Што е ограничена школка и зошто се важни нападите со скокачка школка
Ограничените школки се користат за контрола на тоа кои команди корисниците можат да ги извршат, честопати спречувајќи дејства како cd, стартување нови школки или извоз на променливи на околината. Тие обично се распоредуваат во CI/CD агенти или градат средини за да го ограничат однесувањето на корисниците. Сепак, напаѓачите бараат начини да извршат скокачка школка, метод што се користи за да се избегнат ограничени средини на школки и да се добие пристап до неограничени школки како што се канта/баш. Еднаш внатре it, напаѓачот има целосна контрола преку командната линија, заобиколувајќи ги сите ограничувања на ограничената околина.
Како функционира Jumping Shell: Од Rrestricted до bin/bash
Целта на скокачката школка е да ги искористи слабостите во ограничените средини и да предизвика бегство од школката што води до канта/башВообичаените техники за бегство од ограничени гранатни напади вклучуваат:
$ ls /bin/bash $ /bin/bashIf канта/баш е достапно, ова едноставно повикување го комплетира.
Друг вообичаен метод:
$ echo "/bin/bash" > run.sh $ sh run.sh Напаѓачите исто така можат да ги искористат уредниците како vi or помалку:
vi :set shell=/bin/bash :shell Овие методи илустрираат колку лесно скокачката школка може да доведе до канта/баш извршување, ефикасно заобиколувајќи ги ограничените заштити на школката.
Вистинските ризици од овие напади во DevOps
Во споделено CI/CD средини, ограничените школки се користат за изолирање на градби и намалување на ризикот. Но, кога напаѓачот ќе успее со скокачка школка и ќе достигне канта/баш, безбедносниот модел се урива.
Ризиците вклучуваат:
- Неовластен пристап до тајните на животната средина
- Ескалација на привилегии преку неограничено канта/баш
- Менување на градбата pipelineили артефакти
- Распоредување на постојана алатка во рамките на pipeline
Бегството ја ограничи школката на канта/баш отвора врата за целосен компромис на системот, честопати првиот потег во поширока DevSecOps напад.
Мониторинг и откривање на скокачки шелови и бин/баш бегства
За да го детектираат однесувањето на скокање на граната и да ги блокираат обидите за бегство од граната, безбедносните тимови мораат:
- Евидентирајте ја целата активност на школката, особено / канта / баш извршување
- Следете ја злоупотребата на уредникот и употребата на скрипти како вектори на појавување на школката
- Следење на пристапот до датотеките за конфигурација на школката како .башрц or .bash_profile
Модели на однесување како што е лансирање канта/баш од ограничена средина треба да се сметаат за предупредувања со висок приоритет. Раното откривање може да спречи подлабоко странично движење.
Спречување на напади и експлоатации со ограничено бегство од школки
За да се ублажат ризиците од скокање на граната и да се спречат напаѓачите да лансираат канта/баш:
- Стврднете ги ограничените школки: Отстранете ги или блокирајте ги пристап
- Користете AppArmor или SELinux за да го ограничите извршувањето на командите
- Спроведување на најмали привилегии низ CI/CD улоги и тркачи
- Контејнеризирајте градби со слики без дистрибутер без школки како канта/баш
- Валидирајте ги средини пред и по градбите за да откриете аномалии
Спречувањето на сценаријата со ограничени школки за бегство бара слоевити контроли, а не само потпирање на ограничени школки. Не претпоставувајте дека ограничените школки се безбедни ако канта/баш е дури и потенцијално достапно.
Заклучок: Бегањата од школки се влезни точки
Ограничените школки се одбранбен слој, а не гаранција. Нападите со скокачки школки се насочени кон слаба изолација и слаба валидација. Откако ќе влезете внатре / канта / баш, напаѓачите можат да ја насочат, да истраат и да ја компромитираат инфраструктурата на DevSecOps.
Детекцијата и изолацијата се од суштинско значење. Комбинирањето на евидентирање на команди, ограничени средини и правилно чистење на менаџерите на пакети ја намалува изложеноста.
Конечно, алатки како што се Xygeni нудат увид во овие ризици. Тие помагаат во спроведувањето на интегритетот на кодот, откривањето на необично однесување на школката и обезбедете ја вашата pipelineод внатрешни и надворешни закани, вклучувајќи ги и оние што започнуваат со едноставна школка за скокање до / канта / баш или обиди за избегнување на ограничени средини на школка.
