Segurança do pipeline CI/CD
Veja porque é que proteger o seu processo de integração e entrega contínuas é fundamental para salvaguardar a segurança e a fiabilidade da sua base de código e das suas implementações.
Segurança do pipeline CI/CD
A integração contínua e os pipelines de implementação/entrega contínuos são o coração de qualquer ciclo de vida de desenvolvimento de software eficiente, mas são também um alvo privilegiado para os atacantes que pretendem recolher dados ou causar estragos. Uma forte segurança de pipeline CI/CD é mais do que integrar uma ferramenta de código aberto com npm install ou migrar para uma plataforma CI/CD diferente - é necessário desenvolver um plano abrangente para repositórios de código de segurança, proteger servidores de compilação, salvaguardar artefactos e bloquear segredos.
As vulnerabilidades de segurança em qualquer fase do processo de CI/CD deixam-no vulnerável a violações de dados, tempo de inatividade e à perda de confiança dos clientes.
aumento anual dos ataques à cadeia de abastecimento envolvendo componentes maliciosos de terceiros
Sonatype
das empresas citam a exposição da cadeia de ferramentas CI/CD, como a fuga acidental de segredos, como um risco crítico para a cadeia de fornecimento de software.
ReversingLabs
das empresas confirmam ter sofrido um incidente de segurança de CI/CD no último ano ou não têm visibilidade suficiente para afirmar com confiança que não o fizeram.
Pesquisa Techstrong
Um exemplo de segurança do pipeline CI/CD e como funciona
Conforme mencionado, o desenvolvimento de uma segurança abrangente do pipeline de CI/CD não é um processo único de aquisição e configuração; não abrange apenas uma área do ciclo de vida do desenvolvimento de software. Em vez disso, é uma abordagem holística aos seus processos de teste e automação, com muitos pontos de contacto desde o seu IDE até um ambiente de produção.
Por exemplo, a segurança do pipeline de CI/CD começa com o seu sistema de gestão de código-fonte (SCM). Os benefícios da automação de CI/CD, em que é possível implantar automaticamente código aprovado e mesclado em um ambiente de produção, também podem se tornar um vetor de ataque se você deixar passar código não confiável. O seu SCM - pense no GitHub, Bitbucket e outros - deve exigir várias revisões antes da fusão (com as fusões automáticas totalmente desactivadas), ramos protegidos e commits assinados. Cada etapa oferece mais oportunidades para detetar ataques ou vulnerabilidades antes de entrar no pipeline de CI/CD.
Esta é apenas a primeira fase do pipeline de CI/CD - quando se alarga o âmbito, os vectores de ataque aumentam drasticamente.
Como é que a segurança do pipeline CI/CD ajuda os programadores?
Um pipeline de CI/CD seguro permite-lhe a si e aos seus colegas efetuar alterações frequentes sem receio constante de introduzir vulnerabilidades ou expor dados sensíveis, como credenciais ou informações pessoais dos seus clientes.
A melhor forma de se preparar é minimizar o risco tanto quanto possível, e isso começa com a forma como o software é fornecido aos ambientes de produção.
Para além dos requisitos de conformidade padrão, como o RGPD e a CCPA, a segurança de CI/CD desempenha um papel significativo nos requisitos de conformidade específicos do sector e nas normas voluntárias, como SOC 2, ISO 27001 e outras.
Implementar a segurança do pipeline de CI/CD: uma visão geral
Como mencionado, a segurança do pipeline CI/CD é um ciclo de melhoria contínua com muitas paragens ao longo do caminho:
A difícil verdade sobre a segurança do pipeline CI/CD é que a implementação adequada de cada etapa requer novas ferramentas e plataformas, que vêm com curvas de aprendizagem e complexidade adicional, especialmente para os desenvolvedores.
Ou, você pode encurtar toda essa complexidade com o Aikido:
Práticas recomendadas para uma segurança eficaz do pipeline de CI/CD
Tal como acontece com todas as coisas de segurança em software, os fundamentos são o seu ponto de partida - há muito mais que pode fazer para melhorar a sua postura de segurança nas configurações, compilações e artefactos de CI/CD.
Quer esteja a escolher um fornecedor de CI/CD pela primeira vez ou a validar o ecossistema para uma potencial migração, comece por insistir que todas as compilações e testes utilizem ambientes efémeros e isolados que evitem a contaminação cruzada - e que sejam imediatamente destruídos após a conclusão. Em seguida, adopte o princípio do menor privilégio para todos os componentes e processos do pipeline, o que impede que os atacantes se desloquem lateralmente na sua infraestrutura.
Por fim, implemente uma estratégia consistente para rodar as credenciais de acesso que mantêm o seu pipeline de CI/CD em movimento, para o caso de uma exposição passar despercebida.
Comece a usar a segurança do pipeline de CI/CD gratuitamente
Ligue a sua plataforma Git ao Aikido para analisar todas as áreas do seu pipeline CI/CD com triagem instantânea, priorização inteligente e contexto preciso para uma rápida correção.
Primeiros resultados em 60 segundos com acesso só de leitura.
SOC2 Tipo 2 e
Certificação ISO27001:2022
