搜索

[17082] 2021-07-28_盘点：CICD管道安全的六种最佳实践

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-07-28_盘点：CICD管道安全的六种最佳实践 盘 点 ： C I C D 管 道 安 全 的 六 种 最 佳 实 践 空 城 H C   F r e e B u f   2 0 2 1 - 0 7 - 2 8 C I / C D 是 应 用 程 序 开 发 周 期 的 重 要 组 成 部 分 。 然 而 ， 犯 罪 分 子 正 在 利 用 C I （ 持 续 集 成 ） / C D （ 持 续 交 付 ） 管 道 中 的 漏 洞 ， 窃 取 敏 感 信 息 ， 挖 掘 加 密 货 币 ， 并 交 付 恶 意 代 码 。 最 近 的 网 络 攻 击 利 用 了 持 续 集 成 / 持 续 交 付 （ C I / C D ） 管 道 和 开 发 人 员 工 具 中 的 漏 洞 ， 这 说 明 了 提 高 开 发 人 员 基 础 设 施 的 安 全 性 迫 在 眉 睫 。 最 典 型 的 案 例 则 是 C o d e c o v 供 应 链 攻 击 ， 这 也 提 醒 了 用 户 ， 无 论 环 境 多 么 安 全 都 不 要 在 C I / C D 环 境 变 量 中 存 储 私 密 信 息 。 C o d e c o v 攻 击 者 入 侵 了 数 千 名 开 发 人 员 使 用 的 B a s h 上 传 器 ， 成 功 地 从 客 户 环 境 中 窃 取 了 凭 证 、 密 钥 和 A P I 令 牌 ， 且 隐 藏 了 两 个 月 ， 一 直 未 被 发 现 ， 据 说 还 攻 破 了 数 百 个 受 限 的 客 户 网 络 。 同 样 ， 对 自 动 化 工 具 （ 如 J e n k i n s 、 G i t H u b A c t i o n s 和 云 原 生 容 器 环 境 ） 的 攻 击 也 进 一 步 促 使 企 业 探 索 和 部 署 对 这 些 工 具 的 有 效 防 御 措 施 。 以 下 是 确 保 C I / C D 管 道 安 全 的 一 些 最 佳 实 践 。 一 、 请 不 要 在 一 、 请 不 要 在 C I / C D 环 境 中 存 储 敏 感 信 息 环 境 中 存 储 敏 感 信 息 C o d e c o v 供 应 链 攻 击 之 所 以 能 成 功 ， 背 后 的 原 因 在 于 攻 击 者 渗 出 的 环 境 变 量 包 含 硬 编 码 的 敏 感 信 息 ， 包 括 密 码 、 令 牌 和 钥 匙 。 由 于 其 中 一 些 凭 证 使 攻 击 者 能 够 访 问 公 司 的 私 人 G i t H u b 存 储 库 ， 因 此 可 以 从 这 些 包 含 本 应 保 密 数 据 的 私 人 存 储 库 中 进 一 步 渗 出 数 据 。 尽 管 包 括 H a s h i C o r p 、 T w i l i o 、 R a p i d 7 和 M o n d a y . c o m 在 内 的 多 个 C o d e c o v 客 户 披 露 了 供 应 链 攻 击 带 来 的 影 响 ， 但 迄 今 为 止 影 响 最 为 深 远 的 数 据 泄 露 还 是 在 日 本 电 商 巨 头 M e r c a r i 。 在 C o d e c o v 攻 击 之 后 ， 与 M e r c a r i 客 户 的 财 务 、 商 户 、 商 业 伙 伴 、 公 司 员 工 、 承 包 商 和 各 种 实 体 有 关 的 共 2 7 0 0 0 多 条 记 录 泄 露 给 了 未 经 授 权 的 外 部 攻 击 者 。 尽 管 这 些 攻 击 可 能 都 是 从 C o d e c o v 漏 洞 开 始 的 ， 但 一 些 人 也 质 疑 了 为 什 么 客 户 财 务 记 录 等 个 人 身 份 信 息 （ P I I ） 会 被 存 储 在 私 人 G i t H u b 存 储 库 中 。 对 于 H a s h i C o r p 存 储 在 C I / C D 环 境 中 的 G P G 私 钥 ， 人 们 也 提 出 了 类 似 的 担 忧 。 这 是 由 H a s h i C o r p 发 布 的 用 于 签 署 和 验 证
软 件 版 本 的 密 钥 。 在 该 密 钥 被 撤 销 之 前 ， 攻 击 者 可 以 滥 用 该 密 钥 来 伪 造 H a s h i C o r p 在 恶 意 软 件 发 布 上 的 签 名 。 一 位 开 发 者 在 推 特 上 说 ： ” 为 什 么 没 有 人 谈 论 V a u l t 的 制 造 商 H a s h i C o r p 将 他 们 的 签 名 密 钥 存 储 为 E N V 这 一 问 题 ？ ” 企 业 需 要 重 新 思 考 哪 些 信 息 可 以 存 储 在 C I / C D 工 具 、 环 境 变 量 和 私 人 G i t H u b 存 储 库 中 。 如 果 一 个 应 用 程 序 需 要 将 凭 证 或 令 牌 存 储 在 这 些 地 方 ， 最 好 是 将 凭 证 存 储 在 具 有 最 低 权 限 的 账 户 或 资 源 中 ， 只 是 完 成 任 务 的 必 要 条 件 ， 通 常 被 称 为 最 小 权 限 原 则 。 这 样 ， 即 使 私 密 信 息 在 一 次 前 所 未 有 的 攻 击 中 被 暴 露 ， 也 能 够 控 制 损 失 。 二 、 审 查 自 动 拉 取 请 求 和 计 划 任 务 二 、 审 查 自 动 拉 取 请 求 和 计 划 任 务 像 G i t H u b   A c t i o n s 这 样 的 C I / C D 自 动 化 工 具 允 许 开 发 者 为 他 们 的 代 码 库 设 置 计 划 任 务 ， 比 如 自 动 审 核 和 处 理 传 入 的 拉 取 请 求 。 但 是 ， 如 果 向 开 源 项 目 提 出 拉 动 请 求 的 贡 献 者 不 怀 好 意 ， 会 发 生 什 么 ？ 2 0 2 1 年 4 月 ， G i t H u b   A c t i o n s 被 攻 击 者 滥 用 ， 他 们 向 数 百 个 仓 库 提 出 自 动 拉 取 请 求 ， 目 的 是 利 用 G i t H u b 的 基 础 设 施 挖 掘 加 密 货 币 。 这 一 大 规 模 的 攻 击 发 生 在 2 月 初 G i t H u b   A c t i o n s 的 漏 洞 曝 光 之 后 。 最 低 权 限 来 说 ， 这 些 拉 取 请 求 可 以 滥 用 G i t H u b 的 服 务 器 来 挖 掘 加 密 货 币 或 执 行 攻 击 者 的 恶 意 代 码 。 如 果 项 目 负 责 人 疏 忽 大 意 ， 合 并 了 这 些 拉 取 请 求 ， 那 么 他 们 便 将 把 恶 意 代 码 引 入 了 他 们 的 仓 库 和 更 广 泛 的 软 件 供 应 链 。 5 月 ， G i t L a b 报 告 说 ， 其 平 台 上 的 攻 击 者 滥 用 分 配 给 新 账 户 的   “ 免 费 分 钟 ” （ 配 额 ） ， 处 理 了 类 似 的 加 密 攻 击 。 因 为 像 G i t H u b   A c t i o n s 和 G i t L a b 这 样 的 C I / C D 自 动 化 工 具 的 本 质 是 为 关 键 任 务 的 自 动 化 提 供 便 利 ， 所 以 把 关 成 为 一 个 挑 战 。 可 能 是 有 意 为 之 的 功 能 在 被 威 胁 者 滥 用 后 很 快 就 变 成 了 一 个 安 全 漏 洞 。 G i t H u b 最 近 宣 布 了 新 的 功 能 ， 打 击 加 密 攻 击 者 对 其 A c t i o n s 平 台 的 滥 用 。 来 自 首 次 贡 献 者 的 拉 取 请 求 将 需 要 在 任 何 行 动 工 作 流 程 运 行 前 得 到 具 有 写 入 权 限 的 仓 库 合 作 者 的 手 动 批 准 。 G i t H u b 产 品 经 理 C h r i s   P a t t e r s o n 在 一 篇 博 文 中 说 ： ” 当 首 次 贡 献 者 打 开 拉 取 请 求 时 ， 他 们 会 看 到 一 条 信 息 ， 即 维 护 者 必 须 批 准 他 们 的 行 动 工 作 流 才 能 运 行 。 领 先 的 C I / C D 解 决 方 案 和 D e v O p s 平 台 可 以 效 仿 G i t H u b 的 做 法 ， 增 加 一 些 安 全 检 查 ， 以 阻 止 恶 意 行 为 者 大 规 模 滥 用 其 基 础 设 施 。 三 、 加 强 并 定 期 审 计 云 原 生 容 器 三 、 加 强 并 定 期 审 计 云 原 生 容 器 实 践 出 真 知 ， 标 准 的 最 佳 实 践 具 有 很 大 的 参 考 意 义 。 比 如 确 保 生 产 容 器 配 置 正 确 ， 并 对 常 见 的 攻 击 载 体 进 行 加 固 ， 包 括 保 护 管 道 配 置 。 然 而 ， 简 单 的 错 误 配 置 有 时 很 难 被 发 现 。 那 么 问 题 来 了 ， 基 于 D o c k e r 的 环 境 是 否 有 漏 洞 ？ 所 以 ， 需 要 定 期 对 容 器 进 行 安 全 审 计 ， 以 发 现 弱 点 ， 扫 描 容 器 镜 像 和 清 单 文 件 ， 以 发 现 常 见 的 安 全 问 题 ， 这 些 措 施 仍 然 是 很 有 帮 助 的 。 投 资 于 可 靠 的 云 原 生 容 器 安 全 解 决 方 案 也 是 明 智 之 举 ， 它 可 以 自 动 完 成 大 部 分 工 作 。 每 年 都 报 告 了 大 量 的 安 全 漏 洞 ， 并 且 难 以 被 人 发 现 。 此 外 ， 随 着 公 司 采 用 K u b e r n e t e s 框 架 和 D o c k e r 容 器 来 部 署 他 们 的 应 用 程 序 ， 具 有 内 置 W e b 应 用 防 火 墙 的 容 器 安 全 解 决 方 案 可 以 在 早 期 检 测 和 阻 止 可 疑 的 网 络 流 量 。 这 可 以 防 止 较 大 的 损 害 ， 即 使 攻 击 者 能 够 穿 透 容 器 并 获 得 初 始 访 问 。 四 、 集 成 深 度 代 码 扫 描 以 自 动 进 行 代 码 质 量 检 查 四 、 集 成 深 度 代 码 扫 描 以 自 动 进 行 代 码 质 量 检 查 在 代 码 正 式 提 交 之 前 ， 需 要 自 动 化 工 具 来 发 现 代 码 质 量 问 题 、 安 全 漏 洞 和 内 存 泄 漏 或 竞 赛 条 件 等 错 误 ， 这 可 以 从 一 开 始 就 确 保 C I / C D 管 道 安 全 的 有 效 策 略 。 虽 然 重 点 主 要 放 在 防 止 网 络 攻 击 上 ， 但 微 小 的 错 误 也 同 样 可 能 产 生 大 规 模 的 影 响 。 比 如 ， F a s t l y 的 全 球 故 障 使 世 界 各 地 的 主 要 网 站 都 下 线 了 。 像 G i t H u b 代 码 扫 描 器 或 S o n a t y p e 的 L i f t 这 样 的 解 决 方 案 可 以 无 缝 地 集 成 到 现 有 的 编 码 工 作 流 程 中 ， 并 为 开 发 者 提 供 基 本 的 保 障 。 归 根 结 底 ， 一 个 组 织 的 目 标 应 该 是 支 持 其 开 发 人 员 做 好 工 作 ， 同 时 尽 可 能 地 防 止 在 应 用 程 序 中 引 入 错 误 或 安 全 漏 洞 。 这 需 要 开 发 和 安 全 团 队 之 间 的 相 互 契 合 。 在 开 发 人 员 编 码 时 提 醒 他 们 可 能 出 现 的 疏 忽 ， 实 时 通 知 可 以 节 省 每 个 人 的 时 间 ， 并 从 一 开 始 就 确 保 整 个 C I / C D 工 作 流 程 。
五 、 尽 早 对 最 新 的 五 、 尽 早 对 最 新 的 C I / C D 工 具 漏 洞 打 补 丁 工 具 漏 洞 打 补 丁 2 0 2 1 年 3 月 ， 攻 击 者 利 用 一 个 名 为 z 0 M i n e r 的 加 密 挖 矿 僵 尸 网 络 ， 在 有 漏 洞 的 J e n k i n s 和 E l a s t i c S e a r c h 服 务 器 上 开 采 M o n e r o （ X M R ） 加 密 货 币 。 通 过 利 用 互 联 网 服 务 器 中 的 远 程 代 码 执 行 （ R C E ） 漏 洞 ， 攻 击 者 试 图 感 染 和 接 管 自 动 化 基 础 设 施 ， 以 进 行 他 们 的 犯 罪 活 动 。 无 独 有 偶 ， 去 年 报 告 了 攻 击 者 利 用 J e n k i n s 服 务 器 开 展 造 成 分 布 式 拒 绝 服 务 （ D D o S ） 攻 击 。 事 件 背 后 是 因 为 一 个 U D P 放 大 反 射 D o S 攻 击 漏 洞 ， 被 追 踪 为 C V E - 2 0 2 0 - 2 1 0 0 ， 它 影 响 到 J e n k i n s   v 2 . 2 1 9 以 下 的 版 本 ， 以 及 J e n k i n s   L T S   2 . 2 0 4 . 1 以 下 的 版 本 。 一 旦 发 现 这 些 严 重 的 漏 洞 ， 立 即 对 自 动 化 工 具 和 管 道 进 行 修 补 ， 这 对 于 确 保 C I / C D 基 础 设 施 的 安 全 至 关 重 要 。 六 、 在 应 用 更 新 之 前 验 证 其 完 整 性 六 、 在 应 用 更 新 之 前 验 证 其 完 整 性 应 用 最 新 的 更 新 和 补 丁 听 起 来 是 合 理 举 措 ， 但 更 新 是 否 又 被 篡 改 这 似 乎 很 难 确 定 ？ 几 十 年 来 ， ” 更 新 到 最 新 版 本   “ 的 建 议 一 直 是 安 全 专 家 的 口 头 禅 ， 但 在 S o l a r W i n d s 供 应 链 攻 击 事 件 后 ， 这 一 建 议 受 到 了 挑 战 。 在 S o l a r W i n d s 事 件 中 ， 对 O r i o n   I T 产 品 的 恶 意 更 新 使 攻 击 者 能 够 向 下 游 的 1 8 0 0 0 多 名 客 户 分 发 恶 意 代 码 。 然 而 ， P a s s w o r d s t a t e 密 码 管 理 器 的   “ 本 地 升 级 功 能   “ 再 次 被 入 侵 ， 向 P a s s w o r d s t a t e 用 户 分 发 恶 意 更 新 。 因 此 ， 盲 目 地 应 用 产 品 更 新 未 必 是 一 件 好 事 。 在 C o d e c o v 的 案 例 中 ， 一 个 简 单 的 完 整 性 检 查 发 现 了 长 达 两 个 月 的 漏 洞 。 一 位 客 户 注 意 到 托 管 在 服 务 器 上 的 B a s h U p l o a d e r 的 校 验 和 （ 哈 希 值 ） 与 C o d e c o v 的 G i t H u b 仓 库 中 列 出 的 合 法 校 验 和 之 间 存 在 差 异 ， 立 即 与 C o d e c o v 联 系 ， 随 后 他 们 修 复 了 这 一 问 题 。 因 此 ， 深 度 防 御 的 方 法 要 求 对 任 何 更 新 、 补 丁 和 下 载 的 完 整 性 进 行 验 证 ， 以 便 排 除 来 自 复 杂 的 供 应 链 攻 击 的 风 险 。 参 考 链 接 参 考 链 接 S e c u r i n g   C I / C D   p i p e l i n e s :   6   b e s t   p r a c t i c e s 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理