הקדמה: פארוואס IaC Security וויכטיק פֿאַר יעדן DevOps מאַנשאַפֿט
ינפראַסטראַקטשער ווי קאָד (IaC) האט געענדערט ווי מיר בויען און סקאַלירן סביבות. מיט איין איינציקע commit, קענט איר אויסשטעלן נעטוואָרקס, דאַטאַבייסעס און גאַנצע אַפּליקאַציע סטאַקס אין מינוטן. אָבער, די זעלבע גיכקייט קען אַרבעטן קעגן אייך. מיסקאָנפֿיגוראַציעס אין טערראַפאָרם, קובערנעטעס אָדער קלאָודפאָרמאַציע סקריפּטן גליטשן אָפט אין פּראָדוקציע שנעלער ווי טראַדיציאָנעלע זיכערהייט טשעקס קענען רעאַגירן. לויט די 2024 פּאַלאָ אַלטאָ יוניט 42 וואָלקן סאַקאָנע באַריכט, כּמעט 70% פֿון אָרגאַניזאַציעס האָבן געהאַט IaC טעמפּלאַטן מיט לפּחות איין זיכערהייט מיסקאָנפֿיגוראַציע, און פילע פון די פראבלעמען זענען געווען אויסניצלעך גלייך. דערצו, די 2023 רעד העט שטאַט פון דעווסעקאָפּס באַריכט געפֿונען אַז 55% פון דעוואָפּס טימז דיפּלויען IaC ענדערונגען אָן אַ דעדאַקייטאַד זיכערהייט איבערבליק, פארגרעסערנדיק דעם ריזיקע פון פארבאָרגענע שוואַכקייטן וואָס פארשפרייטן זיך איבער סביבות.
דאס איז וואָס IaC security איז מער ווי נאָר אַן צוגאב שריט ביי דיפּלוימאַנט. אין פאַקט, אמת אינפראַסטרוקטור ווי code security מיינט וואַלידירן און דורכפירן בעסטע פּראַקטיקעס גלייך אין דיין אַנטוויקלונג וואָרקפלאָו. עס גייט וועגן כאַפּן ריזיקאַלישע וועריאַבאַלן, צו דערלויבנדיקע IAM פּאָליטיק, אָדער אָפֿענע זיכערהייט גרופּעס. פריער זיי דערגרייכן אלץ דיין וואָלקן אקאונט.
מיט די רעכט צוגאַנג, IaC סייבער זיכערהייַט ווערט טייל פון אייער ווייכווארג אנטוויקלונג לעבנסציקל (SDLC). אזוי, אייער IaC קאָד ווערט געסקענט אין רעאַל-צייט, מיסקאָנפֿיגוראַציעס ווערן פרי אָנגעוויזן, און זיכערע פֿיקסן קענען אויטאָמאַטיש אָנגעווענדט ווערן, אָן פֿאַרלאַנגזאַמען די ליפֿערונג.
פֿאַרשטיין די עכטע ריזיקעס אין אינפֿראַסטרוקטור ווי קאָד
אויב איר זענט נייַ צום באַגריף, קוקט איבער אונדזער גייד 'אײַנפֿיר צו אינפֿראַסטרוקטור ווי קאָד' פֿאַר אַ פֿולשטענדיקן איבערבליק איידער מען גייט אַרײַן אין דער זיכערהייט־זײַט.
די גרעסטע שטאַרקייט פון אינפראַסטרוקטור ווי קאָד, שנעלקייט און קאָנסיסטענסי, איז אויך איר גרעסטע שוואַכקייט ווען זיכערהייט איז נישט איינגעבאַקן. איין אומרעכט קאָנפיגורירטע רעסורס אין אַ טערראַפאָרם סקריפּט אָדער קובערנעטעס מאַניפעסט קען באַלד ווערן אַ טייל פון יעדער סביבה וואָס איר דעפּלויען.
מיסקאָנפֿיגוראַציעס זענען נישט זעלטענע ראַנד קאַסעס, די אָוואַספּ IaC Security פּרויעקט אונטערשטרייכט אז צו דערלויבנדע IAM ראָלעס זענען איינע פון די שפּיץ איבערחזרנדיקע פּראָבלעמען אין אָטאַמייטיד דיפּלוימאַנץ.
בייַשפּיל: טערראַפאָרם IAM ראָלע מיט וויילדקאַרד פּערמישאַנז
resource "aws_iam_policy" "dangerous_policy" {
name = "dangerous-policy"
policy = jsonencode({
Version = "2012-10-17",
Statement = [
{
Action = "*"
Effect = "Allow"
Resource = "*"
}
]
})
}
אויפן ערשטן בליק קען דאָס אויסזען ווי אַ שנעלער וועג צו "עס נאָר מאַכן אַרבעטן." אָבער, עס גיט פולן אַדמיניסטראַטיוון צוטריט צו אַלץ אין דיין חשבון. IaC-געטריבענע וואָרקפלאָו, קען די שלעכטע פּאָליטיק ווערן דיפּלוייד אין אַלע סביבות אין סעקונדעס.
בייַשפּיל: קובערנעטעס דיפּלוימאַנט מיט פּריווילעגירט מאָדע
securityContext:
privileged: true
די סעטינג ערלויבט קאנטעינערס צו לויפן מיט האוסט-לעוועל פערמישנס. דערפאר, אויב אן אטאקירער קאמפראמיטירט א פאד, קענען זיי פארגרעסערן פריווילעגיעס און איבערנעמען דעם אונטערלייגנדיקן נאָדע.
דאָס זענען נישט קיין אַבסטראַקטע ריזיקעס, דאָס זענען געוויינטלעכע טעותים וואָס דערשייַנען אין פאַקטישע פּראָדוקציע אינצידענטן. און אַמאָל די דעפֿיניציעס ווערן צוזאַמענגעפֿאַסט אין דיין הויפּט צווייַג, ווערן זיי אויטאָמאַטיש פֿאַרשפּרייט צו יעדער צוקונפֿטיקער דיפּלוימאַנט.
שליסל טייקעף: אָן פּראָאַקטיוו סקאַנינג און אָטאַמאַטיש guardrails, IaC מיסקאָנפֿיגוראַציעס וועלן זיך שטילערהייט פֿאַרשפּרייטן, בײַפּאַסנדיק טראַדיציאָנעלע ראַנטײַם זיכערהייט מכשירים.
ביניען IaC סייבער זיכערהייט אין אייער וואָרקפלאָו
זיכער מאַכן אייער אינפראַסטרוקטור ווי קאָד איז נישט וועגן דורכפירן אַן איינמאָליקע סקען איידער דיפּלוימאַנט. עס איז וועגן עמבעדדינג IaC security אין די זעלבע וואָרקפלאָוז וואָס איר ניצט שוין צו שרייבן, איבערקוקן און שיקן קאָד. דאָס מיינט כאַפּן ריזיקאַלישע קאָנפיגוראַציעס אין pull requests, בלאקירן אומזיכערע ענדערונגען פארן צונויפגיסן, און דורכפירן בעסטע פראקטיקעס אויטאמאטיש אין אייער CI/CD pipelines.
דער פּאַלאָ אַלטאָ יוניט 42 וואָלקן סאַקאָנע באַריכט האָט געפֿונען אַז 80% פון וואָלקן רעסורסן דעפינירט אין IaC טעמפּלאַטן האָבן ענטהאַלטן לפּחות איין פאַלשע קאָנפיגוראַציענאך מער זארגנדיק, כמעט העלפט פון זיי זענען קלאסיפיצירט געווארן אלס הויך-ריזיקירנדיק, וואס מיינט אז זיי קענען אויסגעניצט ווערן גלייך אויב זיי ווערן דיפלויד. דאס ווייזט פארוואס אינפראַסטרוקטור ווי code security דאַרף אָנהייבן איידער דיין קאָד קומט צו פּראָדוקציע.
מיט IaC סייבער זיכערהייַט געבאַקן אין די SDLC, איר קענען:
- יבערקוקן IaC טעמפּלאַטן אין פאַקטישער צייט: אויפדעקן נישט-זיכערע דיפאָלטס, אָפענע נעץ פּאָרטן, און איבערגעטריבענע פּערמישאַנז בשעת נאָך אין דער IDE.
- דורכפירן guardrails in CI/CD: בלאָקירן דיפּלוימאַנץ מיט נישט-קאָמפּאַטיבלע זיכערהייט גרופּעס אָדער עפנטלעכע סטאָרידזש באַקאַץ.
- אינטעגרירן מיט פּאָליטיק-ווי-קאָד פראַמעוואָרקס: אַליינ דיין IaC מיט זיכערהייט באַזעלינעס פון ניסט 800-53 or CIS בענטשמאַרקס.
- דעטעקטירן סאַפּליי טשיין ריסקסאידענטיפיצירן און בלאקירן בייזע מאָדולן אדער באַזע בילדער איינגעוואָרצלט אין אייער IaC אפהענגיקייטן.
דורך זיך איבעררוקן IaC טשעקס איבערגעבליבן, איר פארלאזט זיך מער נישט אויף ראנטיים ווארענונגען נאכדעם. אנשטאט, איר מאכט זיכער אז נאר זיכערע דעפיניציעס קומען אריין אין פראדוקציע אין ערשטן ארט, און דארט שיינען געצייג ווי קסיגעני. פרובירט עס אין אייער אייגענעם pipeline, אָנהייבן פריי און כאַפּן IaC security ריזיקעס איידער צונויפגיסן.
קסיגעני סקענט טערראַפאָרם, קובערנעטעס, קלאָודפאָרמאַציע, און אַנדערע IaC פריימווערקס גלייך אין אייער אנטוויקלונג און CI/CD וואָרקפלאָוז. איר באַקומען רעגע באַמערקונגען, קינסטלעך-אינטעליגענטע אויטאָ-רעמעדיאַציע פֿאָרשלאָגן, און אַנאָמאַליע דעטעקציע צו כאַפּן ומגעוויינטלעכע ענדערונגען אין דיין רעפּאָס אָדער pipeline קאָנפיגס. אלס רעזולטאַט, פאַרהיט איר אַז נישט זיכערע אינפראַסטרוקטור זאָל ווערן דיפּלוייד, אָן צו פאַרלאַנגזאַמען דעם גאַנג פון צושטעלן.
פּראָסט IaC Security סכנות וואָס איר קענט נישט איגנאָרירן
אפילו איין IaC מיסקאנפֿיגוראַציע קען צוגרייטן דעם בינע פֿאַר אַ גרויסן וואָלקן בריטש. די MITRE ATT&CK וואָלקן מאַטריץ דאָקומענטירט רעאַלע אַטאַקער טעקניקס וואָס אָנהייבן אָפֿט מיט נישט זיכער אָדער צו דערלויבנדיק אינפֿראַסטרוקטור ווי קאָד דעפֿיניציעס. אונטן זענען עטלעכע פֿון די מערסט פֿאַרשפּרייטע און מערסט געפֿערלעכע טרעץ, צוזאַמען מיט ווי... קסיגעני דעטעקטירט און בלאקירט זיי פריער זיי זענען דעפּלאָיירט.
| סאַקאָנע | פאַקטיש-וועלט בייַשפּיל | מיטרע אַטט&ק מאַפּינג | ווי Xygeni דעטעקטירט און בלאקירט עס |
|---|---|---|---|
| צו דערלויבנדיקע IAM פּאָליטיקס | א טעראַפאָרם סקריפּט וואָס גיט *:* פּערמישאַנז צו אַן AWS ראָלע, עפֿעקטיוו מאַכנדיג עס אַן אַדמין פֿאַר אַלע סערוויסעס. | T1078 – גילטיקע חשבונות | סקאַנז IaC פֿאַר וויילדקאַרד IAM פּערמישאַנז, מאַרקירט איבער-אויסגעשטעלטע ראָלעס, און פֿאָרשלאָגט מינדסט-פּריווילעגיע פּאָליטיקס מיט אויטאָ-רעמידיאַציע. |
| עפנטלעך צוטריטלעכע סטאָרידזש | אַן S3 עמער באשאפן מיט public-read ACL, אויסשטעלן סענסיטיווע לאגס צום אינטערנעט. | T1530 – דאַטן פֿון וואָלקן סטאָרידזש אָביעקט | דעטעקטירט נישט-זיכערע סטאָרידזש קאָנפיגוראַציעס אין טערראַפאָרם, קלאָודפאָרמאַציע, און ARM טעמפּלאַטן איידער commit אדער פּי־אַר צונויפגיסן. |
| האַרטקאָדירטע סודות אין IaC | AWS צוטריט שליסלען איינגעבעטן אין א טעראפארם וועריאַבאַלן טעקע commitצוגעבונדן צו גיט. | T1552 – נישט-זיכערע קרעדענציעלן | לויפט סודות סקאַנינג אויף IaC טעקעס, וואַלידירט מיטן פּראַוויידער, און אָפּרופט קאָמפּראָמיטירטע קרעדענשעלס אויטאָמאַטיש. |
| פעליקייַט זיכערהייט גרופּע כּללים | זיכערהייט גרופע מיט 0.0.0.0/0 אריינקומענדיקער צוטריט צו פארט 22 (SSH), וואס ערמעגליכט ברוט-פארס אטאקעס. | T1021 – ווייטע סערוויסעס | ווײַזט אָן צו ברייטע נעץ־רעגולאַציעס און רעקאָמענדירט זיכערע CIDR־רענטשעס אָדער נאָר VPN־צוטריט. |
| נישט-פאַרשליסטע דאַטן אין רו | אַן אַזור דיסק דעפינירט אָן ענקריפּשאַן סעטטינגס אין אַן ARM טעמפּלאַט. | T1602 – דאַטן ענקריפּטעד | אידענטיפיצירט פעלנדיקע ענקריפּשאַן פלאַגס און אויטאָמאַטישע דערהייַנטיקונגען IaC טעמפּלאַטן צו געבן מעגלעכקייט פאר פראוויידער-געבוירענע ענקריפּשאַן. |
| נישט-זיכערע קאנטעינער קאנפיגוראציעס | קובערנעטעס דיפּלוימאַנט YAML מיט privileged: true אין די securityContext. | T1613 – קאנטעינער אדמיניסטראציע קאמאנד | סקענט K8s מאַניפעסטן פֿאַר פּריווילעגירטע קאַנטיינערז און בלאָקירט מערדזשיז ביז זיכערע ראַנטיים פּאָליטיקס זענען באַשטימט. |
פארוואס דאָס איז וויכטיק:
ווי די MITRE ATT&CK קלאָוד מאַטריץ מאַכט קלאָר, נוצן אַטאַקירער אָפט אויס די שוואַכקייטן. אַמאָל זיי זענען אַרײַן, איז עסקאַלאַציע שנעל. דעריבער, די זיכערסטע סטראַטעגיע איז צו דעטעקטירן און פאַרריכטן די פּראָבלעמען בעת אײַער... SDLC, לאַנג איידער זיי ווערן צוגעשטעלט אין די וואָלקן. Xygeni ענפאָרסט דעם "shift-links" מאָדעל דורך בלאָקירן אומזיכערע IaC דעפֿיניציעס ביי commit אדער פּי-אַר, אַנשטאָט זיך צו פֿאַרלאָזן אויף שפּעט-פאַזע ראַנטיים דעטעקשאַן.
ווי Xygeni ענפאָרסט אינפראַסטרוקטור ווי Code Security
זיכער מאַכן אינפראַסטרוקטור ווי קאָד איז נישט נאָר וועגן געפֿינען פּראָבלעמען, עס איז וועגן זיי כאַפּן פרי, זיי שנעל פאַרריכטן, און מאַכן זיכער אַז זיי קיינמאָל דערגרייכן פּראָדוקציע. קסיגעני באַקט זיכערהייט גלייך אין דיין אַנטוויקלונג וואָרקפלאָו, אַזוי IaC שוץ געשעט אויטאָמאַטיש.
- סקענען יעדן commit און pull request צו דעטעקטירן ריזיקעס איידער זיי לאַנדן אין אייער הויפּט צווייַג.
- אויפדעקן אויפגעדעקטע קרעדענשעלס, אומזיכערע קאנפיגוראציעס, און נישט-וועריפיצירטע מאדולן פּונקט וואו איר אַרבעט.
- Integrate IaC סקענען מיט SAST, SCA, און Guardrails פֿאַר פול pipeline coverage.
- צולייגן קינסטלעך-אינטעליגענטע אויטא-רעמעדיאציע צו פאררעכטן ריזיקאלישע קאנפיגוראציעס גלייך, קיין מאנועלע איבערארבעט איז נישט נויטיג.
מיט Xygeni, טרעפט איר נישט נאָר מיסקאָנפֿיגוראַציעס וואָס איר דורכפֿירט IaC security פּאָליטיקס אין פאַקטישער צייט, גלייך אין אייער IDE און CI/CD pipelines.
פאַקטישע וועלט בייַשפּיל: בלאָקירן אַ ריזיקאַליש IaC טוישן איידער דיפּלוימאַנט
לאָמיר זאָגן אַ דעוועלאָפּער שטופּט אַ טעראַפאָרם סקריפּט צו עפֿענען פּאָרט 22 פֿאַר דער וועלט:
🚨 ריזיקאַלישע IAM פּאָליטיק — גראַנטן *:* פולער צוטריט צו אלע סערוויסעס
resource "aws_iam_policy" "dangerous_policy" {
name = "dangerous-policy"
policy = jsonencode({
Version = "2012-10-17",
Statement = [
{
Action = "*"
Effect = "Allow"
Resource = "*"
}
]
})
}
אזא סארט קאנפיגוראציע איז א קלאסישע IaC security רויטע פאָן. אין פּראָדוקציע, וואָלט עס ערלויבט ברוט-פאָרס אַטאַקעס פון ערגעץ.
דאָ איז וואָס פּאַסירט מיט Xygeni אין פּלאַץ:
- דעטעקציע ביי commit: אונדזער אינפראַסטרוקטור ווי code security טשעקס לויפן אויטאָמאַטיש אין דיין פּי-אַר.
- גלייכע צוריקקער: די געפערלעך
0.0.0.0/0די קייט איז אנגעצייכנט מיט א קלארער דערקלערונג פון די ריזיקע. - אויטאָ-רעמעדיאַציע: Xygeni פֿאָרשלאָגט צו באַגרענעצן צוטריט צו אַ טראַסטיד IP קייט אָדער ניצן אַ זיכער באַסטיאָן באַלעבאָס.
- ענפאָרסמאַנט: די CI/CD גאַרדרייל בלאָקירט די צונויפגיסן ביז די ענדערונג טרעפט די פּאָליטיק.
אַז ס IaC סייבער זיכערהייַט אין אַקציע, פאַרהיטן אַ מיסקאָנפיגוראַציע פון אלץ מאַכן עס אין דיין פּראָדוקציע סביבה.
נעמט אַקציע: בויען אַ שטאַרקע אינפראַסטרוקטור ווי Code Security
סיקיורינג דיין ינפראַסטראַקטשער ווי קאָד איז שוין נישט קיין אפציע. IaC security דירעקט פאָרעמט אייער וואָלקן זיכערהייט שטעלונג, און אַן איינציקער טעות אין טערראַפאָרם, קובערנעטעס, אָדער וואָלקןפאָרמאַציע קען אויסשטעלן אייער סביבה צו אַטאַקערס.
דורך עמבעדדינג אינפראַסטרוקטור ווי code security אין דיין אַרבעטס-פלוס, דו:
- כאַפּט מיסקאָנפֿיגוראַציעס איידער זיי דערגרייכן פּראָדוקציע.
- אויך, רעדוצירן די אטאקע ייבערפלאַך אין דיין וואָלקן סביבות.
- שפּאָרט צייט מיט קינסטלעכע אינטעליגענץ-געטריבענע פֿיקסן און אָטאָמאַטישע דורכפֿירונג.
מיט קסיגעני, IaC סייבער זיכערהייַט ווערט טייל פון א פאראייניגטע סייבער-זיכערהייט פלאטפארמע וואס באדעקט אייער קאוד, אפהענגיקייטן, pipelineס, קאנטעינערס, און SCM — אלץ אין אײן ארט.
