Верига за доставки на софтуер и CI/CD
Какво влиза в кода ви, кой има право да го промени и как се доказва произходът на артефакта.
Веригата за доставки има най-добро съотношение усилие/резултат за нападателя: един компрометиран пакет или build сървър достига всеки надолу по веригата.
CI/CD системата е особено привлекателна цел, защото по дефиниция има права да променя production и достъп до тайните, необходими за това. Затова изолацията на pipeline-а и краткотрайните идентичности са в основата на групата.
3 защити в тази група
Dependency inventory / SBOM
P1Машинно четим списък на components, versions и dependency relationships.
Package provenance, signatures и trusted registries
P1Проверка откъде идва artifact-ът, кой го е build-нал и дали е променян.
CI/CD hardening
P0Минимизиране на privileges, secrets и untrusted execution в build/deploy pipeline.