קרוק: דער טאָג דער Pipeline צעבראָכן (Chmod 777)
ווען עס קומט צו CI/CD זיכערהייט, ווייניק טעותים זענען אזוי געפערלעך ווי לויפן chmod 777. מיסברויכן עס איבערשרייבט לינוקס פערמישנס, אוועקנעמענדיג זיכערהייטן און עפנט די טיר צו א מעגלעכן בעקטאר אטאקע. עס הייבט זיך אָן אַזוי: די CI/CD pipeline איז רויט, די מאַנשאַפֿט איז בלאָקירט, און דער טערמינאַל שפּײַט אַרויס דאָס שרעקלעכע:
נגינקס
ערלויבעניש צוריקגעוויזן
אנשטאט נאכצוגיין די ווארצל אורזאך, גייט א דעוועלאפער צו דער נוקלעארער אפציע:
⚠️ אומזיכער ביישפּיל: גיט פולן צוטריט צו אַלעמען. לאָזט נישט לויפן אין פּראָדוקציע.
chmod 777 deploy.sh
דער בנין ווערט גרין. דער דרוק פאלט. יעדער גייט צוריק צו דער ארבעט. אבער אין הינטערגרונט, האט יענע איין קאמאנדע איבערגעגאנגען יעדן זיכערהייט וואס לינוקס פערמישנס גיט, און צוגעגרייט דעם בינע פאר א בעקטאר אטאקע וואס קען קאמפראמיטירן דאס גאנצע סיסטעם.
דער עכטער איינפלוס פון chmod 777 אויף לינוקס פּערמישאַנז
לינוקס פּערמישאַנז זענען די יסוד פון טעקע-לעוועל זיכערהייט אין יוניקס-ווי סיסטעמען. זיי באַשטימען ווער קען לייענען, שרייבן, אדער אויספירן א טעקע. יעדער טעקע האט:
- דריי טיפּן פון דערלויבענישןלייענען (r), שרײב (וו), און ויספירן (x).
- דריי רשות גרופּעס: אייגענטימער, גרופע, און אנדערע.
ווען איר לויפן טשמאָד 777, איר גיט לייענען, שרייבן און אויספירן דערלויבענישן צו אלע דריי גרופעס. דאס איז די עקוויוואלענט פון לאזן יעדע טיר אין אייער הויז נישט פארשלאסן, נישט נאר פאר פריינט, נאר פאר פרעמדע און יעדן וואס גייט פארביי.
זיכערע דעמאַנסטראַציע:
אין אפגעזונדערטע דעוועלאָפּער מאשינען, קען דאָס אויסזען ומשעדלעך. אָבער אין געטיילטע בילד אַגענטן, קאָנטיינעריזירטע סביבות, אָדער מולטי-יוזער לינוקס סיסטעמען, טשמאָד 777 פארוואנדלט יעדע טעקע וואס עס רירט אן אין אן אפענע איינלאדונג פאר טאַמפּערינג, די פערפעקטע סעטאַפּ פאר א באַקטיר אטאקע.
אטאקע וועקטאָר: פֿון chmod 777 ביז באַקדאָר אטאקע
דאָ איז ווי אַזוי אַן איינציקער טשמאָד 777 קען זיך פֿאַרוואַנדלען אין אַ באַקטיר באַפאַלן:
- א דעוועלאָפּער שטעלט טשמאָד 777 אויף אַ דיפּלוימאַנט אָדער בילד סקריפּט צו פאַרריכטן אַ פּערמישאַנז טעות
- די טעקע ווערט וועלט-שרייבבאר; יעדער באַניצער אָדער פּראָצעס קען עס מאָדיפיצירן
- אַן אַטאַקער לייגט אַרײַן בייזוויליקן קאָד אין דעם סקריפּט
- די CI/CD pipeline לויפט דעם געענדערטן סקריפּט, אויספירנדיק דעם אטאקירער'ס פּיילאָוד מיט פארהויכטע פּריווילעגיעס
⚠️ נישט זיכער ביישפּיל: נישט לויפן אין פּראָדוקציע. גענוצט דאָ צו אילוסטרירן ריזיקאַלישע פּערמישאַנז.
chmod 777 build.sh
פשוטער אטאקע פלוס:
וואו דאָס ווערט ספּעציעל געפערלעך:
- שערד בויען אגענטן מיט קייפל טימז אדער פראיעקטן
- מאָנטירן האָסט וואַליומז אין דאָקער אָדער קובערנעטעס פּאָדס
- אָפֿן-קוואַל רעפּאָזיטאָריעס וואו ביישטייערער קענען שטופן אדער צונויפגיסן ענדערונגען
אזוי שנעל ווי די קייט הייבט זיך אן, קען א בעקטאר אטאקע זיך אריבערדרייען אין פראדוקציע, ארויסלאזן קרעדענשעלס, ענדערן ארטיפאקטן, אדער עפענען אנהאלטנדע צוטריט פונקטן.
פאַל שטודיע: באַקדאָר אַטאַק דורך פאַלש קאָנפיגורעד סקריפּט
לאָמיר עס אַראָפּנעמען צו די עיקרדיקע זאַכן:
- דער דעוועלאָפּער לויפט chmod 777 build.sh צו איבערגיין א CI/CD גרייַז
- אן אנדער באַניצער אדער בייזוויליקער פּראָצעס אין דער זעלבער סביבה רעדאַקטירט דעם סקריפּט
- די pipeline אויספירט דעם קאמפראמיטירטן סקריפּט מיט CI/CD סערוויס אקאונט דערלויבענישן
- אויב אַ שוואַכע אָפֿן-קוואַל פּעקל ווערט דערהייַנטיקט בעת דעם פּראָצעס, קען די באַקדאָר אַטאַק זיך פֿאַרשפּרייטן צו פּראָדוקציע.
דאָס איז ווי טשמאָד 777 פּלוס לאַקס לינוקס פּערמישאַנז קענען געבן אַטאַקערז אַ פרייען פּאַס אין דיין דיפּלוימאַנט פלוס.
פארוואס דעוועלאָפּערס נוצן נאָך chmod 777 (און פארוואס עס איז אַ טראַפּ)
אפילו ערפארענע דעוועלאָפּערס פאַלן אין דעם פאַל, ווייַל טשמאָד 777 פילט זיך ווי אַ שנעלע לייזונג ווען:
- אַרטיפאַקט פּאַקאַדזשינג וואַרפט דערלויבעניש אָפּגעזאָגט ערראָרס
- שאָל סקריפּטן פאַרלאָזן אין דאָקער ווייַל זיי זענען נישט עקסעקוטאַבאַל
- לאָג טעקעס אין געטיילטע וואַליומז קענען נישט געשריבן ווערן.
אבער דא איז דער פראבלעם: דוזינגען טשמאָד 777 איגנארירט די וואָרצל־אורזאַך, איבערשרייבט לינוקס פּערמישאַנז קאָנטראָלן, און ווייאַלייץ דעם פּרינציפּ פון מינדסטע פּריווילעגיע. אַנשטאָט אַוועקנעמען דעם וועג־בלאָק, לאַדט עס אײַן צו אַ באַקטיר אַטאַקע.
זיכערע אַלטערנאַטיוון צו chmod 777
If טשמאָד 777 איז די נוקלעארע אָפּציע, דאָס זענען די כירורגישע אַטאַקעס:
dockerfile בעסטער פּראַקטיסיז:
dockerfile
GitHub אַקטיאָנס למשל:
די דורכפירן לינוקס פּערמישאַנז ריכטיק, בלאָקירן נישט-אויטאָריזירטע ענדערונגען און רעדוצירן דעם ריזיקירן פון אַ באַקדאָר אַטאַק.
ווי אזוי צו דעטעקטירן און פאַרהיטן chmod 777 מיסקאָנפֿיגוראַציעס
Pre-commit בינע
- גיין hooks צו פארווארפן commits מיט טשמאָד 777:
בויען בינע
- Integrate SAST צו מאַרקירן נישט-זיכערע באַפֿעלן
- דורכפאַל CI דזשאָבס אויב געפינען דעטעקטירט וועלט-שרייבבארע טעקעס
לויף-צייט בינע
סקענען פֿאַר טעקעס מיט גלאָבאַלן שרייב־צוטריט:
ליסטע ציפערן:
פּאָליטיק ענפאָרסמאַנט
- ניצט פּאָליטיק-ווי-קאָד צו דעפינירן ערלויבטע לינוקס פּערמישאַנז
- שיקט וואָרענונגען איידער ריזיקאַלישע דיפּלוימאַנץ גייען לעבן
ווען איר אויטאמאטיזירט די טשעקס, רעדוצירט איר די שאנס אז טשמאָד 777 דערגרייכט אלץ פראדוקציע, און מיט אים, די שאנס פון א בעקטיר אטאקע.
DevSecOps און קולטור: פאַרהיטן chmod 777 ביי דער מקור
בויען זיכערהייט אין דעווסעקאפס קולטור איז מער עפעקטיוו ווי עס שפּעטער צו פאררעכטן:
- פּאָליטיק-אַלס-קאָד צו דורכפירן זיכערע לינוקס פּערמישאַנז אין יעדן pipeline
- סקריפּט איבערבליקן וואָס אַרייַננעמען דערלויבעניש טשעקס פֿאַר דיפּלוימאַנט סקריפּטן
- זיכערע טעמפּלאַטן פֿאַר דאָקער, קובערנעטעס, און CI/CD קאָנפיגס
טרענירונג אויף ווי אזוי טשמאָד 777 שאַפֿט אַ וועקטאָר פֿאַר באַקדאָר אַטאַקעס.
פארוואס איז chmod 777 קיינמאל נישט קיין לייזונג?
טשמאָד 777 איז נישט קיין קורץ וועג; עס איז אַ ריזיקע מולטיפּלייער. עס איבערשטייַגט קערפֿול דיזיינטע לינוקס פּערמישאַנז, נעמט אַוועק זיכערהייטן, און באַפֿעסטיקט דעם וועג פֿאַר אַ באַקדאָר אַטאַק וואָס קען קאָמפּראָמיטירן CI/CD pipelineס און פּראָדוקציע סיסטעמען.
די לייזונג איז נישט נאָר צו ענדערן קאָמאַנדעס; עס איז אננעמען זיכערע פּערמישאַנז, אויטאָמאַטיזירן טשעקס, און איינפֿלאַנצן מינדסט-פּריווילעגיע געדאַנקען אין אייער דעווסעקאפס פּראָצעס. מכשירים ווי קסיגעני קען העלפֿן דעטעקטירן נישט-זיכערע קאָנפיגוראַציעס און וועלט-שרייבבארע טעקעס איידער זיי דערגרייכן פּראָדוקציע, געבענדיג אייך אַ זיכערהייט נעץ אָן פאַרלאַנגזאַמען די עקספּרעס.
