blog

May 29, 2023

Como proteger seu pipeline de CI/CD

Segurança de contêineres A integração contínua e a entrega/implantação contínuas (CI/CD) conquistaram os desenvolvedores de aplicativos, com equipes corporativas de segurança cibernética encarregadas de proteger os pipelines de CI/CD. OWASP

Segurança de contêineres

A integração contínua e a entrega/implantação contínuas (CI/CD) conquistaram os desenvolvedores de aplicativos, com equipes corporativas de segurança cibernética encarregadas de proteger os pipelines de CI/CD. Os 10 principais riscos de segurança de CI/CD da OWASP esclarecem o que observar.

Por: Trend Micro 29 de agosto de 2023 Tempo de leitura: (palavras)

Salvar no fólio

No outono passado, o Open Worldwide Application Security Project (OWASP) anunciou um novo projeto focado nos 10 principais riscos de segurança para pipelines de CI/CD. (CI/CD significa integração contínua e entrega/implantação contínua, uma espécie de abordagem de “movimento perpétuo” para o desenvolvimento de software.)

O top 10 reflete o quão difundido o CI/CD se tornou – e quão vulneráveis ​​seus pipelines podem ser devido à complexidade da pilha de tecnologia, ao aumento do uso de automação e infraestrutura como código e à maior integração de terceiros. Também destaca outro caso de profissionais tradicionais de segurança cibernética assumindo responsabilidades ampliadas à medida que as operações de segurança e a segurança na nuvem continuam a convergir.

Menor privilégio, Zero Trust

Com base em nossa avaliação, os 10 principais riscos de segurança de CI/CD da OWASP se enquadram em três categorias gerais: riscos de acesso e credenciais; riscos de integração e dependência; e riscos de configuração. Se há uma mensagem recorrente, é que as organizações devem adotar princípios de privilégios mínimos sempre que possível e abraçar o espírito da abordagem Zero Trust.

Riscos de acesso e credenciais no pipeline de CI/CD

Gerenciamento inadequado de identidade e acesso

A natureza aberta e contínua do CI/CD resulta em mais pessoas e máquinas participando do ecossistema de desenvolvimento em todas as suas fases e estágios. Mesmo uma identidade comprometida tem o potencial de causar danos bastante graves.

De acordo com o OWASP, as identidades podem sofrer de uma série de pontos fracos – desde permissões muito amplas até a desatualização. Recomenda o mapeamento contínuo de todas as identidades internas e externas, removendo permissões desnecessárias e não concedendo permissões gerais a todos os usuários ou grupos grandes. Contas obsoletas devem ter prazo de validade definido. As contas locais (aquelas que não são gerenciadas centralmente) devem ser proibidas, juntamente com o uso de endereços de e-mail pessoais ou não empresariais, autorregistro e contas compartilhadas.

Higiene de credenciais insuficiente

Os malfeitores valorizam as credenciais pelo acesso que concedem a recursos de alto valor e pelas oportunidades que oferecem para implantar códigos e artefatos maliciosos. Eles podem ser expostos de várias maneiras no pipeline de CI/CD.

Se enviadas para uma ramificação do repositório de gerenciamento de alterações de software (SCM), as credenciais poderão ser lidas por qualquer pessoa com acesso ao repositório. Eles podem ser deixados abertos quando usados ​​de forma insegura em processos de construção e implantação ou camadas de imagem e também podem ser impressos nas saídas do console.

As recomendações do OWASP são alternar as credenciais regularmente, aplicar sempre o princípio do menor privilégio, usar credenciais temporárias em vez de estáticas e remover quaisquer segredos ou credenciais dos artefatos quando eles não forem mais necessários.

Controles de acesso baseados em pipeline (PBAC) insuficientes

Os nós de execução de CI/CD acessam sistemas e recursos internos e externos. Os malfeitores podem usar esse acesso para disseminar código malicioso, explorando todas as permissões associadas ao estágio de pipeline em que o código está sendo executado.

Para remediar isso, a OWASP diz que nós com diferentes níveis de sensibilidade ou requisitos de recursos não devem ser compartilhados por vários pipelines. Ele também recomenda uma forma de privilégio mínimo para garantir que cada etapa do pipeline possa acessar apenas os segredos necessários e nenhum outro. Depois que o pipeline for executado, o nó deverá ser restaurado ao seu “estado original” e cada nó deverá ter patches de segurança totalmente atualizados.

Riscos de integração e dependência no pipeline de CI/CD

Abuso da cadeia de dependência

O código no pipeline de CI/CD pode depender de outro código para funcionar, e essas dependências podem ser usadas para importar pacotes maliciosos para o processo de desenvolvimento.