Аз соли 2019 то 2022, афзоиши миёнаи солонаи ҳамлаҳо ба занҷираи таъминоти нармафзор аз 700% гузашт, ки ин тамоюли афзоянда аст ва интизор меравад, ки таъсири иқтисодии он дар соли 2026 аз 80 миллиард доллар зиёд шавад. Бо дарназардошти ҷиддияти ин масъала, Агентии миллии амнияти миллӣ (NSA) ва Агентии амнияти киберӣ ва инфрасохтор (CISA) озод карда шуд дастурҳои муҳим барои бехатар будан CI/CD муҳитҳо, рафъи таҳдиди афзояндаи фаъолони киберии ба ном зараровар (MCAs), ки аз осебпазириҳо истифода мебаранд.
Ин дастурҳо махсусан ба пешгирии фош шудани сирру асрори дохилӣ нигаронида шудаанд. CI/CD pipelines ва пешниҳоди фаҳмишҳои мушаххас.
Кадомҳо муҳимтаринанд CI/CD таҳдидҳои амниятӣ?
Тавре ки дастурҳои NSA нишон медиҳанд, таъмини амнияти CI/CD муҳити зист эътироф ва дифоъ аз намудҳои гуногуни таҳдидҳои амниятӣ, ки метавонанд ба онҳо таъсир расонанд, талаб мекунад. CI/CD амалиётҳо. Дар ин ҷо баъзе хатарҳои маъмулӣ мавҷуданд CI/CD pipelineс, дар баробари Top 10 OWASP CI/CD Хатарҳои амниятӣ:
- Механизмҳои нокифояи назорати ҷараёнИн хатар ба набудани назорати дуруст барои идоракунии ҷараёни маълумот ва вазифаҳо дар CI/CD pipelineБе ин назоратҳо, тағйироти беиҷозат метавонанд ба pipeline, боиси пайдоиши осебпазириҳои эҳтимолии амниятӣ мегардад.
- Идоракунии нокифояи шахсият ва дастрасӣИн хатар аз идоракунии дурусти дастрасӣ ба он иборат аст CI/CD pipeline ва он чизе ки онҳо метавонанд анҷом диҳанд. Бе ҳувияти дуруст ва идоракунии дастрасӣ, афроди беиҷозат метавонанд ба pipeline ва тағйироти зарароварро ворид кунед.
- Сӯиистифода аз занҷири вобастагӣИн хатар ба эҳтимолияти истифодаи осебпазириҳо дар вобастагиҳое, ки нармафзори шумо истифода мебарад, аз ҷониби ҳамлагарон ишора мекунад. Агар ин вобастагиҳо дуруст идора ва ҳифз карда нашаванд, онҳо метавонанд роҳеро барои ҳамла фароҳам оваранд.
- Заҳролуд шудааст Pipeline ИҷроИн хатар ҳамлагаронро дар бар мегирад, ки эҳтимолан рамзи зарароварро ба система ворид мекунанд CI/CD pipelineИн метавонад боиси иҷрои рамзи зараровар дар муҳити истеҳсолӣ гардад.
- PBAC нокифоя (Pipeline(Идоракунии дастрасии асосёфта)Ин хатар ба набудани назорати дурусти дастрасӣ дар асоси pipelineБе ин назоратҳо, шахсони беиҷозат метавонистанд ба қисмҳои ҳассоси он дастрасӣ пайдо кунанд. pipeline.
- Гигиенаи нокифояи эътимодномаИн хатар аз дуруст идора ва таъмини амнияти эътимодномаҳои истифодашуда дар бар мегирад CI/CD pipelineАгар ин эътимодномаҳо зери хатар гузошта шаванд, он метавонад ба ҳамлагар дастрасӣ ба онро фароҳам оварад. pipeline.
- Танзимоти системаи ноамнИн хатар ба осебпазириҳои эҳтимолии амниятӣ, ки аз сабаби
системаҳои нодуруст танзимшуда дар CI/CD pipelineҲамлагарон метавонанд аз ин осебпазириҳо истифода баранд. - Истифодаи беназорати хидматҳои тарафи сеюмИн хатар истифодаи хидматҳои тарафи сеюмро бидуни назорат ва назорати мувофиқ дар бар мегирад. Агар ин хидматҳо нодуруст идора ва ҳифз карда шаванд, метавонанд осебпазириҳои амниятӣ ба вуҷуд оранд.
- Тасдиқи нодурусти якпорчагии артефактИн хатар ба набудани тасдиқи дурусти артефактҳои истеҳсолшуда аз ҷониби CI/CD pipelineБе тасдиқи дуруст, артефактҳои зараровар ё осебдида метавонанд ба муҳити истеҳсолӣ ворид карда шаванд.
- Сабткунӣ ва намоёнии нокифояИн хатар бо сабти нокифоя ва намоёнии он алоқаманд аст
фаъолият дар CI/CD pipelineБе сабти дуруст ва намоёнӣ, муайян ва вокуниш нишон додан ба ҳодисаҳои амниятӣ душвор буда метавонад.
Сенарияҳои бадтарин таҳдидҳо ва чӣ гуна онҳоро ислоҳ кардан мумкин аст
Ҳамлагарон барои дастрасӣ ба анбори Git эътиборномаи таҳиягарро ба даст меоранд:
- Истифодаи эътимодномаҳои дарозмуддатро кам кунед.
- Барои ҳама навсозиҳои рамз қоидаҳои дунафараро (2PR) истифода баред.
- Ҳисобҳои корбаронро муҳофизат кунед ва сиёсатҳои камтарин имтиёзро амалӣ кунед.
- Сегментатсияи шабака ва филтркунии трафикро амалӣ кунед
- SSCS асбобҳо ба монанди Ксигенӣ ба таври худкор конфигуратсияҳои нодурустро дар ин соҳаҳо муайян кунед ва татбиқи сиёсатҳои амнияти корпоративиро таъмин намоед.
Таҳрифи занҷираи таъминот дар китобхонаи барномаҳо, абзор ё тасвири контейнер дар CI/CD pipeline:
- Китобхонаҳо ва абзорҳои беэътимодро маҳдуд кунед ва таҳлил кунед commitасбобҳои TED.
- Истифодаи абзорҳои EDR ва аудит.
- доштан CI/CD навсозии абзорҳо, нармафзор ва системаҳои оператсионӣ.
- Ксигенӣ платформа ба таври худкор имкониятҳои сканкунии худро дар ҳар як сканкунӣ навсозӣ мекунад барои муайян кардани охирин ҷузъҳои зараровар, ки метавонанд ба нашри нармафзори шумо таъсир расонанд.
Созиши як CI/CD муҳитест, ки конфигуратсияҳоро тағйир медиҳад ё вобастагиҳои зараровар ворид мекунад:
- Таҳлил commitрамзи ted ва ҳамгироии сканкунии амниятӣ дар CI/CD.
- Амалиёт SBOM ва SCA ва татбиқи абзорҳои EDR.
- Имзоҳоро ба CI/CD танзим кунед ва тасдиқ кунед.
- Ксигенӣ қобилиятҳо дар таҳлили маҷмӯи пурраи дороиҳое, ки дар таҳияи нармафзор иштирок мекунанд, сохтан ва расонидан имкон медиҳад, ки ҳама гуна таҳдидҳо ҳангоми муайян карда шаванд CI/CD коркард ва тавлиди SBOM ҳамчун далел барои аудити шумо ва муштариён.
Дар тасвири зерин векторҳои гуногуни ҳамла бо истифода аз мисоли a нишон дода шудаанд CI/CD pipelineИн векторҳои ҳамла ба векторҳои истифодашуда дар дигар векторҳо хеле монанданд. CI/CD ҳамлаҳо.
Фароҳам овардани равиши воқеии беэътимодӣ:
Стратегияҳои сахткунии фаъоли NSA
Дар ин дастур якчанд стратегияҳое номбар шудаанд, ки метавонанд барои беҳтар кардани ҳифзи занҷираи таъминоти нармафзор истифода шаванд. Дар ин ҷо шумо метавонед мухтасари муҳимтаринашонро пайдо кунед:
Рамзгузории тавсияшудаи NSA-ро қабул кунед
Истифодаи алгоритмҳои криптографии кӯҳна ва заиф хатарҳои назаррасеро ба бор меорад CI/CD pipelineс. Ин метавонад боиси фош шудани маълумоти махфӣ, ихроҷи маълумот, вайрон кардани аутентификатсия ва сессияҳои ноамн гардад.
Бо истифода аз ин осебпазириҳо, амалкунандагони бадхоҳ метавонанд аз ин мушкилот канорагирӣ кунанд CI/CD pipeline ва занҷираи таъминоти нармафзорро зери хатар мегузорад. Барои кам кардани ин хатарҳо, NSA ва CISТавсия дода мешавад, ки алгоритмҳои мустаҳками криптографӣ, ба монанди онҳое, ки аз ҷониби Институти миллии криптографӣ муайян шудаанд, татбиқ ва танзим карда шаванд. Standards ва технология (NIST), ҳангоми насб кардани барномаҳо ва хидматҳои абрӣ.
Истифодаи дарозмуддати эътимодномаро кам кунед
Вақте ки сухан дар бораи аутентификатсияи инсонӣ меравад, ҳамеша ба федератсияи ҳувият ва токенҳои амниятӣ, ки ба ҳамлаҳои фишинг тобоваранд, афзалият диҳед. Ин чораҳо бояд барои ба даст овардани SSH муваққатӣ ва дигар калидҳо истифода шаванд.
Ба ҳамин монанд, барои аутентификатсияи байни нармафзор, то ҳадди имкон кам кардани истифодаи эътимодномаҳои дарозмуддати дар асоси нармафзор асосёфта тавсия дода мешавад.
Детекторҳо аз абзорҳо ба монанди Xygeni ошкор кардани ҳама гуна эътимоднома ва сиррро дар даҳҳо формат дар тамоми занҷираи таъминоти нармафзор дастгирӣ мекунанд: рамз, pipelines, IaC конфигуратсияҳо ва ғайра
Имзоҳоро ба CI/CD танзимот ва ҳамеша онҳоро тафтиш кунед
Дар давоми тамоми CI/CD Дар раванди таҳия, новобаста аз марҳилаи таҳия, муҳим аст, ки рамз мунтазам ва дуруст имзо карда шавад ва имзо тасдиқ карда шавад.
Агар имзо тасдиқ нашавад, бояд сабаби мушкили тасдиқро бодиққат тафтиш кард.
Кам кардани хатарҳои парол тавассути аутентификатсияи бисёрфакторӣ (MFA)
Онро инчунин бо назорати дастрасии нақшӣ (RBAC) пурра кардан мумкин аст. Имрӯзҳо, MFA дар ҳама намудҳои хидматрасонӣ маъмулан истифода мешавад. Он барои таъмини амният кӯмак мекунад, дар ҳоле ки он ҳам барои корбарони дохилӣ ва ҳам барои корбарони беруна татбиқ мешавад.
Бо риояи принсипи камтарин имтиёз, RBAC кафолат медиҳад, ки ба корбарон танҳо иҷозатҳои зарурӣ барои иҷрои вазифаҳои мушаххаси онҳо дода мешаванд.
Сиёсатҳои корпоративӣ бояд ин конфигуратсияҳои ҳатмии имрӯзаро ба назар гиранд. Имкониятҳои мутобиқати автоматӣ ва аудити SSCS абзорҳо ҳамаи онҳоро дар тамоми инфрасохтори DevOps татбиқ мекунанд.
Сиёсатҳои камтарин имтиёзро барои татбиқи CI/CD Дастрасӣ
Муҳим аст, ки танҳо ба таҳиягарон дастрасӣ дода шавад pipelineва ҷузъҳое, ки мустақиман ба вазифаҳои ба онҳо супоридашуда алоқаманданд.
Татбиқи тақсимоти вазифаҳо муҳим аст, ки дар он таҳиягароне, ки масъули санҷиши рамзи сарчашма мебошанд, барои навсозии муҳити сохтан ба имтиёз ниёз надоранд. Ба ҳамин монанд, муҳандисоне, ки сохторҳоро назорат мекунанд, ба дастрасии хондан ва навиштан ба рамзи сарчашма ниёз надоранд. Барои дастури муфассалтар оид ба татбиқи назорати амниятӣ, ба ин нигаред NIST SP 800-53.
Барои навсозии код қоидаи дунафара (2PR)-ро истифода баред
Риояи қоидаҳои ду нафар на танҳо сифати кодро беҳтар мекунад, балки эҳтимолияти ворид кардани бомуваффақияти рамзи зарароварро дар сурати зери хатар қарор гирифтани эътимодномаи таҳиягар низ коҳиш медиҳад.
SSCS абзорҳо ба монанди Xygeni, одатан санҷиши мушаххасеро дар бар мегиранд, ки муайян мекунанд, ки оё лоиҳа пеш аз истифодаи он баррасии кодро талаб мекунад ё не. pull requests (дархостҳои якҷояшавӣ) якҷоя карда мешаванд.
Ин санҷиш амнияти ҷории Open SSF-ро риоя мекунад standard.
Ҳисобҳо ва махфиятҳои корбаронро бехатар нигоҳ доред
Аудити ҳисобҳои корбарон ва танзим кардани назорати дастрасӣ бар асоси принсипҳои камтарин имтиёз ва тақсимоти вазифаҳо муҳим аст.
Илова бар ин, коркарди бехатари асрор, токенҳо ва эътимодномаҳо дар дохили CI/CD pipeline афзалиятнок аст.
Ҳеҷ гоҳ сирри махфиро дар матни оддӣ дар ягон ҷои дигар нафиристед pipeline, кафолат додан, ки онҳо ҳеҷ гоҳ дар нармафзоре ҷойгир карда нашудаанд, ки метавонанд баръакс тарҳрезӣ шаванд.
Нигоҳ доштани сабти ҳамаҷонибаи ҳамаи ҷузъҳои тарафи сеюм ва кушодаасос дар пойгоҳи код тавассути татбиқи рӯйхати маводҳои нармафзор (SBOM):
Дар SBOM Ба ташкилотҳо дар фаҳмидани осебпазириҳои эҳтимолии рамз кӯмак мерасонад ва аз истифодаи ҷузъҳои кӯҳна ва беиҷозат пешгирӣ мекунад. Риояи қоидаҳо, ба монанди талаботи FDA барои дастгоҳҳои тиббӣ, метавонад истифодаи онҳоро талаб кунад. SBOMs.
Дигар чораҳои муҳим дар раванди таҳия
Ба муайян кардани осебпазириҳо, муҳим аст, ки ҳамгиро кардани сканкунии амниятӣ ба CI/CD pipeline ба осонӣҲамгироӣ бояд дар ҳар марҳила осон ҳисобида шавад: дар истгоҳи корӣ (пеш аз боргузорӣ), дар commit, ё дар сохтмони шабона бо истифода аз панҷараҳои муҳофизатӣ.
Нигоҳ доштани нармафзори нав, системаҳои амалиётӣ ва CI/CD Tools: Навсозии мунтазам CI/CD асбобҳо, зеро онҳо метавонанд хатогиҳо ва осебпазириҳоро дар бар гиранд. Аз системаҳои марказии идоракунии часбҳо, аз ҷумла равандҳои якпорчагӣ ва тасдиқи нармафзор барои системаҳои амалиётӣ ва навсозиҳои нармафзор истифода баред.
Китобхонаҳои беэътимодро маҳдуд кунед ва захираҳои муваққатиро нест кунедБарои кам кардани таҳдидҳо ба система, танҳо аз нармафзор, абзорҳо, китобхонаҳо ва артефактҳо аз манбаъҳои боэътимод ва бехатар истифода баред. CI/CD pipelineҲамеша боварӣ ҳосил кунед, ки конфигуратсияи он барои пешгирӣ аз иҷрои эҳтимолии код ё воридшавии дарҳои пасӣ мувофиқ аст. Инчунин муҳим аст, ки ...барномаҳои нолозимро нест кунед ва нуқтаҳои ниҳоиро муҳофизат кунед.
Дар бораи платформаи Xygeni маълумоти бештар гиред, варақаи маълумоти платформаи Xygeni-ро зеркашӣ кунед
