如何提高CI/CD管道安全性?

数字化进程加速使得产品的开发和迭代节奏变快，在加速产品发布的同时，CI/CD也容易受到网络安全问题的影响，如代码损坏、安全错误配置和机密管理不当。在CI/CD管道通过安全实践可以确保代码质量、管理风险并保持完整性。

CI/CD 安全性

《软件供应链状况报告》报告发现，旨在积极渗透开源软件供应链的下一代网络攻击激增了430%。它还发现，51%的组织需要超过一周的时间来修复新的0 day漏洞。在这种背景下，CI/CD对DevOps的影响是强大的：它可以帮助开发人员将代码发布速度提高 83%，从而腾出时间专注于更多的测试，包括安全性。

CI/CD安全性是关于在软件交付管道中识别和减少安全风险，从而生产出可靠和无风险的高质量产品。每个组织或产品都有一个基于其关键过程和工具的独特CI/CD管道。但是加强CI/CD安全性的基本思想是避免数据泄露和应用程序中断。

CI/CD管道的核心包括关键的开发组件，如源代码、应用程序代码存储库、容器和构建服务器，这使它成为攻击者的主要目标。即使单个组件被破坏，也可能为攻击者提供可利用资源。

在没有CI/CD安全的情况下，攻击者可以利用其漏洞进行重大攻击。管道安全漏洞可能造成的一些安全风险包括：

不安全的代码：缺乏代码扫描程序会引入恶意代码和漏洞，网络攻击者可以利用这些漏洞造成严重破坏。

供应链攻击：严重依赖开源和第三方代码库是数据泄露事件的主要原因之一，因为它们可能带来严重威胁。

秘密的暴露：不适当的安全管理允许在管道中使用的多个工具来利用敏感数据，如凭据。

不安全的系统配置：未能准确配置基础架构、网络或应用程序可能会使系统受到网络攻击。

缺少访问控制：不实施基于管道的访问控制会使恶意行为者能够访问关键资源和资产。

CI/CD的作用

CI/CD 管道是 DevOps 实践的核心原则，专注于开发和运营之间的精简协作。在安全“左移”方法中，软件开发过程的每个阶段都会集成安全性，来构建以安全为核心的应用程序，而不是在应用程序交付后再考虑安全问题。

在 CI/CD 管道中添加安全性至关重要。根据Ponemon的网络安全状况报告，大约66%的组织在过去12个月中经历过网络攻击。它进一步披露，45%的攻击受害者将攻击归咎于安全措施不足。除此之外，IBM还发现，企业平均需要197天才能发现数据泄露，而处理数据泄露则需要额外69天。

与网络攻击造成的财务和声誉损失相比，在CI/CD管带实施安全加固措施十分明智。

CI/CD安全加固的6个步骤

1. 始终识别 CI 管道配置错误

错误配置是网络攻击的主要原因之一，因为不法分子积极地寻求它们侵入系统。最近的一份报告发现，截至2021年，63%的第三方代码模板包含不安全的配置。

通过持续检测和修正错误配置，可以显著减少针对应用程序的恶意尝试。使用强大的编码、开发策略和自动化工具来阻止引入管道的风险并确保每个工作负载的完整性，可以发现管道弱点。

2. 监测可疑编码模式

通过在开发周期的早期阶段检测代码中的bug，可以显著增强应用程序的安全性。通过在管道中建立一个健壮的代码评审实践可以实现，并能提高代码质量。

通过遵循安全编码原则可以避免出现软件缺陷，同时攻击者可能利用漏洞来执行恶意代码，因此需要监视、定位和标记可疑编码模式。通过模式匹配或使用自动代码安全工具识别正则表达式或字符序列等策略来实现这一点。

通过在存储库中使用带有配置的代码扫描机制的拉请求检查，可以识别拉请求中的缺陷，检查突出显示的代码段，并启动修复。

3. 自动化与人工审核相结合

自动化已成为现代应用程序开发领域的必需品。它有助于加快产品开发速度，从而为组织提供竞争优势。这同样适用于安全管理。通过实施自动化，可以显著改善管道安全状况。IaC(基础结构即代码)和 PaC(策略即代码)是两种广泛使用的 DevOps 实践。

4. 团队合作主动利用现有的工具和框架

DevOps 在很大程度上依赖于自动化来加速开发、配置、测试和部署，从而更快地发布产品。如此快速的速度是通过使用多种工具和框架来实现的，这些工具和框架不仅可以加快流程，还可以快速识别和解决错误、漏洞和缺陷。它们还自动执行监控、测试和基础设施管理等关键流程，减少不准确的范围。可以使用多种类型的 CI/CD 工具来增强管道，例如：

CI 工具：持续集成工具能够将代码集成到共享存储库中，以自动执行生成、测试和报告。它们有助于多个代码集成并自动执行验证过程，以审查和识别代码问题。

CD 工具：持续部署和交付工具可在将软件推送到生产阶段之前实现自动化测试和手动审查。使用 CD 工具可以加快软件发布速度，并提高产品的质量和可靠性。

配置管理工具：这些工具可以有序地跟踪和管理更改。

5. 在管道中构建持续测试

传统上，开发人员会把测试留到软件开发的最后阶段。但这种方法会使得每发现缺陷都要回到原点从根源上解决问题。实现持续测试策略是加强CI/CD管道安全性的一种更有效的方法。它意味着在开发周期的每个阶段注入软件测试。

可以采用的一些测试实践包括：

SAST：SAST(静态应用程序安全测试)可集成到软件开发生命周期中，具有对应用程序源代码和二进制代码的扫描访问权限。直接面对源码进行分析，可以查找代码缺陷问题，安全漏洞及一些运行时缺陷。通过SAST可以提供对代码的实时审查，快速改善安全问题。

DAST: DAST(动态应用程序安全测试)可以扫描应用程序及其相关结构，而不需要看到源代码、技术或框架。因此，它也被称为“黑盒测试”。它突出了SQL注入和跨站点脚本等安全风险。

渗透测试：渗透测试是一种测试练习，通过模拟虚假网络攻击以了解后门或端点漏洞等应用程序弱点。它突出显示了授权问题、业务逻辑漏洞和工作流差距等威胁。

6. 自动化数据安全

除了自动执行安全管理之外，还应自动执行安全过程，包括数据安全性。这主要是因为产品版本与新数据库、数据模型或新数据集相关联。从生产环境中提取数据以运行测试和验证功能时，必须保护敏感数据。

CI/CD可以说是关键的DevOps实践，它形成了整个软件开发过程的焦，并且包含关键的应用程序组件，如源代码、存储库和容器框架，因此可以理解，为什么攻击者将CI/CD视为攻击应用程序的热门目标。

来源：

https://spectralops.io/blog/ci-cd-security-hardening/