Bramki polityk: zatrzymać podatności przed produkcją

Dlaczego alerty nie wystarczą

Większość narzędzi bezpieczeństwa raportuje po fakcie. Znalezisko trafia na dashboard, ktoś je analizuje, zgłoszenie idzie do odpowiedzialnego zespołu, a wydanie w tym czasie posuwa się dalej. Jeśli znalezisko przeoczono albo skan nigdy nie zobaczył pakietu, podatność jest na produkcji, zanim ktokolwiek cokolwiek zdecyduje.

Bramki polityk mogą też zatrzymać build w czasie rzeczywistym, zanim wydanie pójdzie dalej.

Co może zatrzymać bramka

Reguła	Co się dzieje
Znaleziska w buildzie	Build ze znaleziskami wykluczonymi przez Państwa politykę zostaje zablokowany.
Konkretna CVE	Gdy Państwa zespół zdecyduje, że dana CVE nie może zostać dostarczona, buildy, które ją zawierają, są blokowane.
Znane złośliwe wydanie	Złośliwe wydanie z opublikowaną CVE, takie jak xz, jest oznaczane i może zostać zablokowane w ten sam sposób.
Licencja	Reguły polityki licencyjnej mogą zablokować build wprowadzający licencję, którą Państwo wykluczyli.

Bramka jest tak dobra, jak to, co widzi

Bramka oparta na skanie lockfile może zablokować tylko to, co lockfile wymienia. CRACI widzi ruch wchodzący do każdego buildu, więc jego bramki działają na podstawie tego, co zadanie naprawdę pobrało:

• Zależności przechodnie na każdym poziomie. Zob. zależności przechodnie.
• Ukryte zależności, takie jak kod pobierany przez skrypty instalacyjne, skrypty buildu w Rust pobierające pliki w czasie buildu oraz obraz bazowy buildu kontenera.
• Pakiety przywrócone z cache CI, które są rejestrowane i oznaczane jako pochodzące z cache.

Każdy komponent w SBOM CRACI rzeczywiście był w buildzie, więc bramka nigdy nie działa na podstawie pakietu, który został jedynie wywnioskowany. Uzasadnienie przedstawia tekst SBOM-y z czasu buildu.

Bramki i polityka ruchu wychodzącego mają różne zadania

Ryzyko	Co je zatrzymuje
Zależność ze znaną CVE, którą Państwo wykluczyli	Bramka polityki
Licencja, którą Państwo wykluczyli	Bramka polityki
Połączenie z hostem, którego build nie potrzebuje	Polityka ruchu wychodzącego ustawiona na domyślną odmowę
Nowy złośliwy pakiet, który nie ma jeszcze biuletynu	Nie jest oznaczany, dopóki biuletyn nie istnieje. Polityka ruchu wychodzącego ustawiona na domyślną odmowę nadal blokuje mu wysłanie Państwa sekretów na host, którego build nie potrzebuje.

Gdy pojawia się nowa CVE

1. CRACI ponownie ocenia monitorowane SBOM-y i oznacza to, czego dotyczy.
2. Państwa zespół bezpieczeństwa analizuje ją i przekazuje zespołowi odpowiedzialnemu za poprawkę.
3. Historia buildów pokazuje, które buildy ją zawierały, a więc jak długo byli Państwo narażeni.
4. Odpowiedzialny zespół dostarcza poprawkę, a bramka polityki nie dopuszcza tej CVE do późniejszych buildów.

Poprawka pozostaje po Państwa stronie. Bramka dba o to, by problem nie wrócił. Zob. śledzenie podatności.

Czego bramki nie robią

• Brak analizy osiągalności. Bramka opiera się na tym, czy pakiet jest w buildzie, a nie na tym, czy Państwa kod wywołuje podatną funkcję.
• Brak wykrywania złośliwego oprogramowania. Bramką sterują biuletyny, więc zupełnie nowego złośliwego pakietu nie wychwyci.
• Brak skanowania kodu. SAST i skanowanie sekretów celowo pozostają poza zakresem, a wiele doskonałych narzędzi działa obok CRACI.

Bramki polityk: najczęściej zadawane pytania

Czym jest bramka polityki?

To reguła, która zatrzymuje build, gdy narusza on Państwa politykę. Zamiast zgłaszać problem, którym ktoś zajmie się później, bramka nie pozwala buildowi iść dalej.

Czym bramka polityki różni się od alertu skanera?

Alert zależy od tego, czy ktoś zareaguje na niego na czas. Bramka działa sama. Bramki CRACI opierają się też na zapisie tego, co build pobrał, więc mogą wychwycić pakiety, których skan lockfile nigdy by nie zobaczył.

Czy mogę zablokować jedną konkretną CVE?

Tak. Bramka polityki może blokować buildy zawierające konkretną CVE, aby podatność, w sprawie której Państwa zespół podjął decyzję, nie wróciła w późniejszym buildzie.

Czy bramka może zablokować licencję?

Tak. Każdy zarejestrowany pakiet przenosi swoją deklarowaną licencję, a reguły polityki licencyjnej mogą zablokować build ze względu na licencję.

Czy bramka zatrzymuje nowe złośliwe oprogramowanie?

Sama nie. Znane złośliwe wydanie z opublikowaną CVE jest oznaczane jak każda inna podatność, a bramka może blokować zawierające je buildy. Nowy złośliwy pakiet nie jest oznaczany, dopóki nie istnieje biuletyn. W tym okresie szkody ogranicza polityka ruchu wychodzącego ustawiona na domyślną odmowę.

Jakie systemy CI działają z bramkami polityk?

GitHub Actions, na runnerach CRACI. Inne systemy CI są w planach rozwoju.