ブログ

May 29, 2023

CI/CD パイプラインを保護する方法

コンテナセキュリティ 継続的インテグレーションと継続的デリバリー/デプロイメント (CI/CD) はアプリ開発者の支持を集めており、企業のサイバーセキュリティ チームは CI/CD パイプラインの保護に追われています。 OWASPの

コンテナのセキュリティ

継続的インテグレーションと継続的デリバリー/デプロイメント (CI/CD) はアプリ開発者を魅了しており、企業のサイバーセキュリティ チームは CI/CD パイプラインの保護に追われています。 OWASP のトップ 10 CI/CD セキュリティ リスクは、何に注意すべきかを明確にしています。

投稿者: トレンドマイクロ 2023 年 8 月 29 日 読了時間: ( 文字数)

フォリオに保存

昨年の秋、Open Worldwide Application Security Project (OWASP) は、CI/CD パイプラインのトップ 10 のセキュリティ リスクに焦点を当てた新しいプロジェクトを発表しました。 (CI/CD は継続的インテグレーションと継続的デリバリー/デプロイメントの略で、ソフトウェア開発に対する一種の「永久運動」アプローチです。)

トップ 10 は、CI/CD がいかに普及しているか、そしてテクノロジー スタックの複雑さ、自動化とコードとしてのインフラストラクチャの使用の増加、サードパーティとの統合の増加により、そのパイプラインがいかに脆弱であるかを反映しています。 また、セキュリティ運用とクラウド セキュリティの融合が進むにつれて、従来のサイバーセキュリティ担当者が拡大した責任を引き受ける別の事例も浮き彫りにしています。

最小限の権限、ゼロトラスト

私たちの評価に基づいて、OWASP の CI/CD セキュリティ リスクのトップ 10 は、アクセスと資格情報のリスクの 3 つの一般的なカテゴリに分類されます。 統合と依存関係のリスク。 そして構成上のリスク。 繰り返しメッセージがあるとすれば、それは、組織は可能な限り最小権限の原則を採用し、ゼロ トラスト アプローチの精神を受け入れる必要があるということです。

CI/CD パイプラインにおけるアクセスと認証情報のリスク

不十分な ID とアクセス管理

CI/CD のオープンで継続的な性質により、フェーズやステージ全体で開発エコシステムに参加する人やマシンが増えます。 たとえ 1 つの ID が侵害されただけでも、かなり深刻な損害を引き起こす可能性があります。

OWASP によると、ID には、広すぎる権限から期限切れに至るまで、さまざまな弱点が存在する可能性があります。 すべての内部および外部 ID を継続的にマッピングし、不要な権限を削除し、すべてのユーザーまたは大規模なグループに包括的な権限を付与しないことを推奨します。 古いアカウントには、定義された有効期間を設ける必要があります。 ローカル アカウント (一元管理されていないアカウント) は、個人または企業以外の電子メール アドレス、自己登録、および共有アカウントの使用とともに禁止される必要があります。

不十分な認証情報の衛生管理

悪意のある行為者は、価値の高いリソースへのアクセスと、悪意のあるコードやアーティファクトを展開する機会を与える資格情報を重視します。 これらは、CI/CD パイプラインでさまざまな方法で公開できます。

ソフトウェア変更管理 (SCM) リポジトリ ブランチにプッシュされた場合、リポジトリにアクセスできる誰でも資格情報を読み取ることができます。 これらは、ビルドおよび展開プロセスまたはイメージ レイヤーで安全に使用されない場合、公開されたままになる可能性があり、コンソール出力に出力される可能性もあります。

OWASP の推奨事項は、資格情報を定期的にローテーションすること、最小特権の原則を常に適用すること、静的な資格情報の代わりに一時的な資格情報を使用すること、シークレットや資格情報が不要になったらアーティファクトから削除することです。

不十分なパイプラインベースのアクセス制御 (PBAC)

CI/CD 実行ノードは、内部と外部の両方のシステムとリソースにアクセスします。 悪意のある攻撃者は、そのアクセスを利用して悪意のあるコードを広め、コードが実行されているパイプライン ステージに関連付けられたすべての権限を悪用する可能性があります。

これを改善するために、OWASP は、異なるレベルの感度やリソース要件を持つノードを複数のパイプラインで共有すべきではないと述べています。 また、すべてのパイプライン ステップが必要なシークレットにのみアクセスでき、他にはアクセスできないようにするための、最小限の特権の形式も推奨します。 パイプラインが実行されると、ノードは「元の状態」に復元され、すべてのノードに完全に最新のセキュリティ パッチが適用される必要があります。

CI/CD パイプラインにおける統合と依存関係のリスク

依存関係チェーンの悪用

CI/CD パイプライン内のコードは機能するために他のコードに依存している場合があり、それらの依存関係を使用して悪意のあるパッケージを開発プロセスにインポートする可能性があります。