Что такое руткит?
Руткит — это уже не просто низкоуровневое вредоносное ПО. По своей сути, он скрытен. вредоносное ПО, которое предоставляет несанкционированный доступ Скрывая при этом своё существование. В традиционных контекстах руткиты располагаются в пространстве ядра или системных службах. Однако сегодня они также присутствуют в репозиториях, системах непрерывной интеграции и манифестах пакетов, скрываясь на виду, нарушая целостность кода и заражая системы сборки.
От системных руткитов до репозиторных руткитов
Раньше системные инженеры корпели над руткитами ядра. Они давали полный контроль над системой, перехватывая системные вызовы, скрывая процессы и нарушая целостность кода. Теперь представьте себе ситуацию, ориентированную на разработчика: злоумышленник внедряет руткит в вашу систему. Git РЕПО or дерево зависимостейЭтот руткит репозитория представляет собой код, который манипулирует результатами сборки или проникает через бэкдоры, становясь частью артефактов вашего пакета ещё до того, как система их запустит. Руткиты проникают в исходный код, зависимости и CI/CD потоки.
Как руткиты прячутся в кодовых базах и зависимостях
Давайте рассмотрим конкретные векторы атак руткитов, за которыми разработчикам следует следить:
- Запутанный или вводящий в заблуждение commits
Представьте себе, commit , который говорит «исправьте опечатку», но на самом деле внедряет загрузчик, который расшифровывает вредоносные данные во время выполнения. Обнаружение руткитов затруднено, когда commit сообщения скрывают намерения. - Измененные или замаскированные библиотеки
Обычная служебная функция заменяется версией с тонким бэкдором. Она проходит тесты, но записывает секретные данные на удалённый сервер после окончания рабочего дня. Целостность кода нарушена, хотя библиотека выглядит знакомой. - Скомпрометированные сторонние пакеты и транзитивные зависимости
Вы установили lib-crypto@2.0.1; вверх по течению, кто-то отравил версию 2.0.0 с вредоносным ПО. Теперь ваш pipeline случайно извлекает руткит, или, что еще хуже, ваш файл блокировки сбился, и вы извлекаете зараженный код. - Спящий код и логические бомбы
Код остаётся безвредным в течение недель или месяцев, а затем просыпается. Например:
Сегодня тесты проходят успешно, и вы не замечаете нарушения целостности кода, пока не станет слишком поздно.
Почему обнаружение руткитов важно в DevOps
Руткиты в вашем pipeline и репозитории ставят под угрозу реальные рабочие процессы разработчиков:
- Поддельные сборки, которые остаются незамеченными: Если руткит hooks в ваш скрипт сборки, скажем, вредоносный после установки or setup.py, ваш CI пройдет проверку, и вы отправите скомпрометированные артефакты, не зная об этом.
- Непоследовательные или невоспроизводимые сборки: Руткит может привести к различиям в сборках на компьютерах разработчиков и агентах непрерывной интеграции. Это различие является тревожным сигналом для целостности кода, но только если вы её проверяете.
- Постоянный компромисс между выпусками: После внедрения он может пережить слияния веток, выборочные изменения и будущие релизы. Хуже того, он может внедриться в обновления, нарушив вашу цепочку поставок.
- Pipeline отравление и боковое перемещение внутри среды разработки: Руткит может распространяться через конфигурации непрерывной интеграции, общие среды выполнения и компьютеры разработчиков с общими учётными данными. Целостность кода нарушается не только в коде, но и в целой среде.
Практическое обнаружение руткитов в Pipelines
Ниже приведены полезные и удобные для разработчиков методы, которые помогут вам повысить уровень обнаружения руткитов:
• Проверка хеша для критических файлов и Зависимости
Вычислите SHA-256 (или аналогичный) для ключевых файлов, таких как требования.txt, Пакет-lock.jsonили скрипты сборки верхнего уровня:
Любое изменение в этих файлах свидетельствует о возможном вредоносном дрейфе.
• SBOM Проверка (спецификации программного обеспечения)
Создать SBOM С помощью таких инструментов, как Syft или SPDX. Отслеживайте, какие именно зависимости (и версии) присутствуют в вашей сборке. Сравните SBOMs во всех сборках для обнаружения неожиданных или вредоносных дополнений.
• Подпись commits и проверка подписи
обеспечивать соблюдение мерзавец commit -S и проверьте подписи в CI:
Новый, неподписанный или подозрительно подписанный commit может быть источником зондирования руткита.
• Обнаружение аномалий на основе поведения во время сборки или выполнения
Оснастите свою сборку профилированием, чтобы отследить необычное поведение: например, неожиданные сетевые вызовы во время Установка npm or пип установитьили изменения файлов в защищенных каталогах:
Неожиданный исходящий трафик во время установки может быть этапом загрузки руткита.
• Сканирование на наличие запутанных или высокоэнтропийных сегментов кода
Используйте инструменты, которые отмечают подозрительную энтропию кода или не-ASCII/трудночитаемые разделы в pull requests. Например, интегрируйте сканирование для Base64 Блобы или странное использование exec/eval. Выделенный код может быть спящим загрузчиком или зашифрованной полезной нагрузкой.
Поддержание целостности кода по всей цепочке поставок
В долгосрочной перспективе вам понадобятся методы, которые сделают обнаружение руткитов вашей второй натурой:
- Закрепление зависимостей и файлы блокировки: Всегда commit файлы блокировки (package-lock.json, requirements.lock, и т.д.). Закрепите версии, чтобы случайно не извлечь мутировавшие транзитивные зависимости и не подвергнуть риску внедрения руткита.
- Криптографическое подписание релизов и пакетов: Подпишите свои артефакты сборки с помощью GPG или аналогичного инструмента. Потребители проверяют подписи; если руткит подделал ваш релиз, проверка не пройдёт, и цепочка доверия будет разорвана.
- Регулярный обзор сторонние и транзитные изменения: Используйте инструменты мониторинга зависимостей, которые отмечают новые или изменённые зависимости. Сочетайте с SBOM diffs для обнаружения внедренных или замененных модулей.
- Постоянный мониторинг дрейфа зависимости или несанкционированные изменения: Автоматизиция SBOM Изменения в вашей системе непрерывной интеграции: при появлении непредвиденных зависимостей сборка будет сбоить. Отслеживайте изменение зависимостей с течением времени и оповещайте, если что-то отклоняется от ожидаемого состояния, например, руткит. commit или замененная зависимость.
Заключение
Руткиты больше не ограничиваются системными администраторами и ядрами; они проникли в самое сердце разработки: ваши репозитории, сборки и непрерывную интеграцию. pipelines. Разработчики должны рассматривать обнаружение руткитов и целостность кода как основные задачи безопасности приложений. Используя проверку хэша, SBOM аудит, подписанный commits, обнаружение аномалий поведения и гигиена зависимостей позволяют создать практическую защиту от руткитов, живущих в коде.
Инструмент как Ксигени, ориентированный на усиление защиты цепочки поставок программного обеспечения, может помочь командам DevSecOps поддерживать целостность кода и обнаруживать угрозы руткитов на ранних этапах рабочего процесса. Это важный инструмент для обеспечения безопасности, ориентированной на разработчиков, помогающий предотвратить распространение угроз до того, как они распространятся по вашему репозиторию, сборке или рабочей среде.
