidentų, todėl jos yra antra pagal dažnumą debesijos grėsmių kategorija, iškart po netinkamo tapatybės valdymo.
Panagrinėkime tai trumpai greta:
| nustatymas | Nesaugu pagal numatytuosius nustatymus | Sutvirtinta konfigūracija |
|---|---|---|
| Administratoriaus skydelis | Įjungta be login | Autentifikuota ir apribota IP adresu |
| S3 kibiras | Vieša prieiga | Privatu su IAM taisyklėmis |
| dockerfile | Naudoja root vartotoją | Veikia ne kaip root vartotojas |
| Jenkins | Numatytieji kredencialai | Priverstinis RBAC ir žetonai |
Kadangi šios problemos dažnai lieka nepastebėtos įprasto testavimo metu, jos tampa atakos paviršiaus dalimi, tyliai slypinčia jūsų infrastruktūroje, kol kas nors jas suranda. Štai kodėl reikia elgtis su... netinkama saugumo konfigūracija kaip tikras pažeidžiamumas yra būtinas šiuolaikinėms „DevOps“ ir „AppSec“ komandoms.
Saugumo netinkamos konfigūracijos pažeidžiamumų pavyzdžiai, kuriuos kūrėjai dažnai praleidžia
Net patyrę kūrėjai nepastebi netinkamų saugumo konfigūracijų ne todėl, kad jiems nerūpi, o todėl, kad numatytieji nustatymai dažnai veikia. per geraiŽemiau pateikiami pavyzdžiai, kurie į gamybą patenka dažniau nei manote:
Saugumo netinkama konfigūracija konteineriuose ir „Dockerfile“ failuose
- Veikia kaip
rootvietoj neprivilegijuoto vartotojo - Vidinių prievadų atskleidimas
Dockerfileordocker-compose.yml - Palikti neapsaugotus sveikatos patikros galinius taškus
Debesų saugumo netinkamos konfigūracijos pažeidžiamumai saugyklose ir infrastruktūroje
- S3 kaušai su „viešo skaitymo“ arba „viešo rašymo“ leidimais
- GCP kibirai arba „Azure“ debesys, atskleisti dėl netinkamai sukonfigūruoto IAM
- Terraformas failai be prieigos apribojimų ar šifravimo
CI/CD pipeline problemos, kurias sukelia netinkama saugos konfigūracija
- Dženkinsas arba GitLab CI su įjungta anonimine prieiga
- Paslaptys saugomos atvirojo teksto formatu pipeline configs
- Testų aprėpties ataskaitos arba kodų skaitytuvai, atskleidžiantys vidinius kelius
Dažniausi žiniatinklio programų saugos netinkamo konfigūravimo pavyzdžiai
- Derinimo režimas įjungtas Kolba, Djangoarba „Express“
- Išsamūs klaidų pranešimai, atskleidžiantys steko pėdsakus arba aplinkos informaciją
- Trūksta HTTP saugumo antraščių (
X-Content-Type-Options,Strict-Transport-Security, Ir tt)
Be to, tai ne tik klaidos, tai nuspėjami įėjimo taškai. Užpuolikai pasikliauja automatizuoti skaitytuvai kad būtų rasti būtent šie trūkumai.
Jei jis prieinamas ir netinkamai sukonfigūruotas, jis yra pažeidžiamas.
Kaip išvengti saugumo klaidų konfigūravimo pažeidžiamumų DevOps sistemoje
Apsauga netinkama saugumo konfigūracija Kalbama ne apie naujų įrankių pridėjimą. Kalbama apie tai, kad saugi konfigūracija taptų numatytąja kiekvienoje aplinkoje – nuo kūrimo iki gamybos. Štai kaip:
1. Harden anksti neįvykdo įsipareigojimų
Pradėkite nuo saugių nustatymų „Dockerfiles“, „Helm“ diagramose ir „Terraform“ scenarijuose. Venkite paslaugų atskleidimo 0.0.0.0, nebent tai būtų absoliučiai būtina. Prieš diegdami kodą, pašalinkite pavyzdinius prisijungimo duomenis, vietos rezervavimo raktus ir bandymo maršrutus.
2. Užblokuokite prieigą
Visada užtikrinkite autentifikavimą ir vaidmenimis pagrįstą prieigos valdymą (RBAC). Jei jūsų CI įrankis arba administratorius dashboard nereikia būti prijungtam prie interneto, apribokite prieigą naudodami IP leidžiamųjų sąrašų arba VPN.
3. Automatinis konfigūracijos failų nuskaitymas
Naudokite įrankius, kurie gali analizuoti IaC - Infrastruktūra kaip kodas, „Helm“ diagramos ir „Dockerfiles“ per pull requestsStatinė jūsų konfigūracijos analizė yra tokia pat svarbi kaip ir jūsų programos kodo nuskaitymas.
4. Saugiai valdykite paslaptis
Saugokite prisijungimo duomenis slaptų duomenų tvarkytuvėje, o ne savo kodo ar aplinkos failuose. Be to, periodiškai keiskite slaptus duomenis ir tikrinkite prieigos žurnalus, kad aptiktumėte piktnaudžiavimą.
5. Patvirtinkite pagal etalonus
Naudokite tokius etalonus kaip CIS, NIST ir OpenSSF Rezultatų kortelės, skirtos jūsų projektams ir pipelines dėl dažniausiai pasitaikančių neteisingos konfigūracijos trūkumų.
6. Automatizuokite su Guardrails
Užuot pasikliavę rankinėmis peržiūromis, užtikrinkite saugias konfigūracijas automatizuotomis priemonėmis CI/CD guardrailsPavyzdžiui, nepavyksta sukurti versijų, kai viešieji debesies ištekliai neatitinka jūsų politikos.
Kai saugūs numatytieji nustatymai, automatizavimas ir patvirtinimas yra dalis pipeline, netinkamos konfigūracijos rizika gerokai sumažėja, o kūrėjams nereikia lėtinti tempo, kad išliktų saugūs.
Naudokite „Xygeni“, kad blokuotumėte saugos neteisingą konfigūraciją CI/CD Pipelines
Neteisinga saugumo konfigūracija yra vienas iš dažniausiai pasitaikančių, nepastebimų pažeidžiamumų, tačiau „Xygeni“ jį paverčia tuo, ką galite automatiškai aptikti, ištaisyti ir užkirsti jam kelią.
Štai kaip „Xygeni“ padeda „DevOps“ komandoms sustabdyti neteisingas konfigūracijas prieš joms pasiekiant gamybos aplinką:
1. IaC Security Skenavimas realiuoju laiku
Xygeni skenuoja jūsų „Terraform“, „Helm“, „Kubernetes“ ir „Docker“ failai kiekviename commit bei pull requestTai žymi rizikingas konfigūracijas, tokias kaip:
- Atviri prievadai arba 0.0.0.0 susiejimai
- Trūksta vaidmenimis pagrįstų leidimų
- Trūksta tinklo segmentavimo arba šifravimo
2. CI/CD Guardrails blokuoti netinkamai sukonfigūruotas versijas
Jei jūsų pipeline atskleidžia paslaptis, naudoja numatytuosius prisijungimo duomenis arba palieka svarbius failus atidarytus, „Xygeni“ gali automatiškai blokuoti kūrimą. Jūs nustatote taisykles, o mes jas vykdome.
3. Konfigūracijos poslinkio aptikimas
„Xygeni“ stebi jūsų aplinkas, ar nėra neleistinų pakeitimų. Jei saugyklos talpykla staiga taps vieša arba derinimo žymė bus vėl įjungta, apie tai sužinosite prieš tai tampant incidentu.
4. Saugių numatytųjų reikšmių politika kaip kodas
Pirmiausia naudokite „Xygeni“ guardrails tiksliai apibrėžti, ką jūsų komandai reiškia „saugu pagal numatytuosius nustatymus“. Todėl galite blokuoti rizikingus sujungimus, įspėti apie politikos pažeidimus ir palaikyti atitiktį reikalavimams – visa tai nerašant pasirinktinių scenarijų.
5. Paslapčių valdymo integracija
Be to, „Xygeni“ aptinka kietuoju kodu užkoduotus slaptus duomenis, nutekėjusius prieigos raktus arba nesaugias nuorodas jūsų CI konfigūracijos failuose. Ji taip pat sklandžiai integruojasi su saugyklomis ir KMS, kad patvirtintų ir ištaisytų bet kokius paviešintus prisijungimo duomenis.
Atsižvelgiant į viską, naudojant „Xygeni“, jums nereikia pasikliauti atmintimi ar kontroliniais sąrašais, kad užtikrintumėte saugias konfigūracijas. Vietoj to, saugumas
Pasiruošę sustabdyti neteisingas konfigūracijas prie šaltinio?
Išbandykite „Xygeni“ 14 dienų nemokamai ir pažiūrėkite, kaip lengva užblokuoti tai, ko kiti nepastebi.
