Srovnání nástrojů pro bezpečnost CI/CD

Každé srovnání říká, v čem je druhý produkt dobrý, čím se CRACI liší a kdy byste použili oba. Všechny kategorie najdete v sekci všechna srovnání.

Proč pipeline potřebuje vlastní bezpečnostní nástroje

Pipeline CI/CD drží přihlašovací údaje, stahuje kód z internetu a vytváří artefakty, které spouštějí vaši zákazníci. To z ní dělá samostatný cíl. Útočník, který dokáže změnit, co build stahuje nebo co vytváří, se vašeho zdrojového kódu vůbec nemusí dotknout. Skenery kódu na to nebyly navrženy, protože čtou repozitář, ne build.

Nástroje pro bezpečnost CI/CD tuto mezeru uzavírají z různých stran. Některé kontrolují, jak je pipeline nakonfigurována, některé sledují, co se děje na runneru během jobu, a některé řídí samotný runner. Vědět, do které skupiny nástroj patří, vám řekne víc než jeho seznam funkcí, protože to rozhoduje, co nástroj vidí a co dokáže zastavit.

Typy nástrojů pro bezpečnost CI/CD

Skenery, které čtou váš kód

Statická analýza (SAST), skenování tajných klíčů a analýza softwarového složení (SCA) čtou repozitář: zdrojové soubory, manifesty a lockfily. GitHub Advanced Security například kombinuje skenování kódu CodeQL se skenováním tajných klíčů a push protection a výstrahy Dependabotu z GitHub Advisory Database. Tyto nástroje najdou problémy dříve, než build poběží. Nevidí, co build skutečně stáhl ani kam se připojil.

Nástroje, které zpevňují pipeline kolem buildu

Nástroje pro bezpečnostní postoj a governance kontrolují konfiguraci pipeline. Cycode monitoruje bezpečnostní politiky CI/CD, konfigurace a governance. StepSecurity vede inventář akcí třetích stran, které používáte, se schvalovacími workflow pro nové akce a otevírá pull requesty, které připínají akce na SHA commitů a nastavují oprávnění GITHUB_TOKEN podle principu nejnižších oprávnění. Tyto nástroje ztěžují zneužití pipeline, pracují ale s definicí buildu, nikoli s buildem za běhu.

Agenti, kteří sledují runner

Runtime agenti běží uvnitř jobu na runnerech, které si ponecháváte. StepSecurity Harden-Runner monitoruje odchozí spojení, procesy a zápisy souborů, přiřazuje každé z nich ke kroku workflow, který ho způsobil, a umí blokovat odchozí provoz mimo allowlist. Cimon od Cycode monitoruje spouštění procesů, odchozí síťový provoz a přístup k souborům na úrovni jádra pomocí eBPF, vytváří SBOM pozorovanou za běhu a podepisuje údaje o původu SLSA. Agenti fungují v mnoha systémech CI i na hostovaných runnerech, protože se přidávají do infrastruktury, která už existuje.

Runnery, které build řídí a zaznamenávají

CRACI volí poslední přístup: nahrazuje runner. Joby běží na CRACI s runs-on: craci a běhy se stále zobrazují na GitHubu. Egress policy je součástí runneru, ověřuje se před spuštěním jobu a při selhání vše zablokuje. Proxy, která rozumí balíčkům, zaznamenává každý balíček, který job stáhl, včetně balíčků obnovených z cache CI, takže každý job vytvoří SBOM se stavem úplnosti, síťový záznam a údaje o původu.

Vedle sebe

„Neuvedeno“ znamená, že jsme to nedokázali ověřit na veřejných stránkách dodavatele. Podrobnosti ke každému sloupci najdete na stránkách CRACI vs StepSecurity, CRACI vs Cycode a CRACI vs GitHub Advanced Security.

Který nástroj pokrývá které riziko CI/CD

OWASP Top 10 CI/CD Security Risks je nejrozšířenější seznam toho, co se může v pipeline pokazit. Jeho deset rizik je:

1. CICD-SEC-1: Insufficient Flow Control Mechanisms
2. CICD-SEC-2: Inadequate Identity and Access Management
3. CICD-SEC-3: Dependency Chain Abuse
4. CICD-SEC-4: Poisoned Pipeline Execution (PPE)
5. CICD-SEC-5: Insufficient PBAC (Pipeline-Based Access Controls)
6. CICD-SEC-6: Insufficient Credential Hygiene
7. CICD-SEC-7: Insecure System Configuration
8. CICD-SEC-8: Ungoverned Usage of 3rd Party Services
9. CICD-SEC-9: Improper Artifact Integrity Validation
10. CICD-SEC-10: Insufficient Logging and Visibility

Žádný jednotlivý nástroj nepokrývá všech deset. Toto jsou čtyři, na které se kontroly CRACI vztahují:

U CICD-SEC-7 pokrývá CRACI runner. Konfigurace vašich repozitářů a vaší organizace na GitHubu zůstává na vás. Abychom byli ke zbytku upřímní: CRACI neřeší správu identit a přístupů (CICD-SEC-2) ani hygienu přihlašovacích údajů (CICD-SEC-6) a neřídí řízení toku, oprávnění pipeline ani služby třetích stran (CICD-SEC-1, 5 a 8). Pro ně jsou určeny skenování tajných klíčů, například Secret Protection od GitHubu nebo detekce tajných klíčů v Cycode, a výše uvedené nástroje pro bezpečnostní postoj.

Jak vybrat nástroj pro bezpečnost CI/CD

• Nahradit runnery, nebo si je ponechat. Pokud si chcete ponechat runnery hostované na GitHubu, vlastní (self-hosted) runnery nebo jiný systém CI, runtime kontroly přidáte pomocí agenta. Pokud jste otevření změně runneru, runner jako CRACI přinese kontrolu odchozího provozu a záznam buildu bez agenta, kterého je třeba nasadit.
• Režim auditu už dnes. Harden-Runner a Cimon umějí sledovat provoz dříve, než cokoli zablokují. Monitorovací režim nebo režim dry-run CRACI je v plánu vývoje.
• Forenzní analýza na úrovni procesů. Pokud při incidentu potřebujete vědět, který proces zapsal který soubor, pokryje to agent, který monitoruje procesy a soubory. CRACI procesy ani zápisy souborů nemonitoruje.
• SBOM a důkazy pro CRA. Pokud potřebujete SBOM každého buildu na úrovni balíčků, údaje o původu a důkazy pro Cyber Resilience Act, podívejte se, co každý nástroj zaznamenává a zda dál monitoruje to, co bylo dodáno. CRACI zaznamenává SBOM během buildu, znovu vyhodnocuje monitorované SBOM, když se objeví nové zranitelnosti, a exportuje SBOM jako CycloneDX nebo SPDX.
• Platformy CI a operační systémy. CRACI dnes podporuje GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje, a běží na Linuxu na x86-64 a ARM64, Windows a macOS jsou v plánu vývoje. Pokud sestavujete v jiných systémech CI nebo potřebujete runnery pro Windows či macOS už teď, nejprve si ověřte pokrytí agenty.
• Kód a tajné klíče. Skenery zdrojového kódu a tajných klíčů pokrývají oblast, kterou žádný runner nepokryje. CRACI nemá SAST ani skenování tajných klíčů, takže s nimi počítejte samostatně.

Agent na runneru vs samotný runner

Agent se přidává do infrastruktury, kterou navrhl někdo jiný. Na runnerech hostovaných na GitHubu ho instaluje krok na začátku každého jobu a jeho dosah závisí na tom, co tato infrastruktura dovolí. Právě díky tomu agenti pokrývají hostované runnery, vlastní flotily i několik systémů CI najednou, a to je skutečná výhoda, když jsou vaše buildy rozprostřeny napříč všemi.

Runner, který politiku vynucuje sám, funguje opačně. Na CRACI se egress policy ověřuje před spuštěním jobu, odmítá neznámá pole a při selhání vše zablokuje, takže politika, kterou nelze uplatnit, nevede k nechráněnému běhu. Její zdroje jsou typované podle ekosystému, s 24 vestavěnými předvolbami softwarových zdrojů a vlastními zdroji pro npm, PyPI, apt, apk, Go proxy, Nix, Cargo, registry OCI a Git, takže záznam se týká balíčků, nejen hostitelů. Na jobech, které běží na CRACI, nahrazuje runtime agenty, místo aby běžel vedle nich. Přečtěte si více o integraci CI/CD a generování SBOM v době buildu, nebo si rezervujte demo a podívejte se, jak job GitHub Actions běží pod egress policy.

CRACI ve srovnání s jednotlivými nástroji

• CRACI vs StepSecurity Agent na vašem runneru vs být samotným runnerem.

Vedle sebe

Několik nástrojů na jedné stránce, když vybíráte kategorii, ne jeden produkt.

• Srovnání: Nástroje pro bezpečnost softwarového dodavatelského řetězce Apiiro, Cycode, OX, Legit, Socket, Chainguard, StepSecurity a další.

Další kategorie

• Platformy CI/CD a runnery
• Analýza softwarového složení
• Bezpečnost softwarového dodavatelského řetězce
• Správa SBOM
• Soulad s CRA
• Embedded a produktová bezpečnost
• PSIRT a produktová bezpečnost
• Open source a vlastní řešení
• AI a bezpečnost