நீங்கள் யோசிக்கிறீர்கள் என்றால் பாதுகாப்பு தவறான உள்ளமைவு என்றால் என்ன?நீங்கள் தனியாக இல்லை. ஒரு பொதுவான பலவீனமாக வகைப்படுத்தப்படும் இது, OWASP பாதுகாப்பு தவறான உள்ளமைவுஇது, கண்டெய்னர்கள் முதல் கிளவுட் சேவைகள் வரை, ஏறக்குறைய அனைத்து வகையான தொழில்நுட்பக் கட்டமைப்புகளையும் பாதிக்கிறது. பாதுகாப்பு தவறான உள்ளமைவு பாதிப்பு பாதுகாப்பற்ற இயல்புநிலைகள் அல்லது வெளிப்படையான அமைப்புகளுடன் கணினிகள், சேவைகள் அல்லது குறியீடுகள் பயன்படுத்தப்படும்போது இது நிகழ்கிறது. அது திறந்த நிர்வாகப் பலகமாக இருந்தாலும், இயல்புநிலை நற்சான்றுகளாக இருந்தாலும், அல்லது தவறாக உள்ளமைக்கப்பட்ட S3 பக்கெட்டாக இருந்தாலும், இந்த இடைவெளிகள் தாக்குபவர்களுக்கு ஒரு தெளிவான நுழைவுப் புள்ளியை அளிக்கின்றன.
நவீன மென்பொருள் உருவாக்கத்தில், பாதுகாப்பு தவறான உள்ளமைவு என்பது மிகவும் கவனிக்கப்படாத, ஆனால் பரவலாகக் காணப்படும் பாதிப்புகளில் ஒன்றாக உள்ளது. பாதுகாப்பு தவறான உள்ளமைவு என்றால் என்ன என்று நீங்கள் எப்போதாவது கேட்டிருந்தாலோ அல்லது முதல் 10 பட்டியலிலுள்ள OWASP பாதுகாப்பு தவறான உள்ளமைவுப் பகுதியைக் கடந்து சென்றிருந்தாலோ, அதை இன்னும் உன்னிப்பாகக் கவனிக்க வேண்டிய நேரம் இது. வெளிப்படுத்தப்பட்ட குபெர்னெட்டஸிலிருந்து dashboardகிளவுட் சூழல்களில் இயல்புநிலை நிர்வாகி நற்சான்றுகளைப் பயன்படுத்தும்போது, இந்த ஆபத்து பல டெவலப்பர்கள் உணர்வதை விட மிகவும் பொதுவானது.
வலுப்படுத்தப்பட்ட நிரல் இருந்தபோதிலும், தவறாக உள்ளமைக்கப்பட்ட ஒரு சேவை, வரம்பு மீறிய தாராளம் கொண்ட S3 பக்கெட், அல்லது மறக்கப்பட்ட பிழைதிருத்தப் பயன்முறை ஆகியவை முக்கியமான தரவுகளை வெளிப்படுத்தலாம் அல்லது தாக்குபவர்களுக்கு ஒரு வழியைத் திறந்துவிடலாம். இந்தச் சிக்கல்கள் வெறும் கோட்பாட்டு ரீதியானவை அல்ல; உண்மையான தரவு மீறல்கள் பெரும்பாலும் அடிப்படை உள்ளமைவுத் தவறுகளிலிருந்தே உருவாகின்றன. CI/CD pipelines, Dockerfiles, அல்லது infrastructure-as-code டெம்ப்ளேட்கள்.
இந்தப் பதிவில், OWASP கட்டமைப்பில் பாதுகாப்பு தவறான உள்ளமைவு ஏன் இன்னும் முதன்மையான அச்சுறுத்தல்களில் ஒன்றாக உள்ளது என்பதைப் பிரித்து விளக்குவோம், நடைமுறையில் அது எப்படி இருக்கும் என்பதைக் காண்பிப்போம், மேலும் உங்கள் செயல்பாட்டு வேகத்தைக் குறைக்காமல் அதைத் தடுப்பதற்கான நடைமுறை வழிகளையும் வழங்குவோம்.
பாதுகாப்பு தவறான உள்ளமைவு என்றால் என்ன?
பாதுகாப்பற்ற இயல்புநிலை அமைப்புகள், தேவையற்ற அம்சங்கள் அல்லது வரம்பு மீறிய அணுகல் கட்டுப்பாடுகளுடன் கணினிகள், சேவைகள் அல்லது பயன்பாடுகள் நிறுவப்படும்போது பாதுகாப்புத் தவறான உள்ளமைவு ஏற்படுகிறது. நீங்கள் எப்போதாவது ஒரு டாக்கர் கண்டெய்னரைப் பாதுகாப்பற்ற நிலையில் விட்டிருந்தால், commitடெட் ஏ .env தவறுதலாக கோப்பைத் திருத்தியிருந்தாலோ, அல்லது உற்பத்திச் சூழலில் பிழைத்திருத்தப் பயன்முறையை முடக்க மறந்திருந்தாலோ, இந்த அபாயம் செயல்படுவதை நீங்கள் பார்த்திருப்பீர்கள்.
எளிமையாகச் சொல்வதென்றால், பாதுகாப்பு தவறான உள்ளமைவு என்றால் என்ன? உங்கள் சூழல் சரியாகச் செயல்பட்டாலும், அது தவறாகப் பயன்படுத்தப்படுவதற்கு முழு வாய்ப்பளிக்கும் நிலைதான் அது.
OWASP பாதுகாப்பு தவறான உள்ளமைவு பின்வரும் நிலையில் உள்ளது: A05 உள்ள OWASP முதல் 10அதற்குத் தகுந்த காரணமும் உண்டு. இது, பொதுவில் அமைக்கப்பட்ட கிளவுட் பக்கெட்டுகள், விடுபட்ட பாதுகாப்பு ஹெடர்கள், திறந்த நிர்வாகப் பலகங்களைக் கொண்ட காலாவதியான லைப்ரரிகள் எனப் பலதரப்பட்ட சூழ்நிலைகளை உள்ளடக்கியுள்ளது.
இதைக் கவனிக்காமல் விடுவது எவ்வளவு எளிது என்பதுதான் இதை மிகவும் ஆபத்தானதாக ஆக்குகிறது. மென்பொருள் உருவாக்குநர்கள் பாதுகாப்பான குறியீட்டை எழுதுவதில் கவனம் செலுத்துகிறார்கள், ஆனால் உள்ளமைவு கோப்புகள், CI/CD மாறிகள், கண்டெய்னர் அனுமதிகள் மற்றும் வெளிப்படுத்தப்பட்ட போர்ட்கள் ஆகியவையும் அதே அளவு முக்கியமானவை.
இதோ சில நிஜ உலக உதாரணங்கள்:
- அங்கீகாரமின்றிப் பொதுவில் அணுகக்கூடிய ஒரு AWS S3 பக்கெட்
- ஒரு குபெர்னெட்டஸ் dashboard இணையம் வழியாக எந்தவிதமான தடையுமின்றி அணுகக்கூடியது login
- ஜென்கின்ஸ் இயல்புநிலை கடவுச்சொற்களுடன் கட்டமைக்கப்பட்டது
- உற்பத்தி நிலையில் உள்ள விரிவான பிழைப் பக்கங்கள் ஸ்டேக் ட்ரேஸ்களை வெளிப்படுத்துகின்றன.
தவறான உள்ளமைவுகள் அமைதியான அச்சுறுத்தல்கள். அவை உங்கள் கட்டமைப்பைச் சிதைப்பதில்லை, யாராவது அவற்றைக் கண்டுபிடிக்கும் வரை பின்னணியில் காத்திருக்கும்.
பாதுகாப்பு தவறான உள்ளமைவு ஏன் ஒரு உண்மையான பாதிப்பாக உள்ளது
மேலோட்டமாகப் பார்க்கும்போது, ஒரு சிறிய தவறான உள்ளமைவு அச்சுறுத்தலாகத் தோன்றாமல் இருக்கலாம். இருப்பினும், ஒரு பாதுகாப்பு தவறான உள்ளமைவு பாதிப்பு குறிப்பாக, சேவைகள் ஒன்றோடொன்று இணைக்கப்பட்டிருக்கும் கிளவுட்-நேட்டிவ் மற்றும் கண்டெய்னரைஸ்டு சூழல்களில், இது விரைவாக ஒரு முழு அளவிலான பாதுகாப்பு மீறலாக மாறக்கூடும்.
தாக்குபவர்கள் பெரும்பாலும் பின்வருவனவற்றைக் கண்டறிவார்கள்:
- கிபானா அல்லது ஜென்கின்ஸ் போன்ற டெவலப்பர் கருவிகளை வெளிப்படுத்தும் போர்ட்களைத் திறக்கவும்
- குறுக்கு-தள ஸ்கிரிப்டிங்கை (XSS) அனுமதிக்கும் தவறாக உள்ளமைக்கப்பட்ட ஹெடர்கள்
- பொது கிளவுட் சொத்துக்கள் (எ.கா. S3, GCS) யார் வேண்டுமானாலும் "படிக்க/எழுத" என அமைக்கப்பட்டுள்ளன.
- கசிவு
.gitகோப்பகங்கள் அல்லது வெளிப்படுத்தப்பட்டவை.envGitHub திட்டங்களில் உள்ள கோப்புகள்
மேலும், அவர்கள் உங்கள் பயன்பாட்டுத் தர்க்கத்தைச் சுரண்ட வேண்டிய அவசியம்கூட இல்லை. மாறாக, அவர்கள் உங்கள் இயல்புநிலைகள், நீங்கள் மறந்த குறியீடுகள் அல்லது திருத்தப்படாத நிர்வாகப் பலகங்களைச் சார்ந்திருக்கிறார்கள்.
வழங்கிய 2024 அறிக்கை ஐபிஎம் எக்ஸ்-ஃபோர்ஸ் அதை கண்டுபிடித்தாயிற்று தவறான உள்ளமைவுகளால் அனைத்து கிளவுட் பாதுகாப்புச் சம்பவங்களில் 25% ஏற்பட்டன.இதனால், அடையாள முறைகேடுகளுக்கு அடுத்தபடியாக, இது இரண்டாவது மிகவும் பொதுவான கிளவுட் அச்சுறுத்தல் வகையாக அமைகிறது.
இதை ஒரு விரைவான ஒப்பீட்டுடன் விரிவாகப் பார்ப்போம்:
| அமைக்கிறது | இயல்பாகவே பாதுகாப்பற்றது | வலுவூட்டப்பட்ட கட்டமைப்பு |
|---|---|---|
| நிர்வாக குழு | இல்லாமல் இயக்கப்பட்டது login | சரிபார்க்கப்பட்ட மற்றும் ஐபி-கட்டுப்படுத்தப்பட்ட |
| S3 பக்கெட் | பொது அணுகல் | IAM விதிகளுடன் தனிப்பட்டது |
| டோக்கர்ஃபைல் | ரூட் பயனரைப் பயன்படுத்துகிறது | ரூட் அல்லாத பயனராக இயங்குகிறது |
| ஜென்கின்ஸ் | இயல்புநிலை நற்சான்றிதழ்கள் | அமல்படுத்தப்பட்ட RBAC மற்றும் டோக்கன்கள் |
இந்தச் சிக்கல்கள் வழக்கமான சோதனைகளின் போது பெரும்பாலும் கண்டறியப்படாமல் போவதால், அவை தாக்குதல் பரப்பின் ஒரு பகுதியாக மாறி, யாராவது அவற்றைக் கண்டுபிடிக்கும் வரை உங்கள் உள்கட்டமைப்பில் அமைதியாக அமர்ந்திருக்கும். அதனால்தான் இதற்கு சிகிச்சை அளிப்பது... பாதுகாப்பு தவறான உள்ளமைவு ஒரு உண்மையான பாதுகாப்பு குறைபாட்டைக் கண்டறிவது நவீன DevOps மற்றும் AppSec குழுக்களுக்கு இன்றியமையாதது.
டெவலப்பர்கள் அடிக்கடி தவறவிடும் பாதுகாப்பு தவறான உள்ளமைவு பாதிப்பு எடுத்துக்காட்டுகள்
அனுபவம் வாய்ந்த டெவலப்பர்கள் கூட பாதுகாப்பு தவறான உள்ளமைவுகளைக் கண்டுகொள்வதில்லை; அவர்கள் அதைப் பொருட்படுத்தாததால் அல்ல, மாறாக இயல்புநிலை அமைப்புகள் பெரும்பாலும் சரியாகச் செயல்படுவதால்தான். நன்றாக இருக்கிறதுநீங்கள் நினைப்பதை விட அடிக்கடி தயாரிப்புச் சூழலில் புகுந்துவிடும் உதாரணங்கள் கீழே கொடுக்கப்பட்டுள்ளன:
கண்டெய்னர்கள் மற்றும் டாக்கர்ஃபைல்களில் பாதுகாப்பு தவறான உள்ளமைவு
- இயங்கும் நிலையில்
rootசிறப்புரிமை இல்லாத பயனருக்குப் பதிலாக - உள் போர்ட்களை வெளிப்படுத்துதல்
Dockerfileordocker-compose.yml - சுகாதாரச் சோதனை முனையங்களைப் பாதுகாப்பற்றதாக விட்டுவிடுதல்
கிளவுட் பாதுகாப்பு தவறான உள்ளமைவு, சேமிப்பகம் மற்றும் உள்கட்டமைப்பில் உள்ள பாதிப்புகள்
- S3 பக்கெட் “public-read” அல்லது “public-write” அனுமதிகளுடன்
- தவறாக உள்ளமைக்கப்பட்ட IAM மூலம் வெளிப்படுத்தப்பட்ட GCP பக்கெட்டுகள் அல்லது Azure பிளாப்கள்
- Terraform அணுகல் கட்டுப்பாடுகள் அல்லது குறியாக்கங்கள் இல்லாத கோப்புகள்
CI/CD pipeline பாதுகாப்பு தவறான உள்ளமைவினால் ஏற்படும் சிக்கல்கள்
- ஜென்கின்ஸ் அல்லது GitLab அநாமதேய அணுகல் இயக்கப்பட்ட CI
- சாதாரண உரையில் சேமிக்கப்பட்ட இரகசியங்கள் pipeline உள்ளமைவுகளைப்
- உள் பாதைகளை வெளிப்படுத்தும் சோதனை பாதுகாப்பு அறிக்கைகள் அல்லது குறியீடு ஸ்கேனர்கள்
பொதுவான வலைச் செயலி பாதுகாப்பு தவறான உள்ளமைவு எடுத்துக்காட்டுகள்
- பிழைத்திருத்த முறை இயக்கப்பட்டது குடுவை, டான்ஜோ, அல்லது எக்ஸ்பிரஸ்
- ஸ்டேக் ட்ரேஸ்கள் அல்லது சூழல் விவரங்களை வெளிப்படுத்தும் விரிவான பிழைச் செய்திகள்
- HTTP பாதுகாப்பு ஹெடர்கள் விடுபட்டுள்ளன (
X-Content-Type-Options,Strict-Transport-Security, முதலியன)
மேலும், இவை வெறும் தவறுகள் மட்டுமல்ல, இவை கணிக்கக்கூடிய நுழைவுப் புள்ளிகளாகும். தாக்குபவர்கள் இவற்றைச் சார்ந்திருக்கிறார்கள்: தானியங்கி ஸ்கேனர்கள் இந்தக் குறைபாடுகளைத் துல்லியமாகக் கண்டறிய.
அது அணுகக்கூடியதாகவும் தவறாக உள்ளமைக்கப்பட்டதாகவும் இருந்தால், அது பாதிப்புக்குள்ளாகக்கூடியது.
DevOps-இல் பாதுகாப்பு தவறான உள்ளமைவு பாதிப்புகளைத் தடுப்பது எப்படி
தடுத்தல் பாதுகாப்பு தவறான உள்ளமைவு இது புதிய கருவிகளைச் சேர்ப்பதைப் பற்றியது அல்ல. இது, மேம்பாட்டுச் சூழல் முதல் உற்பத்திச் சூழல் வரை, ஒவ்வொரு சூழலிலும் பாதுகாப்பான உள்ளமைப்பை இயல்புநிலையாக மாற்றுவதைப் பற்றியது. அதைச் செய்வதற்கான வழி இதோ:
1. ஆரம்பத்திலேயே இயல்புநிலைகளை வலுப்படுத்துங்கள்
உங்கள் Dockerfiles, Helm charts மற்றும் Terraform scripts ஆகியவற்றில் பாதுகாப்பான அமைப்புகளுடன் தொடங்குங்கள். முற்றிலும் தேவைப்பட்டால் தவிர, 0.0.0.0 இல் சேவைகளை வெளிப்படுத்துவதைத் தவிர்க்கவும். குறியீட்டைப் பதிவேற்றுவதற்கு முன், மாதிரி நற்சான்றிதழ்கள், தற்காலிக இரகசியங்கள் மற்றும் சோதனை வழித்தடங்களை அகற்றவும்.
2. அணுகலை முடக்குதல்
எப்போதும் அங்கீகாரம் மற்றும் பங்கு அடிப்படையிலான அணுகல் கட்டுப்பாட்டை (RBAC) அமல்படுத்துங்கள். உங்கள் CI கருவி அல்லது நிர்வாகி dashboard இணையத்தில் வெளிப்படுத்தப்பட வேண்டிய அவசியமில்லை, IP அனுமதிப் பட்டியல்கள் அல்லது VPN வழியாக அணுகலைக் கட்டுப்படுத்தவும்.
3. உள்ளமைவு கோப்புகளை தானாகவே ஸ்கேன் செய்யவும்
பகுப்பாய்வு செய்யக்கூடிய கருவிகளைப் பயன்படுத்தவும் IaC - குறியீட்டாக உள்கட்டமைப்பு, ஹெல்ம் சார்ட்ஸ் மற்றும் டாக்கர்ஃபைல்ஸ் போது pull requestsஉங்கள் பயன்பாட்டுக் குறியீட்டை ஆய்வு செய்வது எவ்வளவு முக்கியமோ, அதே அளவு உங்கள் உள்ளமைவின் நிலையான பகுப்பாய்வும் முக்கியமானது.
4. இரகசியங்களைப் பாதுகாப்பாக நிர்வகிக்கவும்
அணுகல் சான்றுகளை உங்கள் நிரல் அல்லது சூழல் கோப்புகளில் அல்லாமல், ஒரு இரகசிய மேலாளரில் சேமிக்கவும். மேலும், தவறான பயன்பாட்டைக் கண்டறிய, இரகசியங்களை அவ்வப்போது மாற்றி, அணுகல் பதிவுகளைத் தணிக்கை செய்யவும்.
5. அளவுகோல்களுடன் ஒப்பிட்டுச் சரிபார்க்கவும்
போன்ற அளவுகோல்களைப் பயன்படுத்தவும் CIS, NIST, மற்றும் OpenSSF உங்கள் திட்டங்களைச் சரிபார்க்க மதிப்பெண் அட்டைகள் மற்றும் pipelineபொதுவான தவறான உள்ளமைவுக் குறைபாடுகளைக் குறிக்கிறது.
6. தானியங்குபடுத்துங்கள் Guardrails
கைமுறை ஆய்வுகளைச் சார்ந்திருப்பதற்குப் பதிலாக, தானியங்கு முறைகள் மூலம் பாதுகாப்பான உள்ளமைவுகளை உறுதிப்படுத்தவும். CI/CD guardrailsஉதாரணமாக, பொது கிளவுட் வளங்கள் உங்கள் கொள்கைகளுக்கு இணங்காதபோது உருவாக்கங்களைத் தோல்வியடையச் செய்யுங்கள்.
பாதுகாப்பான இயல்புநிலைகள், தானியக்கம் மற்றும் சரிபார்ப்பு ஆகியவை ஒரு பகுதியாக இருக்கும்போது pipelineஇதனால், தவறான உள்ளமைவு அபாயங்கள் கணிசமாகக் குறைகின்றன, மேலும் பாதுகாப்பாக இருப்பதற்காக டெவலப்பர்கள் தங்கள் வேகத்தைக் குறைக்க வேண்டியதில்லை.
பாதுகாப்பு தவறான உள்ளமைவைத் தடுக்க Xygeni-ஐப் பயன்படுத்தவும் CI/CD Pipelines
பாதுகாப்பு தவறான உள்ளமைவு என்பது மிகவும் பொதுவான, கவனிக்கப்படாத பாதிப்புகளில் ஒன்றாகும், ஆனால் Xygeni அதை நீங்கள் தானாகவே கண்டறியவும், சரிசெய்யவும், தடுக்கவும் கூடிய ஒன்றாக மாற்றுகிறது.
தவறான உள்ளமைவுகள் உற்பத்தி நிலையை அடைவதற்கு முன்பே அவற்றை DevOps குழுக்கள் தடுக்க Xygeni எவ்வாறு உதவுகிறது என்பது இங்கே:
1. IaC Security நிகழ்நேரத்தில் ஸ்கேன் செய்தல்
சைஜெனி ஸ்கேன்கள் உங்கள் Terraform, Helm, Kubernetes மற்றும் Docker கோப்புகள் ஒவ்வொன்றிலும் commit மற்றும் pull requestஇது போன்ற அபாயகரமான உள்ளமைவுகளை இது சுட்டிக்காட்டுகிறது:
- வெளிப்படுத்தப்பட்ட போர்ட்கள் அல்லது 0.0.0.0 பிணைப்புகள்
- பங்கு அடிப்படையிலான அனுமதிகள் இல்லாமை
- விடுபட்ட பிணையப் பிரிப்பு அல்லது குறியாக்கம்
2. CI/CD Guardrails தவறாக உள்ளமைக்கப்பட்ட கட்டமைப்புகளைத் தடுக்க
உங்கள் என்றால் pipeline இரகசியங்களை வெளிப்படுத்தினால், இயல்புநிலை நற்சான்றுகளைப் பயன்படுத்தினால், அல்லது முக்கியமான கோப்புகளைத் திறந்தே விட்டால், Xygeni தானாகவே உருவாக்கத்தைத் தடுத்துவிடும். நீங்கள் விதிகளை அமைக்கிறீர்கள், நாங்கள் அவற்றைச் செயல்படுத்துகிறோம்.
3. உள்ளமைவு விலகல் கண்டறிதல்
Xygeni உங்கள் சூழல்களில் அங்கீகரிக்கப்படாத மாற்றங்களைக் கண்காணிக்கிறது. ஒரு சேமிப்பக பக்கெட் திடீரெனப் பொதுவானதாக மாறினாலோ, அல்லது ஒரு பிழைத்திருத்தக் கொடி மீண்டும் இயக்கப்பட்டாலோ, அது ஒரு சம்பவமாக மாறுவதற்கு முன்பே நீங்கள் அறிந்துகொள்வீர்கள்.
4. பாதுகாப்பான இயல்புநிலைகளுக்கான குறியீடாகக் கொள்கை
முதலில், Xygeni-யின் guardrails உங்கள் குழுவிற்கு “இயல்பாகவே பாதுகாப்பானது” என்பதன் சரியான அர்த்தத்தை வரையறுப்பது. இதன் விளைவாக, தனிப்பயன் ஸ்கிரிப்டுகளை எழுதாமலேயே, அபாயகரமான இணைப்புகளைத் தடுக்கவும், கொள்கை மீறல்கள் குறித்து எச்சரிக்கவும், இணக்கத்தைப் பராமரிக்கவும் உங்களால் முடியும்.
5. இரகசிய மேலாண்மை ஒருங்கிணைப்பு
மேலும், Xygeni உங்கள் CI உள்ளமைவு கோப்புகளில் உள்ள நிரலில் நேரடியாகப் பதியப்பட்ட இரகசியங்கள், கசிந்த டோக்கன்கள் அல்லது பாதுகாப்பற்ற குறிப்புகளைக் கண்டறிகிறது. அத்துடன், வெளிப்படும் எந்தவொரு நற்சான்றிதழ்களையும் சரிபார்த்து சரிசெய்வதற்காக, இது Vaults மற்றும் KMS உடன் தடையின்றி ஒருங்கிணைக்கிறது.
எல்லாவற்றையும் கருத்தில் கொண்டால், Xygeni-ஐப் பயன்படுத்தும்போது பாதுகாப்பான உள்ளமைவுகளைச் செயல்படுத்த நீங்கள் நினைவகம் அல்லது சரிபார்ப்புப் பட்டியல்களைச் சார்ந்திருக்க வேண்டியதில்லை. மாறாக, பாதுகாப்பு
தவறான உள்ளமைவுகளை அதன் மூலத்திலேயே தடுத்து நிறுத்தத் தயாரா?
Xygeni-ஐ 14 நாட்களுக்கு இலவசமாக முயற்சித்துப் பாருங்கள். மற்றவர்கள் தவறவிடும் விஷயங்களைத் தடுப்பது எவ்வளவு எளிது என்பதையும் பாருங்கள்.
