Policy gates: stopp sårbarheter før produksjon

Derfor er ikke varsler nok

De fleste sikkerhetsverktøy rapporterer i etterkant. Et funn havner i et dashbord, noen prioriterer det, en sak går til teamet som eier koden, og i mellomtiden går utgivelsen videre. Hvis funnet ble oversett eller skanningen aldri så pakken, er sårbarheten i produksjon før noen har bestemt noe.

Policy gates kan også stoppe et bygg i sanntid, før utgivelsen går videre.

Dette kan en policy gate stoppe

Regel	Hva som skjer
Funn i bygget	Et bygg med funn som policyen din utelukker, blokkeres.
En bestemt CVE	Når teamet ditt har bestemt at en CVE ikke skal leveres, blokkeres bygg som inneholder den.
En kjent ondsinnet utgivelse	En ondsinnet utgivelse med en publisert CVE, for eksempel xz, flagges og kan blokkeres på samme måte.
En lisens	Regler for lisenspolicy kan blokkere et bygg som trekker inn en lisens du har utelukket.

En policy gate er bare så god som det den ser

En policy gate bygget på en lockfile-skanning kan bare blokkere det lockfilen oppgir. CRACI ser trafikken som kommer inn i hvert bygg, så policy gates jobber ut fra det jobben faktisk hentet inn:

• Transitive avhengigheter på alle nivåer. Se transitive avhengigheter.
• Skjulte avhengigheter, som kode lastet ned av installasjonsskript, byggeskript i Rust som laster ned under bygget, og base-imaget i et containerbygg.
• Pakker gjenopprettet fra en CI-cache, som registreres og merkes som cachet.

Hver komponent i en SBOM fra CRACI var med i bygget, så en policy gate jobber aldri ut fra en pakke som bare ble utledet. For begrunnelsen, se SBOM-er fra bygget.

Policy gates og egress-policy gjør ulike jobber

Risiko	Hva som stopper den
En avhengighet med en kjent CVE du har utelukket	Policy gate
En lisens du har utelukket	Policy gate
En tilkobling til en vert bygget ikke trenger	Egress-policy, satt til default deny
En ny ondsinnet pakke uten advisory ennå	Flagges ikke før det finnes en advisory. En egress-policy satt til default deny hindrer den likevel i å sende hemmelighetene dine til en vert bygget ikke trenger.

Når en ny CVE dukker opp

1. CRACI vurderer overvåkede SBOM-er på nytt og flagger det som er berørt.
2. Sikkerhetsteamet ditt prioriterer den og sender den til teamet som eier rettingen.
3. Byggehistorikken viser hvilke bygg som inneholdt den, og dermed hvor lenge du var berørt.
4. Teamet som eier rettingen, leverer den, og en policy gate holder CVE-en ute av senere bygg.

Rettingen er fortsatt din. En policy gate sørger for at den forblir rettet. Se sårbarhetssporing.

Dette gjør ikke policy gates

• Ingen reachability-analyse. En policy gate jobber ut fra om en pakke er med i bygget, ikke om koden din kaller den sårbare funksjonen.
• Ingen skadevaredeteksjon. Advisories styrer policy gates, så en helt ny ondsinnet pakke blir ikke fanget opp av dem.
• Ingen kodeskanning. SAST og skanning etter hemmeligheter er bevisst utenfor omfanget, og det finnes mange utmerkede verktøy som fungerer sammen med CRACI.

Policy gates: ofte stilte spørsmål

Hva er en policy gate?

En regel som stopper et bygg når det bryter policyen din. I stedet for å rapportere et problem som noen må ta tak i senere, hindrer den bygget i å gå videre.

Hvordan skiller en policy gate seg fra et skannervarsel?

Et varsel er avhengig av at noen handler på det i tide. En policy gate handler av seg selv. CRACIs policy gates jobber også ut fra en registrering av hva bygget hentet inn, så de kan fange opp pakker som en lockfile-skanning aldri ville sett.

Kan jeg blokkere én bestemt CVE?

Ja. En policy gate kan blokkere bygg som inneholder en bestemt CVE, slik at en sårbarhet teamet ditt har tatt stilling til, ikke kommer tilbake i et senere bygg.

Kan en policy gate blokkere en lisens?

Ja. Hver registrerte pakke har med seg sin deklarerte lisens, og regler for lisenspolicy kan blokkere et bygg på grunn av en lisens.

Stopper en policy gate ny skadevare?

Ikke alene. En kjent ondsinnet utgivelse med en publisert CVE flagges som enhver annen sårbarhet, og en policy gate kan blokkere bygg som inneholder den. En ny ondsinnet pakke flagges ikke før det finnes en advisory. Det er en egress-policy satt til default deny som begrenser skaden i det tidsvinduet.

Hvilke CI-systemer fungerer med policy gates?

GitHub Actions, på CRACI-runnere. Andre CI-systemer står på veikartet.