블로그

May 29, 2023

CI/CD 파이프라인을 보호하는 방법

컨테이너 보안 CI/CD 파이프라인을 보호하기 위해 노력하는 기업 사이버 보안 팀과 함께 지속적인 통합 및 지속적인 제공/배포(CI/CD)가 앱 개발자의 마음을 사로잡았습니다. OWASP의

컨테이너 보안

CI/CD 파이프라인을 보호하기 위해 노력하는 기업 사이버 보안 팀과 함께 지속적인 통합 및 지속적인 제공/배포(CI/CD)가 앱 개발자의 마음을 사로잡았습니다. OWASP의 상위 10개 CI/CD 보안 위험은 무엇을 주의해야 할지 명확히 합니다.

작성자: Trend Micro 2023년 8월 29일 읽기 시간: ( 단어)

Folio에 저장

지난 가을, OWASP(Open Worldwide Application Security Project)는 CI/CD 파이프라인의 상위 10가지 보안 위험에 초점을 맞춘 새로운 프로젝트를 발표했습니다. (CI/CD는 지속적인 통합과 지속적인 전달/배포를 의미하며, 소프트웨어 개발에 대한 일종의 '영구적인 움직임' 접근 방식입니다.)

상위 10개는 CI/CD가 얼마나 널리 보급되었는지, 그리고 기술 스택 복잡성, 자동화 및 코드형 인프라 사용 증가, 타사 통합으로 인해 파이프라인이 얼마나 취약한지를 반영합니다. 또한 보안 운영과 클라우드 보안이 지속적으로 융합됨에 따라 전통적인 사이버 보안 실무자가 책임을 확대하는 또 다른 사례를 강조합니다.

최소 권한, 제로 트러스트

평가에 따르면 OWASP의 상위 10대 CI/CD 보안 위험은 액세스 및 자격 증명 위험의 세 가지 일반 범주로 분류됩니다. 통합 및 의존성 위험; 및 구성 위험. 반복되는 메시지가 있다면 조직은 가능한 한 최소 권한 원칙을 채택하고 제로 트러스트 접근 방식의 정신을 수용해야 한다는 것입니다.

CI/CD 파이프라인의 액세스 및 자격 증명 위험

부적절한 ID 및 액세스 관리

CI/CD의 개방적이고 지속적인 특성으로 인해 각 단계와 단계에 걸쳐 개발 생태계에 더 많은 사람과 기계가 참여하게 됩니다. 하나의 손상된 신원이라도 상당히 심각한 피해를 입힐 가능성이 있습니다.

OWASP에 따르면, ID는 너무 광범위한 권한부터 오래된 것까지 다양한 약점으로 인해 어려움을 겪을 수 있습니다. 모든 내부 및 외부 ID를 지속적으로 매핑하고, 불필요한 권한을 제거하고, 모든 사용자 또는 대규모 그룹에 포괄적인 권한을 부여하지 않는 것이 좋습니다. 오래된 계정에는 정의된 유효 기간이 있어야 합니다. 로컬 계정(중앙에서 관리되지 않는 계정)은 개인 또는 기업 이메일 주소가 아닌 사용, 자가 등록, 공유 계정과 함께 금지되어야 합니다.

불충분한 자격 증명 위생

악의적인 행위자는 가치가 높은 리소스에 대한 액세스 권한과 악성 코드 및 아티팩트를 배포할 수 있는 기회에 대한 자격 증명을 중요하게 생각합니다. CI/CD 파이프라인에서 다양한 방법으로 노출될 수 있습니다.

SCM(소프트웨어 변경 관리) 저장소 분기로 푸시되면 저장소에 액세스할 수 있는 모든 사람이 자격 증명을 읽을 수 있습니다. 빌드 및 배포 프로세스나 이미지 레이어에서 안전하지 않게 사용될 경우 공개된 상태로 남겨질 수 있으며 콘솔 출력으로 인쇄될 수도 있습니다.

OWASP의 권장 사항은 자격 증명을 정기적으로 교체하고, 항상 최소 권한 원칙을 적용하고, 정적 자격 증명 대신 임시 자격 증명을 사용하고, 더 이상 필요하지 않은 비밀이나 자격 증명을 아티팩트에서 제거하는 것입니다.

파이프라인 기반 액세스 제어(PBAC)가 충분하지 않습니다.

CI/CD 실행 노드는 내부 및 외부 시스템과 리소스에 모두 액세스합니다. 악의적인 행위자는 해당 액세스 권한을 사용하여 악성 코드를 유포하고 코드가 실행되는 파이프라인 단계와 관련된 모든 권한을 악용할 수 있습니다.

이 문제를 해결하기 위해 OWASP는 서로 다른 수준의 민감도나 리소스 요구 사항을 가진 노드를 여러 파이프라인에서 공유해서는 안 된다고 말합니다. 또한 모든 파이프라인 단계에서 필요한 비밀에만 액세스할 수 있고 다른 비밀에는 액세스할 수 없도록 최소 권한 형태를 권장합니다. 파이프라인이 실행되면 노드는 "원래 상태"로 복원되어야 하며 모든 노드에는 완전히 최신 보안 패치가 있어야 합니다.

CI/CD 파이프라인의 통합 및 종속성 위험

종속성 체인 남용

CI/CD 파이프라인의 코드는 작동하기 위해 다른 코드에 의존할 수 있으며 이러한 종속성을 사용하여 악성 패키지를 개발 프로세스로 가져올 수 있습니다.