Mengamankan Pipeline CI/CD

Alur kerja CI/CD memiliki akses istimewa ke kode sumber, rahasia, dan produksi. Jika alur kerja tersebut disusupi, penyerang dapat menyisipkan pintu belakang ke dalam setiap pembuatan di masa mendatang sekaligus melewati peninjauan kode. Alur kerja ini merupakan salah satu sasaran paling bernilai dalam rekayasa modern.

Perlakukan alur kerja sebagai infrastruktur produksi: alur kerja tersebut layak mendapatkan penguatan, pemantauan, dan disiplin hak akses minimum yang sama seperti sistem aktif Anda.

Alur kerja berjalan otomatis berdasarkan peristiwa yang tidak sepenuhnya Anda kendalikan: permintaan penggabungan, label, dan kontribusi eksternal. Permintaan penggabungan berbahaya dapat mencoba mengubah proses pembuatan itu sendiri.

• Definisi alur kerja yang telah disusupi dalam repositori percabangan dapat mencoba mengekstrak rahasia
• Kode yang tidak tepercaya dapat berjalan dengan izin yang sama seperti pembuatan tepercaya

Pisahkan alur kerja tepercaya dan tidak tepercaya: jangan paparkan rahasia kepada pekerjaan yang dipicu oleh permintaan penggabungan eksternal.

Langkah-langkah alur kerja sering mengambil tindakan pihak ketiga atau citra kontainer berdasarkan label yang dapat berubah. Jika label tersebut diarahkan ulang ke konten berbahaya, pembuatan Anda akan disusupi. Kunci pada ringkasan yang tidak dapat diubah.

Token bawaan alur kerja sering memiliki izin berlebihan, sehingga memberikan akses tulis ke seluruh repositori atau registri. Batasi cakupannya tepat pada hal yang dibutuhkan setiap pekerjaan.

Rahasia yang ditulis langsung dalam kode atau dibagikan secara luas merupakan jalur kebocoran utama. Terapkan penanganan yang ketat:

• Simpan rahasia di pengelola rahasia atau penyimpanan rahasia CI, jangan pernah di dalam kode
• Utamakan federasi OIDC berumur singkat daripada kunci layanan awan statis
• Samarkan rahasia dalam catatan dan cegah agar rahasia tidak dicetak ulang
• Batasi setiap rahasia hanya pada pekerjaan dan lingkungan minimum yang diperlukan

Federasi OIDC memungkinkan alur kerja menukar identitas saat pembuatan dengan kredensial layanan awan berumur singkat, sehingga kunci berumur panjang dapat dihilangkan sepenuhnya.

Pelaksana pembuatan yang digunakan ulang dapat membawa perangkat lunak berbahaya atau rahasia yang bocor dari satu pekerjaan ke pekerjaan berikutnya. Pelaksana sementara dibuat baru untuk setiap pekerjaan dan dihancurkan setelahnya, sehingga tidak ada yang tersisa.

• Satu lingkungan bersih untuk setiap pembuatan, lalu dibuang
• Tidak ada keadaan bersama antara pekerjaan tepercaya dan tidak tepercaya
• Lalu lintas keluar jaringan dibatasi ke titik akhir yang diperlukan

Hal ini secara langsung mendukung sasaran isolasi SLSA L3.

Kepercayaan alur kerja dimulai dari sistem kendali sumber. Jika siapa pun dapat mengirim perubahan ke cabang rilis, penandatanganan dan pemindaian di tahap berikutnya menjadi sia-sia.

• Wajibkan peninjauan permintaan penggabungan sebelum penggabungan
• Tegakkan komit bertanda tangan pada cabang yang dilindungi
• Wajibkan pemeriksaan status (pengujian, pemindaian) agar berhasil
• Larang pengiriman paksa dan pengiriman langsung ke main

Integrasikan gerbang keamanan langsung ke CI agar masalah menggagalkan pembuatan, bukan mencapai produksi.

Tindakan berdampak tinggi layak mendapatkan pemeriksaan oleh manusia. Penerapan ke produksi dan perubahan kredensial harus memerlukan persetujuan dari seseorang selain penulisnya.

• Aturan perlindungan lingkungan mewajibkan peninjau sebelum penerapan
• Pisahkan identitas pembuatan dari identitas penerapan
• Tidak ada satu pelaku yang dapat menulis kode sekaligus mengirimkannya ke produksi tanpa peninjauan

Hal ini membatasi risiko orang dalam dan radius dampak dari satu akun yang disusupi.

Anda harus dapat merekonstruksi tindakan alur kerja. Pusatkan dan lindungi catatannya.

• Kirim catatan CI ke penyimpanan yang hanya dapat ditambahi dan aksesnya dikendalikan
• Catat siapa yang mengubah definisi alur kerja dan kapan perubahan itu dilakukan
• Hasilkan asal-usul bertanda tangan agar artefak dapat ditelusuri kembali ke pembuatan tertentu
• Beri peringatan atas anomali: pelaksana baru yang dihosting sendiri, akses rahasia yang tidak terduga, dan perubahan konfigurasi di luar peninjauan

Alur kerja yang dapat dipertahankan menggabungkan pengendalian sumber, pembuatan, dan rilis:

• Perlindungan cabang, komit yang ditinjau dan bertanda tangan
• Tindakan dan citra yang dikunci berdasarkan ringkasan
• Token OIDC berumur singkat dengan hak akses minimum
• Pelaksana sementara yang terisolasi
• Pemindaian rahasia, dependensi, dan konfigurasi dalam alur kerja
• Persetujuan rilis oleh dua orang
• Artefak, SBOM, dan asal-usul bertanda tangan dengan pencatatan audit

Tentukan pengendalian yang tepat untuk token pembuatan yang memiliki hak istimewa.

Anda telah belajar memperkuat seluruh jalur pembuatan dan rilis.

• Perlakukan alur kerja sebagai produksi; alur kerja tersebut dapat memasang pintu belakang pada setiap pembuatan di masa mendatang
• Isolasi pembuatan dari PR yang tidak tepercaya dari rahasia
• Kunci tindakan dan citra berdasarkan ringkasan; gunakan token OIDC berumur singkat dengan hak akses minimum
• Gunakan pelaksana sementara yang terisolasi dan lindungi cabang sumber
• Lakukan pemindaian dalam alur kerja, wajibkan persetujuan rilis oleh dua orang, dan simpan catatan audit yang menunjukkan perubahan

Kursus selesai: kini Anda dapat mengamankan rantai pasokan perangkat lunak dari awal hingga akhir.