Policy gates: stop sårbarheder før produktion

Hvorfor advarsler ikke er nok

De fleste sikkerhedsværktøjer rapporterer bagefter. Et fund lander i et dashboard, nogen triagerer det, en sag går til det ansvarlige team, og imens bevæger releasen sig videre. Hvis fundet blev overset, eller scanningen aldrig så pakken, er sårbarheden i produktion, før nogen har besluttet noget.

Policy gates kan også stoppe et build i realtid, før releasen går videre.

Det kan en gate stoppe

Regel	Det sker der
Fund i buildet	Et build med fund, som din politik udelukker, bliver blokeret.
En bestemt CVE	Når dit team har besluttet, at en CVE ikke må leveres, bliver builds, der indeholder den, blokeret.
En kendt ondsindet release	En ondsindet release med en offentliggjort CVE, som xz, bliver markeret og kan blokeres på samme måde.
En licens	Regler for licenspolitik kan blokere et build, der trækker en licens ind, du har udelukket.

En gate er kun så god som det, den ser

En gate bygget på en lockfile-scanning kan kun blokere det, lockfilen angiver. CRACI ser trafikken, der kommer ind i hvert build, så dets gates arbejder ud fra det, jobbet reelt hentede:

• Transitive afhængigheder i alle lag. Se transitive afhængigheder.
• Skjulte afhængigheder, som kode downloadet af install-scripts, Rust-build-scripts, der downloader under buildet, og base-imaget i et container-build.
• Pakker gendannet fra en CI-cache, som registreres og markeres som cachet.

Hver komponent i en CRACI-SBOM var med i buildet, så en gate arbejder aldrig ud fra en pakke, der kun er udledt. For begrundelsen, se build-time SBOM'er.

Gates og egress-politik løser forskellige opgaver

Risiko	Det stopper den
En afhængighed med en kendt CVE, du har udelukket	Policy gate
En licens, du har udelukket	Policy gate
En forbindelse til en host, buildet ikke har brug for	Egress-politik sat til default deny
En ny ondsindet pakke uden advisory endnu	Markeres ikke, før der findes en advisory. En egress-politik, der er sat til default deny, forhindrer den stadig i at sende dine secrets til en host, buildet ikke har brug for.

Når en ny CVE lander

1. CRACI genvurderer overvågede SBOM'er og markerer det, der er berørt.
2. Dit sikkerhedsteam triagerer den og sender den til det team, der ejer rettelsen.
3. Build-historikken viser, hvilke builds der indeholdt den, og dermed hvor længe du var berørt.
4. Det ansvarlige team leverer rettelsen, og en policy gate holder CVE'en ude af senere builds.

Rettelsen forbliver din. Gaten sørger for, at problemet forbliver løst. Se sårbarhedsopfølgning.

Det gør gates ikke

• Ingen reachability-analyse. En gate arbejder ud fra, om en pakke er i buildet, ikke ud fra, om din kode kalder den sårbare funktion.
• Ingen malwaredetektion. Gaten styres af advisories, så en helt ny ondsindet pakke bliver ikke fanget af den.
• Ingen kodescanning. SAST og secrets-scanning er bevidst uden for scope, og der findes masser af fremragende værktøjer, der fungerer sammen med CRACI.

Policy gates: ofte stillede spørgsmål

Hvad er en policy gate?

En regel, der stopper et build, når det bryder din politik. I stedet for at rapportere et problem, som nogen kan tage sig af senere, forhindrer gaten buildet i at komme videre.

Hvordan adskiller en policy gate sig fra en scanneradvarsel?

En advarsel afhænger af, at nogen reagerer på den i tide. En gate handler af sig selv. CRACI's gates arbejder desuden ud fra en registrering af, hvad buildet hentede, så de kan fange pakker, som en lockfile-scanning aldrig ville se.

Kan jeg blokere én bestemt CVE?

Ja. En policy gate kan blokere builds, der indeholder en bestemt CVE, så en sårbarhed, dit team har truffet beslutning om, ikke vender tilbage i et senere build.

Kan en gate blokere en licens?

Ja. Hver registreret pakke har sin deklarerede licens med, og regler for licenspolitik kan blokere et build på grund af en licens.

Stopper en gate ny malware?

Ikke i sig selv. En kendt ondsindet release med en offentliggjort CVE bliver markeret som enhver anden sårbarhed, og en gate kan blokere builds, der indeholder den. En ny ondsindet pakke bliver ikke markeret, før der findes en advisory. I det tidsrum er det en egress-politik sat til default deny, der begrænser skaden.

Hvilke CI-systemer virker med policy gates?

GitHub Actions på CRACI-runnere. Andre CI-systemer er på roadmappen.