ਜੇ ਤੁਸੀਂ ਸੋਚਦੇ ਹੋ ਕਿ ਤੁਹਾਡਾ ਡੌਕਰ-ਕੰਪੋਜ਼.ਆਈ.ਐਮ.ਐਲ. ਇਹ ਸਿਰਫ਼ ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਗੂੰਦ ਹੈ, ਦੁਬਾਰਾ ਸੋਚੋ। ਇਹ ਫਾਈਲਾਂ ਅਕਸਰ ਗੁਪਤ, ਹਾਰਡਕੋਡ ਕੀਤੇ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ, API ਟੋਕਨਾਂ, ਅਤੇ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲਾਂ ਲਈ ਅਣਜਾਣੇ ਵਿੱਚ ਸਟੋਰੇਜ ਬਣ ਜਾਂਦੀਆਂ ਹਨ ਜੋ ਸੰਸਕਰਣ ਨਿਯੰਤਰਣ ਵਿੱਚ ਆਪਣਾ ਰਸਤਾ ਬਣਾਉਂਦੇ ਹਨ। ਇੱਕ ਵਾਰ GitHub ਜਾਂ ਕਿਸੇ ਵੀ ਰੈਪੋ ਨਾਲ ਸਿੰਕ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਉਹ ਗੁਪਤ ਹਮੇਸ਼ਾ ਲਈ ਰਹਿ ਸਕਦੇ ਹਨ commit ਇਤਿਹਾਸ
ਡਿਵੈਲਪਰ ਅਕਸਰ ਇਲਾਜ ਕਰਦੇ ਹਨ ਡੌਕਰ-ਕੰਪੋਜ਼.ਆਈ.ਐਮ.ਐਲ. ਇੱਕ ਗੈਰ-ਸੰਵੇਦਨਸ਼ੀਲ ਫਾਈਲ ਦੇ ਤੌਰ 'ਤੇ, ਇਹ ਨਜ਼ਰਅੰਦਾਜ਼ ਕਰਦੇ ਹੋਏ ਕਿ ਇਹ ਕਿਵੇਂ ਕੰਮ ਕਰ ਸਕਦੀ ਹੈ ਹਮਲਾ ਵੈਕਟਰ. ਇੱਥੇ ਇੱਕ ਛੋਟੀ ਜਿਹੀ ਲੀਕ ਦਾ ਮਤਲਬ ਨਿੱਜੀ ਸੇਵਾਵਾਂ, ਅੰਦਰੂਨੀ API, ਜਾਂ ਪੂਰੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਤੱਕ ਪਹੁੰਚ ਹੋ ਸਕਦੀ ਹੈ। ਇਹ ਉਹ ਕਿਸਮ ਦੇ ਡੌਕਰ-ਕੰਪੋਜ਼ ਰਾਜ਼ ਹਨ ਜਿਨ੍ਹਾਂ ਦੀ ਹਮਲਾਵਰ ਭਾਲ ਕਰਦੇ ਹਨ।
ਡੌਕਰ-ਕੰਪੋਜ਼ ਦੇ ਆਮ ਤਰੀਕੇ ਭੇਦ ਲੀਕ ਇਨ ਡੌਕਰ-ਕੰਪੋਜ਼.yml
ਇੱਥੇ ਕੁਝ ਰੋਜ਼ਾਨਾ ਦੀਆਂ ਗਲਤੀਆਂ ਹਨ ਜੋ ਡਿਵੈਲਪਰ ਕਰਦੇ ਹਨ:
1. ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ ਹਾਰਡਕੋਡਿੰਗ ਕਰਨਾ
ਇਸ ਵਿੱਚ ਪਾਸਵਰਡ ਡੌਕਰ-ਕੰਪੋਜ਼.ਆਈ.ਐਮ.ਐਲ. ਹੁਣ ਤੁਹਾਡੇ ਗਿੱਟ ਇਤਿਹਾਸ ਦਾ ਹਿੱਸਾ ਹੈ। ਇਸ ਤੋਂ ਵੀ ਮਾੜੀ ਗੱਲ ਇਹ ਹੈ ਕਿ ਇਸਨੂੰ ਉਤਪਾਦਨ ਵਿੱਚ ਵੀ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਇਹ ਡੌਕਰ-ਕੰਪੋਜ਼ ਰਾਜ਼ਾਂ ਦੇ ਸਭ ਤੋਂ ਸਿੱਧੇ ਰੂਪਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ। ਐਕਸਪੋਜਰ.
2. ਸਾਂਝੇ ਕੀਤੇ ਸੰਰਚਨਾਵਾਂ ਜਾਂ ਸਟੈਕਓਵਰਫਲੋ ਤੋਂ ਕਾਪੀ-ਪੇਸਟ ਕਰਨਾ
ਮਾੜੇ ਅਭਿਆਸ ਤੇਜ਼ੀ ਨਾਲ ਫੈਲਦੇ ਹਨ। ਅਸੁਰੱਖਿਅਤ ਨਮੂਨਿਆਂ ਦੀ ਨਕਲ ਕਰਨਾ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਜਿਵੇਂ ਹੈ ਉਸੇ ਤਰ੍ਹਾਂ ਵਰਤਣਾ, ਵਿਕਾਸਕਰਤਾ ਤੋਂ ਲੈ ਕੇ ਉਤਪਾਦ ਤੱਕ, ਹਰ ਵਾਤਾਵਰਣ ਵਿੱਚ ਰਾਜ਼ ਪ੍ਰਗਟ ਕਰਨ ਵੱਲ ਲੈ ਜਾਂਦਾ ਹੈ।
3. ਮਾਊਂਟਿੰਗ .env ਫਾਈਲਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕੀਤੇ ਬਿਨਾਂ ਸਿੱਧੇ
env_file: – .env
.env ਫਾਈਲਾਂ ਵਿੱਚ ਅਕਸਰ API ਕੁੰਜੀਆਂ ਜਾਂ ਪ੍ਰਮਾਣ ਪੱਤਰ ਹੁੰਦੇ ਹਨ, ਅਤੇ ਡਿਵੈਲਪਰ ਉਹਨਾਂ ਨੂੰ ਇਸ ਵਿੱਚ ਜੋੜਨਾ ਭੁੱਲ ਜਾਂਦੇ ਹਨ .ਗਿੱਟਾਈਨੌਰ. ਇਹ ਰਾਜ਼ਾਂ ਨੂੰ ਦ੍ਰਿਸ਼ਮਾਨ ਬਣਾਉਂਦਾ ਹੈ ਜੇਕਰ ਰੈਪੋ ਜਨਤਕ ਜਾਂ ਸਾਂਝਾ ਕੀਤਾ ਗਿਆ ਹੈ। ਇਹ ਅਸਿੱਧੇ ਤੌਰ 'ਤੇ ਡੌਕਰ ਕੰਪੋਜ਼ ਰਾਜ਼ ਬਣ ਜਾਂਦੇ ਹਨ ਜਦੋਂ ਹਵਾਲਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ।
ਡੌਕਰ-ਕੰਪੋਜ਼ ਰਾਜ਼ਾਂ ਦਾ ਅਸਲ ਪ੍ਰਭਾਵ CI/CD
In CI/CD pipelines, ਇੱਕ ਤੋਂ ਸਮਝੌਤਾ ਕੀਤੇ ਗਏ ਭੇਦ ਡੌਕਰ-ਕੰਪੋਜ਼.ਆਈ.ਐਮ.ਐਲ. ਕਰ ਸਕਦੇ ਹੋ:
- ਅਣਅਧਿਕਾਰਤ ਬਿਲਡਾਂ ਨੂੰ ਚਾਲੂ ਕਰੋ
- ਸਟੇਜਿੰਗ ਜਾਂ ਉਤਪਾਦਨ ਸੇਵਾਵਾਂ ਤੱਕ ਸੀਮਤ ਪਹੁੰਚ
- ਤੈਨਾਤੀਆਂ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਪਾਓ
- ਪਾਸੇ ਦੀ ਗਤੀ ਰਾਹੀਂ ਪਿਛਲੇ ਦਰਵਾਜ਼ੇ ਖੋਲ੍ਹੋ
ਹਮਲਾਵਰ ਜਨਤਾ ਦੀ ਜਾਂਚ ਕਰ ਰਹੇ ਹਨ ਗਿੱਟਹੱਬ ਰਿਪੋਜ਼ ਲਈ ਵੇਖੋ ਡੌਕਰ-ਕੰਪੋਜ਼.ਆਈ.ਐਮ.ਐਲ. GitHub dorks ਜਾਂ ਆਟੋਮੇਟਿਡ ਟੂਲਸ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਫਾਈਲਾਂ। ਇੱਕ ਵਾਰ ਜਦੋਂ ਉਹ ਰਾਜ਼ ਲੱਭ ਲੈਂਦੇ ਹਨ, ਤਾਂ ਉਹ CI ਦੌੜਾਕਾਂ ਦੀ ਨਕਲ ਕਰ ਸਕਦੇ ਹਨ, ਕਲਾਉਡ ਕ੍ਰੈਡਿਟ ਦੀ ਦੁਰਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹਨ, ਜਾਂ ਇਸ ਤੋਂ ਵੀ ਮਾੜੀ ਗੱਲ, ਸਪਲਾਈ ਚੇਨਾਂ ਵਿੱਚ ਰੈਨਸਮਵੇਅਰ ਤੈਨਾਤ ਕਰ ਸਕਦੇ ਹਨ। ਇਹ ਡੌਕਰ ਕੰਪੋਜ਼ ਰਾਜ਼ ਇੱਕ ਗੰਭੀਰ ਅਤੇ ਅਕਸਰ ਕਮਜ਼ੋਰੀ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕੀਤਾ।
ਗੁਪਤ ਗੱਲਾਂ ਦਾ ਸੁਰੱਖਿਅਤ ਢੰਗ ਨਾਲ ਪਤਾ ਲਗਾਉਣਾ ਅਤੇ ਪ੍ਰਬੰਧਨ ਕਰਨਾ
ਸਕੈਨਿੰਗ ਟੂਲਸ ਦੀ ਵਰਤੋਂ ਕਰੋ:
- ਟਰਫਲਹੌਗ, ਗਿਟਲੈਕਸ, ਜ ਜ਼ਾਇਗੇਨੀ ਤੁਹਾਡੇ ਰੈਪੋ ਵਿੱਚ ਭੇਦ ਖੋਜ ਸਕਦਾ ਹੈ, ਪੁਰਾਣੇ ਸਮੇਤ commits.
- ਆਪਣੇ CI ਵਿੱਚ ਸਕੈਨ ਚਲਾਓ pipeline ਭੇਦ ਰੱਖਣ ਵਾਲੇ ਪੀਆਰ ਨੂੰ ਰੋਕਣ ਲਈ।
ਸਿੱਧੇ ਰਾਜ਼ਾਂ ਨੂੰ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲਾਂ ਨਾਲ ਬਦਲੋ:
ਸੇਵਾਵਾਂ:
ਐਪ:
ਚਿੱਤਰ: ਮਾਈਐਪ
ਵਾਤਾਵਰਣ:
ਡੀਬੀ_ਪਾਸਵਰਡ: ${ਡੀਬੀ_ਪਾਸਵਰਡ}
ਟੀਕਾ ਲਗਾਉਣ ਲਈ ਇੱਕ ਸੀਕਰੇਟ ਮੈਨੇਜਰ ਦੀ ਵਰਤੋਂ ਕਰੋ DB_ਪਾਸਵਰਡ ਰਨਟਾਈਮ 'ਤੇ, ਇਸਨੂੰ ਤੁਹਾਡੇ ਤੋਂ ਬਾਹਰ ਰੱਖਦੇ ਹੋਏ ਡੌਕਰ-ਕੰਪੋਜ਼.ਆਈ.ਐਮ.ਐਲ.. ਇਹ ਪਹੁੰਚ ਡੌਕਰ ਕੰਪੋਜ਼ ਸੀਕਰੇਟਸ ਦੇ ਜੋਖਮਾਂ ਨੂੰ ਘਟਾਉਣ ਵਿੱਚ ਮਦਦ ਕਰਦੀ ਹੈ।
ਗੁਪਤ ਪ੍ਰਬੰਧਕਾਂ ਨੂੰ ਏਕੀਕ੍ਰਿਤ ਕਰੋ:
ਵਾਲਟ, AWS ਸੀਕਰੇਟਸ ਮੈਨੇਜਰ, ਜਾਂ ਡੌਪਲਰ ਵਰਗੇ ਟੂਲ ਸੁਰੱਖਿਅਤ ਢੰਗ ਨਾਲ ਰਾਜ਼ਾਂ ਨੂੰ ਸੰਭਾਲਦੇ ਹਨ ਅਤੇ ਰੋਟੇਸ਼ਨ ਨੀਤੀਆਂ ਪ੍ਰਦਾਨ ਕਰਦੇ ਹਨ।
ਡੌਕਰ-ਕੰਪੋਜ਼ ਸੀਕਰੇਟਸ ਐਕਸਪੋਜ਼ਰ ਤੋਂ ਬਚਣ ਲਈ DevSecOps ਵਿੱਚ ਡਿਵੈਲਪਰਾਂ ਲਈ ਸਭ ਤੋਂ ਵਧੀਆ ਅਭਿਆਸ
- ਕਦੇ ਵੀ ਹਾਰਡਕੋਡ ਭੇਦ ਨਾ ਕਰੋ in ਡੌਕਰ-ਕੰਪੋਜ਼.ਆਈ.ਐਮ.ਐਲ..
- ਜੋੜੋ .env ਨੂੰ .ਗਿੱਟਾਈਨੌਰ, ਹਮੇਸ਼ਾ.
- ਵਰਤੋ ਗੁਪਤ ਸਕੈਨਿੰਗ ਟੂਲ ਤੁਹਾਡੇ ਸਥਾਨਕ ਵਿਕਾਸਕਾਰ ਵਿੱਚ ਅਤੇ CI/CD pipeline.
- ਕੰਪੋਜ਼ ਫਾਈਲਾਂ ਦੀ ਸਮੀਖਿਆ ਕਰੋ ਤੁਹਾਡੀ ਸੁਰੱਖਿਆ ਪੀਆਰ ਚੈੱਕਲਿਸਟ ਦੇ ਹਿੱਸੇ ਵਜੋਂ।
- ਗੁਪਤ ਰੋਟੇਸ਼ਨ ਨੂੰ ਸਵੈਚਲਿਤ ਕਰੋ, ਖਾਸ ਕਰਕੇ ਟੋਕਨਾਂ ਅਤੇ ਸੇਵਾ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਲਈ।
- ਆਡਿਟ ਤੀਜੀ-ਧਿਰ ਰਚਨਾ ਉਦਾਹਰਣਾਂ ਉਹਨਾਂ ਨੂੰ ਆਪਣੇ ਕੋਡਬੇਸ ਵਿੱਚ ਕਾਪੀ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ।
- ਇਹਨਾਂ ਫਾਈਲਾਂ ਵਿੱਚ ਕਿਸੇ ਵੀ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਨੂੰ ਡੌਕਰ ਕੰਪੋਜ਼ ਸੀਕਰੇਟ ਵਜੋਂ ਮੰਨੋ, ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਉਸ ਅਨੁਸਾਰ ਪ੍ਰਬੰਧਿਤ ਕਰੋ।
ਤੁਹਾਡਾ ਡੌਕਰ-ਕੰਪੋਜ਼.yml ਤੁਹਾਡਾ ਸਭ ਤੋਂ ਵੱਡਾ ਸੁਰੱਖਿਆ ਬਲਾਇੰਡ ਸਪਾਟ ਹੋ ਸਕਦਾ ਹੈ
ਤੁਹਾਡਾ ਡੌਕਰ-ਕੰਪੋਜ਼.ਆਈ.ਐਮ.ਐਲ. ਇਹ ਸਿਰਫ਼ ਸੰਰਚਨਾ ਤੋਂ ਵੱਧ ਹੈ; ਇਹ ਤੁਹਾਡੀ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਹਮਲੇ ਦੀ ਸਤ੍ਹਾ ਦਾ ਹਿੱਸਾ ਹੈ। ਇਸਨੂੰ ਕੋਡ ਵਾਂਗ ਸਮਝੋ। ਇਹਨਾਂ ਫਾਈਲਾਂ ਦੇ ਅੰਦਰ ਲੁਕੇ ਹੋਏ ਰਾਜ਼ ਅਸਲ ਜੋਖਮ ਪੈਦਾ ਕਰਦੇ ਹਨ, ਖਾਸ ਕਰਕੇ ਜਦੋਂ ਵਰਜਨ ਨਿਯੰਤਰਣ ਨਾਲ ਸਿੰਕ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਇਸ ਵਿੱਚ ਏਕੀਕ੍ਰਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। CI/CD.
Xygeni ਵਰਗੇ ਟੂਲ ਕੋਡਬੇਸਾਂ ਵਿੱਚ ਡੌਕਰ ਕੰਪੋਜ਼ ਦੇ ਰਾਜ਼ਾਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਅਤੇ ਪ੍ਰਬੰਧਨ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰਦੇ ਹਨ ਅਤੇ pipelines, ਸਪਲਾਈ ਚੇਨ ਹਮਲਿਆਂ ਦੇ ਜੋਖਮ ਨੂੰ ਘਟਾਉਂਦਾ ਹੈ। ਇਸਨੂੰ ਆਪਣੇ ਵਰਕਫਲੋ ਵਿੱਚ ਏਕੀਕ੍ਰਿਤ ਕਰੋ ਤਾਂ ਜੋ ਦਿੱਖ ਪ੍ਰਾਪਤ ਕੀਤੀ ਜਾ ਸਕੇ ਅਤੇ ਤੁਹਾਡੇ 'ਤੇ ਨਿਯੰਤਰਣ ਪਾਇਆ ਜਾ ਸਕੇ ਡੌਕਰ-ਕੰਪੋਜ਼.ਆਈ.ਐਮ.ਐਲ. ਹੋ ਸਕਦਾ ਹੈ ਕਿ ਇਹ ਪ੍ਰਗਟ ਹੋ ਰਿਹਾ ਹੋਵੇ।
