CI/CD-turvallisuus

TL;DR:

CI/CD-turvallisuus varmistaa, että jokainen ohjelmiston toimitusputken vaihe, koodista käyttöönottoon, on suojattu haavoittuvuuksilta, vuotaneilta salaisuuksilta, väärinkonfiguraatioilta, oikeudellisilta riskeiltä ja toimitusketjuriskeiltä.

Se suojaa automaatiotyökaluja kuten Jenkins, GitLab CI ja GitHub Actions luvattomalta pääsyltä ja haitalliselta koodin injektiolta, varmistaen, että kaikki ohjelmistokomponentit ovat turvallisia, kun ne julkaistaan tuotantoon. Näiden turvallisuustoimenpiteiden laiminlyönti voi johtaa merkittäviin taloudellisiin vahinkoihin; esimerkiksi yksi tunti käyttökatkosta voi maksaa suurille organisaatioille tuhansia dollareita, ja tietomurrot voivat aiheuttaa vielä vakavampia taloudellisia seurauksia, mukaan lukien menetetyt tulot ja oikeudelliset seuraamukset.

Mikä on CI/CD

CI/CD tarkoittaa Jatkuvaa Integraatiota (CI) ja Jatkuvaa Käyttöönottoa (CD), jotka molemmat ovat keskeisiä käytäntöjä nykyaikaisessa ohjelmistokehityksessä ja DevOpsissa.

• Jatkuva Integraatio (CI) tarkoittaa, että koodi rakennetaan ja testataan automaattisesti, kun kehittäjä tekee muutoksia koodiin ja yhdistää ne jaettuun arkistoon.
• Jatkuva Käyttöönotto (CD) tarkoittaa, että testattu koodi julkaistaan automaattisesti tuotantoon ilman manuaalista käyttöönottoa.

CI/CD nopeuttaa ohjelmistojen toimitusta, mutta jos sitä ei suojata, se voi nopeuttaa haavoittuvuuksien päätymistä tuotantoon.

Mikä on CI/CD-turvallisuus

CI/CD-turvallisuus on prosessi, jossa turvallisuus integroidaan Jatkuvan Integraation ja Jatkuvan Käyttöönoton (CI/CD) putkeen, sitoumuksesta käyttöönottoon.

Se varmistaa, että automaatio, kuten Jenkins, GitHub Actions, GitLab CI tai muut CI/CD-työkalut, ovat suojattuja hyökkääjiltä, jotta he eivät voi peukaloida koodia, injektoida haittaohjelmia tai varastaa salaisuuksia.

Miksi CI/CD-turvallisuus on tärkeää

Nykyaikaiset ohjelmistokehitystiimit luottavat voimakkaasti CI/CD

toimituksen nopeuttamiseksi; kuitenkin nopeus ilman turvallisuutta voi olla vaarallista. Toisaalta, jos turvallisuutta ei ole, haavoittuva ohjelmisto voi siirtyä tuotantoon nopeammin.

Kuvittele tietomurtoskenaario: hyökkääjä saa pääsyn CI/CD-putkeen, injektoi haitallista koodia varhaisessa vaiheessa, ja kun koodi liikkuu putkessa, se saavuttaa tuotannon huomaamatta. Tämä kompromissi voi johtaa luvattomaan tietojen käyttöön, järjestelmän toimintahäiriöihin ja maineen menetykseen, mikä havainnollistaa ketjureaktiota, joka voi olla tuhoisa, ellei sitä käsitellä nopeasti.

Jos hyökkääjät vaarantavat CI/CD-ympäristösi, he voivat varastaa salaisuuksia tai injektoida haitallista koodia järjestelmään yhdellä liikkeellä.

Tässä on syitä, miksi CI/CD-putken suojaaminen on tärkeää

1. Estää ohjelmistojen toimitusketjuhyökkäykset: Hyökkääjät kohdistavat usein rakennustyökaluihin tai skripteihin (kuten SolarWinds -tietomurroissa).
2. Estää salaisuuksien vuotamisen: API-avaimet, tunnukset ja tunnistetiedot putkissa voidaan varastaa, jos niitä ei suojata.
3. Suojaa koodin eheyden: Varmistaa, että vain allekirjoitettu, vahvistettu ja tarkistettu koodi otetaan käyttöön.
4. Vähentää seisokkeja ja kustannuksia: Kompromissin saaneen tuotantojärjestelmän korjaaminen maksaa enemmän kuin koodin suojaaminen, kun se on putkessa.

Esimerkki: vuonna 2021 Codecov-tietomurto tapahtui, koska hyökkääjät muokkasivat CI-skriptiä varastaakseen tunnistetietoja ja koodia tuhansista arkistoista. Tämä tapahtui, koska CI/CD-asetusta ei ollut suojattu.

Kuinka CI/CD-turvallisuus toimii

CI/CD-turvallisuus soveltaa monikerroksista suojaa koko ohjelmiston toimitusprosessin ajan:

1. Lähdekoodin hallinnan suojaaminen

   Suojaa arkistot MFA

   , vähimmäisoikeuksilla ja allekirjoitetuilla sitoumuksilla.

2. Integroi turvallisuusskannaus

   Aja työkaluja kuten SAST, DAST ja SCA putkistossa havaitaksesi haavoittuvuudet automaattisesti.

3. Salaisuuksien hallinta

   Käytä salaisuuksien hallintatyökaluja sen sijaan, että tallentaisit salaisuuksia koodiin tai CI-muuttujiin.

4. Artefaktien allekirjoittaminen

   Allekirjoita ja varmista rakennusartefaktit ennen käyttöönottoa varmistaaksesi niiden eheys.

5. Pääsynhallinta

   Toteuta vähimmäisoikeudet, rajoita, kuka voi käynnistää rakennuksia tai ottaa käyttöön tuotannossa.

6. Jatkuva seuranta

   Seuraa lokit, putkiston ajot ja ympäristön muutokset havaitaksesi epätavallisen käyttäytymisen aikaisin.

Kuka käyttää CI/CD-turvallisuutta

• Kehittäjät: Rakenna turvallinen putkisto integroidulla tietoturvaskannauksella
• DevSecOps-insinöörit: Automatisoi ja valvo tietoturvakäytäntöjä
• Tietoturvatiimit: Seuraa riskejä, vaatimustenmukaisuutta ja tarkastuslokeja
• Operatiiviset tiimit: Varmista, että tuotanto ja käyttöönotto ovat luotettavia ja varmennettuja

Milloin toteuttaa CI/CD-tietoturva

Ota CI/CD-tietoturva käyttöön alusta alkaen soveltamalla turvallista ohjelmistokehityksen elinkaarta (SSDLC)

Noudata “shift left” -lähestymistapaa, joka havaitsee tietoturvaongelmat jo kehityksen aikana, eikä käsittele niitä lopullisena tarkastuksena ennen julkaisua.

Kun ympäristö kehittyy jatkuvasti, jatka integraatioiden, käyttöoikeuksien ja riippuvuuksien säännöllistä tarkastelua.

CI/CD-tietoturvan keskeiset ominaisuudet

Ominaisuus	Kuvaus
Putkiston skannaus	Havaitsee väärin konfiguroidut ja turvattomat skriptit.
Salaisuuksien tunnistus	Löytää paljastuneet tunnistetiedot koodista tai ympäristömuuttujista.
Riippuvuuksien ja SBOM-analyysi	Tarkistaa haavoittuvat avoimen lähdekoodin komponentit.
Käyttöoikeuksien hallinta ja auditointi	Kirjaa kaikki käyttäjätoiminnot vastuullisuuden takaamiseksi.
Artefaktin eheys	Varmistaa, että koodi ja rakennelmat on varmennettu ennen julkaisua.
Vaatimustenmukaisuusraportointi	Kartoitus putkiston tietoturvasta kehyksiin kuten SOC 2 tai ISO 27001.

Esimerkki käytännössä

DevOps-tiimi käyttää Jenkinsia CI/CD-putkistonsa automatisointiin. Tietoturvatarkastuksen aikana he huomasivat, että yksi heidän rakennusskripteistään sisältää kovakoodatut AWS-käyttöavaimet, mikä johtaa vakavaan haavoittuvuuteen, ellei sitä korjata välittömästi.

Korjatakseen tämän, DevOps-tiimi integroi salaisuuksien tunnistustyökalut ja soveltaa roolipohjaista käyttöoikeuksien hallintaa (RBAC) Jenkinsissä:

• Salaisuuksien tunnistus skannaa jokaisen uuden commitin ja buildin. Jos se löytää tunnistetietoja tai tunnuksia, build epäonnistuu automaattisesti ja antaa hälytyksen tiimille.
• RBAC varmistaa, että vain valtuutetut käyttäjät (kuten DevOps-johtajat tai tietoturva-asiantuntijat) voivat muokata putkistoja tai ottaa koodia käyttöön tuotannossa.

Tämän lähestymistavan toteuttamisen myötä putkisto on nyt turvallinen estämään tunnistetietojen vuotamisen ja luvattoman käyttöönoton, mikä tekee koko CI/CD-tietoturva-asemasta vahvemman.

Suositut CI/CD-tietoturvatyökalut

• Plexicus ASPM – Tarjoaa yhtenäisen näkyvyyden ja putkiston tietoturvaskannauksen.
• GitLab Ultimate – Sisältää sisäänrakennetut SAST-, DAST- ja riippuvuusskannaukset.
• Aqua Trivy – Skannaa kontteja ja putkistokonfiguraatioita.
• JFrog Xray – Valvoo riippuvuuksia ja SBOM tunnetuille CVE
• GitHub Advanced Security – Tunnistaa salaisuuksia ja haavoittuvuuksia repositorioissa.

CI/CD-tietoturvan hyödyt

• Estää haavoittuvuudet aikaisessa vaiheessa build-prosessia.
• Suojaa toimitusketjuhyökkäyksiltä
• Vähentää hälytysväsymystä automaation avulla.
• Varmistaa vaatimustenmukaisuuden ja auditointivalmiuden
• Parantaa yhteistyötä Dev-, Sec- ja Ops-tiimien välillä

Liittyvät termit

• DevSecOps
• Ohjelmistojen toimitusketjun turvallisuus
• RBAC
• SAST
• SBOM