Policy gates: zastavte zranitelnosti před produkcí

Proč výstrahy nestačí

Většina bezpečnostních nástrojů hlásí až dodatečně. Nález skončí na dashboardu, někdo provede triáž, ticket putuje k týmu, který kód vlastní, a vydání se mezitím posouvá dál. Pokud nález někdo přehlédl nebo sken balíček vůbec neviděl, je zranitelnost v produkci dřív, než kdokoli cokoli rozhodne.

Policy gates také dokážou zastavit build v reálném čase, než se vydání posune dál.

Co brána dokáže zastavit

Pravidlo	Co se stane
Nálezy v buildu	Build s nálezy, které vaše politika vylučuje, je zablokován.
Konkrétní CVE	Jakmile váš tým rozhodne, že se CVE nesmí dostat do vydání, buildy, které ji obsahují, jsou zablokovány.
Známé škodlivé vydání	Škodlivé vydání se zveřejněnou CVE, například xz, je označeno a lze ho zablokovat stejným způsobem.
Licence	Pravidla licenční politiky mohou zablokovat build, který přináší licenci, kterou jste vyloučili.

Brána je jen tak dobrá jako to, co vidí

Brána postavená na skenu lockfilu může zablokovat jen to, co lockfile uvádí. CRACI vidí provoz přicházející do každého buildu, takže jeho brány pracují s tím, co job skutečně stáhl:

• Tranzitivní závislosti v každé hloubce. Viz tranzitivní závislosti.
• Skryté závislosti, například kód stažený instalačními skripty, build skripty v Rustu, které stahují během buildu, a základní image při buildu kontejneru.
• Balíčky obnovené z cache CI, které se zaznamenají a označí jako cachované.

Každá komponenta v SBOM od CRACI v buildu skutečně byla, takže brána nikdy nepracuje s balíčkem, který byl jen odvozen. Zdůvodnění najdete v článku SBOM z doby buildu.

Brány a egress policy mají různé úkoly

Riziko	Co ho zastaví
Závislost se známou CVE, kterou jste vyloučili	Policy gate
Licence, kterou jste vyloučili	Policy gate
Spojení s hostitelem, kterého build nepotřebuje	Egress policy nastavená na výchozí zákaz
Nový škodlivý balíček, k němuž zatím neexistuje advisory	Neoznačí se, dokud advisory nevznikne. Egress policy nastavená na výchozí zákaz mu přesto zabrání odeslat vaše tajné klíče na hostitele, kterého build nepotřebuje.

Když se objeví nová CVE

1. CRACI znovu vyhodnotí monitorované SBOM a označí, co je zasaženo.
2. Váš bezpečnostní tým provede triáž a předá ji týmu, který má opravu na starosti.
3. Historie buildů ukazuje, které buildy ji obsahovaly, a tedy jak dlouho jste byli zasaženi.
4. Odpovědný tým vydá opravu a policy gate udrží CVE mimo pozdější buildy.

Oprava zůstává na vás. Brána zajistí, že opravená zůstane. Viz sledování zranitelností.

Co brány nedělají

• Žádná analýza dosažitelnosti. Brána vychází z toho, zda je balíček v buildu, ne z toho, zda váš kód volá zranitelnou funkci.
• Žádná detekce malwaru. Bránu řídí advisories, takže zcela nový škodlivý balíček jí neodhalí.
• Žádné skenování kódu. SAST a skenování tajných klíčů jsou záměrně mimo rozsah a vedle CRACI funguje spousta vynikajících nástrojů.

Policy gates: časté dotazy

Co je policy gate?

Pravidlo, které zastaví build, když porušuje vaši politiku. Místo toho, aby problém nahlásila a někdo ho řešil později, brána buildu nedovolí pokračovat.

Čím se policy gate liší od výstrahy skeneru?

Výstraha závisí na tom, že na ni někdo včas zareaguje. Brána jedná sama. Brány CRACI navíc pracují se záznamem toho, co build stáhl, takže zachytí i balíčky, které by sken lockfilu nikdy neviděl.

Mohu zablokovat jednu konkrétní CVE?

Ano. Policy gate může blokovat buildy, které obsahují konkrétní CVE, takže zranitelnost, o které váš tým rozhodl, se v pozdějším buildu nevrátí.

Může brána zablokovat licenci?

Ano. Každý zaznamenaný balíček nese svou deklarovanou licenci a pravidla licenční politiky mohou build kvůli licenci zablokovat.

Zastaví brána nový malware?

Sama ne. Známé škodlivé vydání se zveřejněnou CVE je označeno jako každá jiná zranitelnost a brána může blokovat buildy, které ho obsahují. Nový škodlivý balíček se neoznačí, dokud neexistuje advisory. Škody v tomto okně omezuje egress policy nastavená na výchozí zákaz.

Které systémy CI fungují s policy gates?

GitHub Actions na runnerech CRACI. Další systémy CI jsou v plánu vývoje.