Protección de pipelines de CI/CD

Un pipeline de CI/CD tiene acceso privilegiado al código fuente, los secretos y la producción. Comprometerlo permite a un atacante inyectar puertas traseras en cada compilación futura mientras evita la revisión de código. Es uno de los objetivos de mayor valor de la ingeniería moderna.

Trate el pipeline como infraestructura de producción: merece el mismo nivel de refuerzo, supervisión y disciplina de privilegios mínimos que sus sistemas activos.

Los pipelines se ejecutan automáticamente ante eventos que no controla por completo: pull requests, etiquetas y contribuciones externas. Un pull request malicioso puede intentar modificar la propia compilación.

• Una definición del pipeline contaminada en un fork puede intentar exfiltrar secretos
• El código que no es de confianza puede ejecutarse con los mismos permisos que las compilaciones de confianza

Separe los flujos de trabajo de confianza de los que no lo son: no exponga secretos a trabajos activados por pull requests externos.

Los pasos del pipeline suelen obtener acciones de terceros o imágenes de contenedor mediante una etiqueta mutable. Si esa etiqueta se redirige a contenido malicioso, la compilación queda comprometida. Fije los elementos mediante digests inmutables.

Los tokens predeterminados del pipeline suelen tener demasiados permisos y conceden acceso de escritura a todo el repositorio o registro. Restrinja su alcance exactamente a lo que necesita cada trabajo.

Los secretos codificados directamente o compartidos ampliamente son una vía principal de filtración. Aplique un tratamiento estricto:

• Almacene los secretos en un gestor de secretos o en el almacén de secretos de CI, nunca en el código
• Prefiera la federación OIDC de corta duración a las claves estáticas de la nube
• Enmascare los secretos en los registros y evite que se repitan
• Limite cada secreto a los trabajos y entornos mínimos necesarios

La federación OIDC permite que el pipeline intercambie una identidad de compilación por credenciales de nube de corta duración, eliminando por completo las claves de larga duración.

Un runner de compilación reutilizado puede transportar malware o secretos filtrados de un trabajo al siguiente. Los runners efímeros se crean desde cero para cada trabajo y se destruyen después, de modo que nada persiste.

• Un entorno limpio por compilación, que después se descarta
• Ningún estado compartido entre trabajos de confianza y trabajos que no lo son
• Tráfico saliente de red restringido a los puntos de conexión necesarios

Esto respalda directamente los objetivos de aislamiento de SLSA L3.

La confianza del pipeline comienza en el control de código fuente. Si cualquiera puede hacer push a la rama de lanzamiento, las firmas y los análisis posteriores no sirven de nada.

• Exija la revisión de pull requests antes de fusionar
• Exija commits firmados en las ramas protegidas
• Exija que superen las comprobaciones de estado (pruebas y análisis)
• Prohíba el force-push y el push directo a main

Integre los controles de seguridad directamente en CI para que los problemas hagan fallar la compilación en lugar de llegar a producción.

Las acciones de gran impacto merecen un control humano. Los despliegues en producción y los cambios de credenciales deben requerir la aprobación de alguien distinto de su autor.

• Las reglas de protección del entorno exigen un revisor antes del despliegue
• Separe la identidad de compilación de la identidad de despliegue
• Ninguna persona puede escribir código y enviarlo a producción sin revisión

Esto limita tanto el riesgo interno como el radio de impacto de una cuenta comprometida.

Debe poder reconstruir lo que hizo el pipeline. Centralice y proteja sus registros.

• Envíe los registros de CI a un almacén de solo adición y con acceso controlado
• Registre quién modificó las definiciones del pipeline y cuándo
• Genere procedencia firmada para que los artefactos se puedan rastrear hasta una compilación concreta
• Alerta sobre anomalías: un runner autoalojado nuevo, acceso inesperado a secretos o un cambio de configuración fuera del proceso de revisión

Un pipeline defendible combina controles de código fuente, compilación y lanzamiento:

• Protección de ramas, commits revisados y firmados
• Acciones e imágenes fijadas mediante digest
• Tokens OIDC de corta duración y con privilegios mínimos
• Runners efímeros y aislados
• Análisis de secretos, dependencias y configuración dentro del pipeline
• Aprobación de lanzamientos por dos personas
• Artefactos firmados, SBOM y procedencia con registro de auditoría

Decida cuál es el control adecuado para un token de compilación privilegiado.

Ha aprendido a reforzar toda la ruta de compilación y lanzamiento.

• Trate el pipeline como producción; puede introducir puertas traseras en cada compilación futura
• Aísle las compilaciones de PR que no son de confianza de los secretos
• Fije las acciones y las imágenes mediante digest; utilice tokens OIDC de corta duración y con privilegios mínimos
• Utilice runners efímeros y aislados y proteja la rama de código fuente
• Analice dentro del pipeline, exija la aprobación de lanzamientos por dos personas y conserve registros de auditoría con evidencia de manipulación

Curso completado: ahora puede proteger la cadena de suministro de software de extremo a extremo.