تعارف: ڇو IaC Security هر DevOps ٽيم لاءِ اهم آهي
انفراسٽرڪچر بطور ڪوڊ (IaC) اسان جي ماحول جي تعمير ۽ پيماني تي تبديلي آئي آهي. هڪ واحد سان commit، توهان منٽن ۾ نيٽ ورڪ، ڊيٽابيس، ۽ پوري ايپليڪيشن اسٽيڪ کي ترتيب ڏئي سگهو ٿا. بهرحال، اها ساڳي رفتار توهان جي خلاف ڪم ڪري سگهي ٿي. ٽيرافارم، ڪبرنيٽس، يا ڪلائوڊ فارميشن اسڪرپٽ ۾ غلط ترتيبون اڪثر ڪري پيداوار ۾ تيزيءَ سان سلپ ٿي وينديون آهن روايتي سيڪيورٽي چيڪن جي رد عمل کان. 2024 جي مطابق پالو آلٽو يونٽ 42 ڪلائوڊ ٿريٽ رپورٽ, تقريبن 70 سيڪڙو تنظيمون هيون IaC گهٽ ۾ گهٽ هڪ سيڪيورٽي غلط ترتيب سان ٽيمپليٽ، ۽ انهن مان ڪيترائي مسئلا فوري طور تي استحصال جوڳا هئا. وڌيڪ، 2023 ريڊ هيٽ اسٽيٽ آف ڊيوِسڪ اوپس رپورٽ ڏٺائين 55٪ DevOps ٽيمون مقرر ڪن ٿيون IaC وقف ٿيل سيڪيورٽي جائزي کان سواءِ تبديليون، ماحول ۾ پکڙيل لڪيل ڪمزورين جو خطرو وڌائي ٿو.
اهو ڇو آهي IaC security اهو صرف تعیناتي تي هڪ اضافي قدم کان وڌيڪ آهي. حقيقت ۾، سچ آهي انفراسٽرڪچر جيئن code security مطلب ته توهان جي ڊولپمينٽ ورڪ فلو ۾ سڌو سنئون بهترين طريقن جي تصديق ۽ نفاذ ڪرڻ. اهو خطرناڪ متغيرن کي پڪڙڻ، تمام گهڻي اجازت ڏيندڙ IAM پاليسين، يا کليل سيڪيورٽي گروپن بابت آهي. کان اڳ اهي ڪڏهن به توهان جي ڪلائوڊ اڪائونٽ تائين پهچن ٿا.
صحيح طريقي سان ، IaC سائبر سيڪيورٽي توهان جي سافٽ ويئر ڊولپمينٽ لائف سائيڪل جو حصو بڻجي ويندو آهي (SDLC). هن طريقي سان، توهان جو IaC ڪوڊ کي حقيقي وقت ۾ اسڪين ڪيو ويندو آهي، غلط ترتيبن کي جلد نشان لڳايو ويندو آهي، ۽ محفوظ اصلاحات خودڪار طريقي سان لاڳو ڪري سگهجن ٿيون، بغير پهچائڻ جي سست ڪرڻ جي.
ڪوڊ جي طور تي انفراسٽرڪچر ۾ حقيقي خطرن کي سمجهڻ
جيڪڏهن توهان هن تصور ۾ نوان آهيو، ته اسان جي گائيڊ کي چيڪ ڪريو 'انٽروڊڪشن آف انفراسٽرڪچر ايز ڪوڊ' سيڪيورٽي واري پاسي ۾ غوطه خوري ڪرڻ کان اڳ مڪمل بريڪ ڊائون لاءِ.
انفراسٽرڪچر جي سڀ کان وڏي طاقت، ڪوڊ، رفتار ۽ مستقل مزاجي، ان جي سڀ کان وڏي ڪمزوري پڻ آهي جڏهن سيڪيورٽي کي پڪو نه ڪيو ويندو آهي. ٽيرافارم اسڪرپٽ يا ڪبرنيٽس مينيفيسٽ ۾ هڪ غلط ترتيب ڏنل وسيلو فوري طور تي توهان جي هر ماحول جو حصو بڻجي سگهي ٿو.
غلط ترتيبون نادر ايج ڪيس نه آهن، او ايس ايس پي IaC Security پروجيڪٽ نمايان ڪري ٿو ته حد کان وڌيڪ اجازت ڏيندڙ IAM ڪردار خودڪار تعیناتي ۾ مٿين بار بار ٿيندڙ مسئلن مان هڪ آهن.
مثال: وائلڊ ڪارڊ اجازتن سان ٽيرافارم IAM ڪردار
پهرين نظر ۾، هي شايد "بس ان کي ڪم ڪرڻ" جو هڪ تيز طريقو لڳي سگهي ٿو. جڏهن ته، اهو توهان جي اڪائونٽ ۾ هر شيءِ تائين مڪمل انتظامي رسائي ڏئي ٿو. هڪ ۾ IaC-هلندڙ ڪم جي وهڪري، هي خراب پاليسي سيڪنڊن ۾ سڀني ماحولن ۾ لاڳو ڪري سگهجي ٿي.
مثال: ڪبرنيٽس ڊيپلائيمينٽ پرائيويليجڊ موڊ سان
هي سيٽنگ ڪنٽينرز کي هوسٽ-سطح جي اجازتن سان هلائڻ جي اجازت ڏئي ٿي. نتيجي طور، جيڪڏهن ڪو حملو ڪندڙ پوڊ سان سمجهوتو ڪري ٿو، ته اهي مراعات وڌائي سگهن ٿا ۽ بنيادي نوڊ تي قبضو ڪري سگهن ٿا.
اهي تجريدي خطرا نه آهن، اهي عام غلطيون آهن جيڪي حقيقي پيداوار جي واقعن ۾ ظاهر ٿين ٿيون. ۽ هڪ ڀيرو اهي وصفون توهان جي مکيه شاخ ۾ ضم ٿي وينديون آهن، اهي خودڪار طريقي سان هر مستقبل جي تعیناتي ڏانهن پروپيگنڊه ڪيون وينديون آهن.
چاٻي جو ورانڊو. بغير ڪنهن فعال اسڪيننگ ۽ خودڪار جي guardrails, IaC غلط ترتيبون روايتي رن ٽائم سيڪيورٽي کي نظرانداز ڪندي خاموشي سان پکڙجي وينديون. اوزار.
عمارت IaC توهان جي ورڪ فلو ۾ سائبر سيڪيورٽي
ڪوڊ جي طور تي پنهنجي انفراسٽرڪچر کي محفوظ ڪرڻ ڊيپلائيمينٽ کان اڳ هڪ ڀيرو اسڪين هلائڻ بابت ناهي. اهو ايمبيڊنگ بابت آهي IaC security ساڳئي ورڪ فلوز ۾ جيڪي توهان اڳ ۾ ئي لکڻ، جائزو وٺڻ، ۽ ڪوڊ موڪلڻ لاءِ استعمال ڪندا آهيو. ان جو مطلب آهي ته خطرناڪ ترتيبن کي پڪڙڻ ۾ pull requests، ضم ٿيڻ کان اڳ غير محفوظ تبديلين کي بلاڪ ڪرڻ، ۽ توهان جي CI/CD pipelines.
پالو آلٽو يونٽ 42 ڪلائوڊ ٿريٽ رپورٽ ۾ اهو مليو ته ڪلائوڊ وسيلن جو 80٪ بيان ڪيو ويو آهي IaC ٽيمپليٽس ۾ گهٽ ۾ گهٽ هڪ غلط ترتيب شامل آهي. اڃا به وڌيڪ پريشان ڪندڙ، انهن مان تقريبن اڌ کي اعلي خطري جي طور تي درجه بندي ڪيو ويو، مطلب ته جيڪڏهن انهن کي استعمال ڪيو وڃي ته انهن کي فوري طور تي استعمال ڪري سگهجي ٿو. اهو ڏيکاري ٿو ته ڇو انفراسٽرڪچر جيئن code security توهان جو ڪوڊ ڪڏهن به پيداوار تي اچڻ کان اڳ شروع ڪرڻ جي ضرورت آهي.
سان IaC سائبر سيڪيورٽي ۾ پڪل SDLC، توهان ڪري سگهو ٿا:
- سكين IaC حقيقي وقت ۾ ٽيمپليٽ: IDE ۾ هجڻ دوران غير محفوظ ڊفالٽ، کليل نيٽ ورڪ پورٽ، ۽ ضرورت کان وڌيڪ اجازتن جي سڃاڻپ ڪريو.
- نافذ ڪرڻ guardrails in CI/CD: غير تعميل ڪندڙ سيڪيورٽي گروپن يا عوامي اسٽوريج بڪيٽن سان ڊيپلائيمينٽ کي بلاڪ ڪريو.
- پاليسي-اي-ڪوڊ سان ضم ڪريو فريم ورڪ: پنھنجي ڪري ڏسو IaC سيڪيورٽي بيس لائينز سان اين ايسٽ 800-53 or CIS معيار.
- سپلائي چين جي خطرن کي سڃاڻو: توهان جي ۾ شامل ٿيل خراب ماڊيولز يا بنيادي تصويرن کي سڃاڻو ۽ بلاڪ ڪريو IaC انحصار.
ڦيرائڻ سان IaC چيڪ ڇڏي ويا آهن، توهان هاڻي حقيقت کان پوءِ رن ٽائم الرٽس تي ڀروسو نه ڪري رهيا آهيو. ان جي بدران، توهان پڪ ڪري رهيا آهيو ته صرف محفوظ تعريفون پهرين جڳهه تي پيداوار ۾ اچن، ۽ اهو آهي جتي Xygeni جهڙا اوزار چمڪندا آهن. پاڻ ۾ ڪوشش ڪريو. pipeline, مفت شروع ڪريو ۽ پڪڙيو IaC security ضم ٿيڻ کان اڳ خطرا.
زائيگيني ٽيرافارم اسڪين ڪري ٿو، ڪبرنيٽس، ڪلائوڊ فارميشن، ۽ ٻيا IaC فريم ورڪ سڌو سنئون توهان جي ترقي ۾ ۽ CI/CD ڪم جو وهڪرو. توهان کي فوري موٽ، AI سان هلندڙ خودڪار علاج جون تجويزون، ۽ توهان جي ريپوز ۾ غير معمولي تبديلين کي پڪڙڻ لاءِ انوملي ڊيٽيڪشن ملنديون آهن يا pipeline configs. نتيجي طور، توهان پنهنجي پهچائڻ جي رفتار کي سست ڪرڻ کان سواءِ، غير محفوظ انفراسٽرڪچر کي تعینات ٿيڻ کان روڪيو ٿا.
عام IaC Security ڌمڪيون جيڪي توهان نظرانداز نٿا ڪري سگهو
جيتوڻيڪ هڪ IaC غلط ترتيب هڪ وڏي ڪلائوڊ بريچ لاءِ اسٽيج مقرر ڪري سگهي ٿي. MITRE ATT&CK ڪلائوڊ ميٽرڪس حقيقي دنيا جي حملي آور ٽيڪنڪ کي دستاويز ڪري ٿو جيڪي اڪثر ڪري غير محفوظ يا حد کان وڌيڪ اجازت ڏيندڙ انفراسٽرڪچر سان ڪوڊ جي تعريف طور شروع ٿين ٿيون. هيٺ ڏنل ڪجھ عام، ۽ سڀ کان وڌيڪ خطرناڪ، خطرا آهن، انهي سان گڏ ڪيئن زائيگيني انهن کي ڳولي ٿو ۽ بلاڪ ڪري ٿو کان اڳ اهي مقرر ڪيا ويا آهن.
| وجهه | حقيقي دنيا جو مثال | ميٽر اي ٽي ٽي ۽ سي ڪي ميپنگ | زائيگيني ان کي ڪيئن ڳولي ٿو ۽ بلاڪ ڪري ٿو |
|---|---|---|---|
| حد کان وڌيڪ اجازت ڏيندڙ IAM پاليسيون | هڪ ٽيرافارم اسڪرپٽ جيڪا گرانٽ ڏئي ٿي *:* AWS ڪردار لاءِ اجازتون، مؤثر طريقي سان ان کي سڀني خدمتن لاءِ منتظم بڻائيندي. | T1078 - صحيح اڪائونٽس | اسڪينس IaC وائلڊ ڪارڊ IAM اجازتن لاءِ، اوور ايڪسپوز ٿيل ڪردارن کي نشانو بڻائي ٿو، ۽ آٽو-ريميڊيئيشن سان گهٽ ۾ گهٽ مراعات واريون پاليسيون تجويز ڪري ٿو. |
| عوامي طور تي رسائي لائق اسٽوريج | هڪ S3 بالٽ جنهن سان ٺهيل آهي public-read ACL، حساس لاگ کي انٽرنيٽ تي ظاهر ڪري رهيو آهي. | T1530 - ڪلائوڊ اسٽوريج آبجيڪٽ مان ڊيٽا | اڳ ۾ ٽيرافارم، ڪلائوڊ فارميشن، ۽ اي آر ايم ٽيمپليٽس ۾ غير محفوظ اسٽوريج ترتيبن کي ڳولي ٿو commit يا پي آر ضم. |
| هارڊ ڪوڊ ٿيل راز IaC | AWS رسائي ڪيز هڪ Terraform variables فائل ۾ شامل ڪيون ويون آهن commitگٽ ڏانهن موڪليو ويو. | T1552 - غير محفوظ سندون | رازن جي اسڪيننگ کي هلائي ٿو IaC فائلون، فراهم ڪندڙ سان تصديق ڪري ٿو، ۽ سمجھوتي ڪيل سندون خودڪار طريقي سان رد ڪري ٿو. |
| ڊفالٽ سيڪيورٽي گروپ رولز | سيڪيورٽي گروپ سان 0.0.0.0/0 پورٽ 22 (SSH) تائين ان بائونڊ رسائي، جيڪا وحشي قوت جي حملي جي اجازت ڏئي ٿي. | T1021 - ريموٽ سروسز | تمام گهڻو وسيع نيٽ ورڪ قاعدن کي نشانو بڻائي ٿو ۽ محفوظ CIDR رينجز يا VPN-صرف رسائي جي سفارش ڪري ٿو. |
| غير انڪرپٽ ٿيل ڊيٽا آرام تي | هڪ ايزور ڊسڪ جيڪا هڪ ARM ٽيمپليٽ ۾ انڪرپشن سيٽنگن کان سواءِ بيان ڪئي وئي آهي. | T1602 - ڊيٽا انڪرپٽ ٿيل | گم ٿيل انڪرپشن جهنڊن ۽ خودڪار اپڊيٽس جي سڃاڻپ ڪري ٿو IaC فراهم ڪندڙ-مقامي انڪرپشن کي فعال ڪرڻ لاءِ ٽيمپليٽ. |
| غير محفوظ ڪنٽينر ترتيبون | ڪبرنيٽس ڊپلائيمينٽ YAML سان privileged: true ۾ securityContext. | T1613 - ڪنٽينر ايڊمنسٽريشن ڪمانڊ | اسڪين K8s خاص ڪنٽينرز لاءِ ظاهر ٿئي ٿو ۽ بلاڪ ضم ٿين ٿا جيستائين محفوظ رن ٽائم پاليسيون سيٽ نه ٿين. |
اهو ڇو ضروري آهي:
جيئن MITRE ATT&CK ڪلائوڊ ميٽرڪس واضح ڪري ٿو، حملي آور اڪثر ڪري انهن ڪمزورين جو فائدو وٺندا آهن. هڪ ڀيرو اهي اندر اچي ويندا آهن، ته پوءِ واڌ تيز هوندي آهي. نتيجي طور، محفوظ ترين حڪمت عملي اها آهي ته توهان جي دوران انهن مسئلن کي ڳوليو وڃي ۽ انهن کي درست ڪيو وڃي. SDLC، ڪلائوڊ ۾ مهيا ٿيڻ کان گهڻو اڳ. زائيگيني غير محفوظ کي بلاڪ ڪندي هن شفٽ-ليفٽ ماڊل کي لاڳو ڪري ٿو IaC وصفون تي commit يا پي آر، دير سان اسٽيج رن ٽائم ڳولڻ تي ڀروسو ڪرڻ جي بدران.
زائيگيني ڪيئن انفراسٽرڪچر کي لاڳو ڪري ٿو جيئن Code Security
ڪوڊ جي طور تي انفراسٽرڪچر کي محفوظ ڪرڻ صرف مسئلن کي ڳولڻ بابت ناهي، اهو انهن کي جلدي پڪڙڻ، انهن کي تيزيءَ سان حل ڪرڻ، ۽ پڪ ڪرڻ بابت آهي ته اهي ڪڏهن به پيداوار تائين نه پهچن. زائيگيني سيڪيورٽي کي سڌو سنئون توهان جي ترقي جي ڪم جي وهڪري ۾ شامل ڪري ٿو، تنهن ڪري IaC تحفظ خودڪار طريقي سان ٿيندو آهي.
- هر اسڪين ڪريو commit ۽ pull request خطرن کي ڳولڻ لاءِ ان کان اڳ جو اهي توهان جي مکيه شاخ ۾ لهن.
- اسپاٽ ايڪسپوزڊ سندون، غير محفوظ ترتيبون، ۽ غير تصديق ٿيل ماڊلز جتي توهان ڪم ڪندا آهيو.
- سماج IaC اسڪيننگ سان SAST, SCA، ۽ Guardrails مڪمل لاءِ pipeline ڪوريج.
- اي آءِ سان هلندڙ آٽو ريميڊيئيشن لاڳو ڪريو خطرناڪ ترتيبن کي فوري طور تي درست ڪرڻ لاءِ، ڪنهن به دستي ٻيهر ڪم جي ضرورت ناهي.
زائيگيني سان، توهان کي صرف اهي غلط ترتيبون نه ملنديون جيڪي توهان لاڳو ڪندا آهيو IaC security پاليسيون حقيقي وقت ۾، سڌو سنئون توهان جي IDE ۾ ۽ CI/CD pipelines.
حقيقي دنيا جو مثال: هڪ خطري کي بلاڪ ڪرڻ IaC تعیناتي کان اڳ تبديلي ڪريو
فرض ڪريو ته هڪ ڊولپر دنيا لاءِ پورٽ 22 کولڻ لاءِ ٽيرافارم اسڪرپٽ کي زور ڏئي ٿو:
🚨 خطرناڪ IAM پاليسي - گرانٽس *:* سڀني خدمتن تائين مڪمل رسائي
هن قسم جي ترتيب هڪ ڪلاسيڪل آهي IaC security ڳاڙهو جهنڊو. پيداوار ۾، اهو ڪٿي به وحشي قوت جي حملي جي اجازت ڏيندو.
هتي زائيگيني جي جاءِ تي ڇا ٿيندو آهي:
- تي ڳولڻ commit: اسان انفراسٽرڪچر جيئن code security چيڪ توهان جي پي آر ۾ خودڪار طريقي سان هلندا آهن.
- فوري موٽ: خطرناڪ
0.0.0.0/0خطري جي واضح وضاحت سان حد کي نشان لڳايو ويو آهي. - خودڪار علاج: زائيگيني هڪ قابل اعتماد IP رينج تائين رسائي کي محدود ڪرڻ يا هڪ محفوظ بيسٽيشن هوسٽ استعمال ڪرڻ جو مشورو ڏئي ٿو.
- نافذ ڪرڻ: هن CI/CD گارڊ ريل ضم کي روڪي ٿو جيستائين تبديلي پاليسي سان ملن.
ته آهي IaC سائبر سيڪيورٽي عمل ۾، غلط ترتيب کي توهان جي پيداوار جي ماحول ۾ ڪڏهن به اچڻ کان روڪڻ.
ڪارروائي ڪريو: مضبوط انفراسٽرڪچر ٺاهيو جيئن Code Security
توهان جي حفاظت ڪرڻ بنيادي ڍانچي جي طور تي ڪوڊ هاڻي اختياري ناهي. IaC security سڌو سنئون توهان جي ڪلائوڊ سيڪيورٽي پوزيشن کي شڪل ڏئي ٿو، ۽ ٽيرافارم، ڪبرنيٽس، يا ڪلائوڊ فارميشن ۾ هڪ غلطي توهان جي ماحول کي حملي آورن جي سامهون آڻي سگهي ٿي.
ايمبيڊنگ ڪندي انفراسٽرڪچر جيئن code security توهان جي ڪم جي وهڪري ۾، توهان:
- پيداوار تائين پهچڻ کان اڳ غلط ترتيبن کي پڪڙيو.
- انهي سان گڏ، پنهنجي ڪلائوڊ ماحول ۾ حملي جي مٿاڇري کي گهٽايو.
- اي آءِ سان هلندڙ اصلاحن ۽ خودڪار نفاذ سان وقت بچايو.
زائيگيني سان، IaC سائبر سيڪيورٽي هڪ متحد سائبر سيڪيورٽي پليٽ فارم جو حصو بڻجي ٿو جيڪو توهان جي ڪوڊ، انحصار کي ڍڪيندو آهي، pipelines، ڪنٽينر، ۽ SCM - سڀ هڪ جاءِ تي.
