Warum CI/CD-Sicherheit von entscheidender Bedeutung ist
Die CI/CD-Pipeline ist von zentraler Bedeutung für den Erfolg von DevOps-Designmethoden. Sobald der Code entwickelt und an das Repository übergeben wurde, erstellt die Pipeline den Code automatisch, testet ihn und bereitet ihn für die Bereitstellung in der Produktion vor.
Die Sicherheit des in der Produktion bereitgestellten Codes hängt von der Sicherheit der CI/CD-Pipeline ab. Wenn Testfälle falsch, unvollständig oder geändert sind, könnte die Schwachstelle unentdeckt bleiben. Schädlicher oder anfälliger Code könnte auch während des CI/CD-Prozesses über Abhängigkeiten von Drittanbietern in eine Anwendung eingeschleust werden. CI/CD-Sicherheit trägt dazu bei, diese und andere Sicherheitsrisiken in der gesamten CI/CD-Pipeline zu mindern.
CI/CD-Sicherheitsrisiken
CI/CD-Pipelines, Anwendungen und DevOps-Prozesse in Unternehmen sind zahlreichen Sicherheitsrisiken ausgesetzt, darunter den folgenden:
- Unsichere Codierung: Eine der Hauptfunktionen der CI/CD-Pipeline besteht darin, Code vor der Bereitstellung in der Produktion zu testen. Dazu gehören Sicherheitstests, die darauf abzielen, Schwachstellen im Code zu identifizieren, bevor diese potenziell ausgenutzt werden.
- Unzureichende Zugriffskontrollen: Code innerhalb einer CI/CD-Pipeline muss Zugriff auf bestimmte Daten und Ressourcen haben, um ein funktionierendes Image zum Testen zu erstellen. Pipeline-Zugriffskontrollen beschränken den Zugriff von Pipelines nur auf das, was für ihre Rollen erforderlich ist, und minimieren so die potenziellen Auswirkungen, wenn bösartiger Code innerhalb der Pipeline ausgeführt wird.
- Sicherheitsfehlkonfigurationen: Die CI/CD-Pipeline ist eine komplexe Umgebung, die aus verschiedenen Systemen besteht. Wenn diese Systeme falsch konfiguriert sind, kann die Sicherheit der Pipeline beeinträchtigt werden.
- Offenlegung von Geheimnissen: Eine Anwendung erfordert möglicherweise Zugriff auf verschiedene Arten vertraulicher Informationen, wie z. B. Passwörter und API-Schlüssel. Daher müssen diese Geheimnisse zum Testen in CI/CD-Pipelines zugänglich sein. Wenn diese Geheimnisse in der CI/CD-Pipeline oder in DevOps-Umgebungen offengelegt werden, können sie es einem Angreifer ermöglichen, Daten zu stehlen, auf Unternehmenssysteme zuzugreifen oder der Anwendung schädliche Funktionen hinzuzufügen.
- Anfällige Bibliotheken von Drittanbietern: Nahezu alle Anwendungen verlassen sich auf Code von Drittanbietern, um verschiedene Funktionen zu implementieren. Wenn diese Drittanbieter-Bibliotheken Schwachstellen oder Hintertüren enthalten, könnte dies dazu führen, dass Anwendungen die Bibliotheken nutzen und von einem Angreifer ausgenutzt werden.
- Supply-Chain-Angriffe: Bei einem Supply-Chain-Angriff zielt ein Angreifer auf die Open-Source- und Drittanbieter-Abhängigkeiten ab, auf die eine Anwendung angewiesen ist. Dazu kann das Hinzufügen von Schwachstellen, Hintertüren oder anderen schädlichen Funktionen zu einer Anwendung gehören.
Sicherung der CI/CD-Pipeline
CI/CD-Pipelines und die Anwendung, mit der sie arbeiten, sind einer Vielzahl potenzieller Sicherheitsrisiken ausgesetzt. Zu den Lösungen, die in CI/CD-Pipelines integriert werden können, um die Anwendungssicherheit (AppSec) zu verbessern, gehören die folgenden:
- Source Composition Analysis (SCA): SCA-Lösungen identifizieren die Abhängigkeiten von Drittanbietern, die eine Anwendung nutzt, und die darin enthaltenen potenziellen Schwachstellen. Dies kann vor anfälligen Code- und Lieferkettenangriffen Dritter schützen.
- Quellcode-Scanning: Beim statischen Anwendungssicherheitstest (SAST) wird der Quellcode einer Anwendung auf potenzielle Schwachstellen untersucht. Code-Scanning- Lösungen ermöglichen es DevOps-Teams, Schwachstellen frühzeitig im Software Development Lifecycle (SDLC) zu erkennen und zu beheben, wenn ihre Behebung kostengünstiger ist.
- Sicherheitstests: Während der Testphase des SDLC können DAST-Lösungen ( Dynamic Application Security Testing ) Schwachstellen in funktionalen Anwendungen identifizieren. Diese Tests finden später im SDLC statt, können jedoch Probleme identifizieren, die von SAST-Lösungen nicht erkannt werden.
- Laufzeitsicherheit: Schwachstellen können beim Testen übersehen oder entdeckt werden, nachdem eine Anwendung in der Produktion ist. Laufzeitsicherheitslösungen wie Runtime Application Self-Protection (RASP) können eine kontinuierliche Überwachung und Schutz für eine Anwendung bieten, nachdem sie in der Produktion bereitgestellt wurde.
CI/CD-Sicherheit mit CloudGuard Spectral
CI/CD-Sicherheit ist für Unternehmens-AppSec von entscheidender Bedeutung. Wenn ein Angreifer unrechtmäßigen Zugriff auf CI/CD-Prozesse erhält, kann er möglicherweise Schwachstellen, schädliche Funktionen oder Konfigurationsfehler in die Anwendung einschleusen. Sobald diese anfälligen Anwendungen in der Produktion eingesetzt werden, können sie das Unternehmen und seine Kunden gefährden.
Alternativ kann ein Angreifer mit Zugriff auf Entwicklungsumgebungen diesen Zugriff nutzen, um die Geheimnisse und andere sensible Daten zu stehlen, die von der Anwendung während des CI/CD-Prozesses verwendet werden. Anmeldeinformationen, API-Tokens und ähnliche Geheimnisse können die Sicherheit der gesamten IT-Infrastruktur und Anwendungssuite eines Unternehmens gefährden, wenn sie aufgrund von Schwachstellen im Softwareentwicklungsprozess einem Angreifer ausgesetzt werden.
Check Point CloudGuard Spectral bietet entwicklerorientierte End-to-End-Sicherheit für CI/CD-Pipelines.
Erfahren Sie mehr über die Sicherheitsfunktionen für Entwickler von CloudGuard. Dann überzeugen Sie sich selbst von den Möglichkeiten von Spectral, indem Sie sich noch heute für eine kostenlose Demo anmelden.
Feedback