CI/CD Bezpečnost

TL;DR:

CI/CD Bezpečnost zajišťuje, že každý krok vašeho softwarového dodavatelského řetězce, od kódu po nasazení, je chráněn před zranitelnostmi, únikem tajemství, špatnou konfigurací, právními riziky a riziky dodavatelského řetězce.

Chrání automatizační nástroje jako Jenkins, GitLab CI a GitHub Actions před neoprávněným přístupem a škodlivým injekčním kódem, zajišťuje, že všechny softwarové komponenty jsou bezpečné při uvolnění do produkce. Nedodržení těchto bezpečnostních opatření může vést k významným finančním škodám; například jedna hodina výpadku může velké organizace stát tisíce dolarů a úniky dat mohou mít ještě závažnější finanční důsledky, včetně ztráty příjmů a právních sankcí.

Co je CI/CD

CI/CD znamená Continuous Integration (CI) a Continuous Deployment (CD), obě jsou klíčovými praktikami v moderním softwarovém vývoji a DevOps.

• Continuous Integration (CI) znamená, že kód je automaticky sestaven a testován, když vývojář provede změny v kódu a sloučí je do sdíleného úložiště.
• Continuous Deployment (CD) znamená, že testovaný kód je automaticky uvolněn do produkce bez manuálního nasazení.

CI/CD urychluje dodávku softwaru, ale pokud není zabezpečen, může urychlit zranitelnosti dodávané do produkce.

Co je CI/CD Bezpečnost

CI/CD Bezpečnost je proces integrace bezpečnosti do Continuous Integration a Continuous Deployment (CI/CD) pipeline, od commitu po nasazení.

Zajišťuje, že automatizace, jako je Jenkins, GitHub Actions, GitLab CI nebo jiné nástroje CI/CD, jsou zabezpečeny před útočníky, aby nemohli manipulovat s kódem, vkládat malware nebo krást tajné informace.

Proč záleží na bezpečnosti CI/CD

Moderní týmy pro vývoj softwaru se silně spoléhají na CI/CD pro urychlení dodávky; nicméně rychlost bez bezpečnosti může být nebezpečná. Na druhou stranu, pokud není bezpečná, může způsobit, že zranitelný software se dostane do produkce rychleji.

Zvažte scénář narušení: útočník získá přístup k CI/CD pipeline, vloží škodlivý kód v rané fázi a jak se kód pohybuje skrz pipeline, dostane se nepozorovaně do produkce. Tento kompromis může vést k neoprávněnému přístupu k datům, poruchám systému a ztrátě reputace, což ilustruje řetězovou reakci, která může být katastrofální, pokud není rychle řešena.

Pokud útočníci kompromitují vaše prostředí CI/CD, mohou v jednom kroku ukrást tajné informace nebo vložit škodlivý kód do systému.

Zde je důvod, proč je důležité zabezpečit vaši CI/CD pipeline

1. Zabraňuje útokům na dodavatelský řetězec softwaru: Útočníci často cílí na nástroje nebo skripty pro sestavení (jako při narušeních SolarWinds).
2. Zastavuje úniky tajných informací: API klíče, tokeny a přihlašovací údaje v pipeline mohou být ukradeny, pokud nejsou zabezpečeny.
3. Chrání integritu kódu: Zajišťuje, že je nasazen pouze podepsaný, ověřený a zkontrolovaný kód.
4. Snižuje prostoje a náklady: Oprava kompromitovaného produkčního systému stojí více než zabezpečení kódu, když je v pipeline.

Příklad: v roce 2021 došlo k incidentu Codecov kvůli tomu, že útočníci upravili skript CI, což jim umožnilo krást přihlašovací údaje a kód z tisíců repozitářů. K tomu došlo kvůli nezabezpečenému nastavení CI/CD.

Jak funguje zabezpečení CI/CD

Zabezpečení CI/CD aplikuje vícevrstvou ochranu v průběhu procesu dodávání softwaru:

1. Zabezpečení zdrojové kontroly

   Chraňte repozitáře pomocí MFA, minimálních oprávnění a podepsaných commitů.

2. Integrace bezpečnostního skenování

   Spouštějte nástroje jako SAST, DAST a SCA v rámci pipeline, aby se automaticky zachytily zranitelnosti.

3. Správa tajemství

   Používejte správce tajemství místo ukládání tajemství v kódu nebo CI proměnných.

4. Podepisování artefaktů

   Podepisujte a ověřujte artefakty sestavení před nasazením, abyste zajistili jejich integritu.

5. Řízení přístupu

   Implementujte minimální oprávnění, omezte, kdo může spouštět sestavení nebo nasazovat do produkce.

6. Nepřetržité monitorování

   Monitorování logů, běhů pipeline a změn prostředí pro včasné odhalení neobvyklého chování.

Kdo používá zabezpečení CI/CD

• Vývojáři: Vytvořte bezpečný kanál s integrovaným skenováním zabezpečení
• DevSecOps inženýři: Automatizujte a prosazujte bezpečnostní politiky
• Bezpečnostní týmy: Monitorujte rizika, shodu a auditní záznamy
• Operační týmy: Zajistěte, aby produkce a nasazení byly důvěryhodné a ověřené

Kdy implementovat bezpečnost CI/CD

Aplikujte bezpečnost CI/CD od prvního dne použitím Bezpečného životního cyklu vývoje softwaru (SSDLC)

Dodržujte přístup “shift left”, který zachytí bezpečnostní problémy včas během vývoje, ne jako konečnou kontrolu před vydáním.

Jak se prostředí neustále vyvíjí, pravidelně přezkoumávejte integrace, oprávnění a závislosti.

Klíčové schopnosti bezpečnosti CI/CD

Schopnost	Popis
Skenování kanálu	Detekuje špatné konfigurace a nezabezpečené skripty.
Detekce tajemství	Nalézá vystavené přihlašovací údaje v kódu nebo proměnných prostředí.
Analýza závislostí & SBOM	Kontroluje zranitelné komponenty open-source.
Kontrola přístupu & auditování	Zaznamenává všechny uživatelské akce pro odpovědnost.
Integrita artefaktů	Zajišťuje, že kód a sestavení jsou ověřeny před vydáním.
Zprávy o shodě	Mapuje bezpečnost kanálu na rámce jako SOC 2 nebo ISO 27001.

Příklad v praxi

Tým DevOps používá Jenkins k automatizaci svého CI/CD kanálu. Během bezpečnostní revize zjistili, že jeden z jejich skriptů pro sestavení obsahuje hardcoded AWS přístupové klíče, což vede k vážné zranitelnosti, pokud není okamžitě opraveno.

Aby to napravili, tým DevOps integruje nástroje pro detekci tajemství a aplikuje Role-Based Access Control (RBAC) v rámci Jenkins:

• Detekce tajemství skenuje každý nový commit a build. Pokud objeví přihlašovací údaje nebo tokeny, build automaticky selže a tým obdrží upozornění.
• RBAC zajišťuje, že pouze autorizovaní uživatelé (jako vedoucí DevOps nebo bezpečnostní inženýři) mohou upravovat pipeline nebo nasazovat kód do produkce.

S implementací tohoto přístupu je nyní pipeline zabezpečena, aby zabránila únikům přihlašovacích údajů a neoprávněnému nasazení, což posiluje celkovou bezpečnostní pozici CI/CD.

Populární nástroje pro bezpečnost CI/CD

• Plexicus ASPM – Poskytuje sjednocenou viditelnost a skenování bezpečnosti pipeline.
• GitLab Ultimate – Zahrnuje vestavěné SAST, DAST a skenování závislostí.
• Aqua Trivy – Skenuje kontejnery a konfigurace pipeline.
• JFrog Xray – Monitoruje závislosti a SBOM pro známé CVEs
• GitHub Advanced Security – Detekuje tajemství a zranitelnosti v repozitářích.

Výhody bezpečnosti CI/CD

• Zastavení zranitelností v rané fázi procesu build.
• Ochrana před útoky na dodavatelský řetězec
• Snížení únavy z upozornění díky automatizaci.
• Zajištění souladu a připravenosti na audit
• Zlepšení spolupráce mezi týmy Dev, Sec a Ops

Související termíny

• DevSecOps
• Software Supply Chain Security
• RBAC
• SAST
• SBOM