Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Ataki na łańcuch dostaw oprogramowania należą dziś do najpoważniejszych zagrożeń dla organizacji tworzących i wdrażających aplikacje. Coraz częściej źródłem problemu nie jest bezpośrednio błąd w gotowym produkcie, lecz kompromitacja procesu budowania, narzędzi CI/CD, zależności open source albo mechanizmów automatyzacji.
Na tym tle pojawia się koncepcja Build Application Firewall, czyli warstwy bezpieczeństwa działającej bezpośrednio wewnątrz procesu budowy aplikacji. Jej zadaniem jest monitorowanie zachowania procesów i komponentów uruchamianych podczas builda oraz egzekwowanie polityk bezpieczeństwa w czasie rzeczywistym.
W skrócie
Build Application Firewall różni się od tradycyjnych narzędzi bezpieczeństwa tym, że nie ogranicza się wyłącznie do skanowania kodu, analizy zależności czy kontroli końcowego artefaktu. Zamiast tego obserwuje faktyczne działania wykonywane podczas budowy aplikacji.
- wykrywa nieautoryzowane połączenia sieciowe z procesu builda,
- identyfikuje próby eksfiltracji sekretów i wrażliwych danych,
- kontroluje pobieranie nieoczekiwanych komponentów,
- wyłapuje anomalie w przebiegu pipeline’u,
- może blokować działania naruszające polityki bezpieczeństwa jeszcze przed ukończeniem kompilacji.
To podejście ma ograniczyć ryzyko incydentów supply chain, szczególnie tych, które wykorzystują zaufane biblioteki, przejęte konta maintainerów lub automatyczne mechanizmy pobierania zależności.
Kontekst / historia
W ostatnich latach liczne incydenty pokazały, że przejęcie jednego elementu ekosystemu developerskiego może wywołać efekt domina i doprowadzić do naruszeń u wielu podmiotów jednocześnie. Jednym z najbardziej znanych przykładów pozostaje atak na SolarWinds, który unaocznił skalę ryzyka związanego z kompromitacją procesu wytwarzania i dystrybucji oprogramowania.
Nowsze przypadki potwierdzają, że zagrożenie nie zniknęło, lecz stale ewoluuje. Problemem stają się zarówno złośliwe aktualizacje bibliotek, jak i przejęcia kont opiekunów pakietów, kompromitacje narzędzi wykorzystywanych w pipeline’ach oraz nadużycia zaufania do popularnych rejestrów i integracji.
W praktyce organizacje często zakładają, że komponent pochodzący z renomowanego źródła jest bezpieczny. Tymczasem złośliwy kod może zostać uruchomiony automatycznie w procesie builda i uzyskać dostęp do sekretów, tokenów oraz systemów wewnętrznych bez wyraźnej interwencji człowieka.
Analiza techniczna
Tradycyjna ochrona pipeline’u opiera się zwykle na skanowaniu zależności, statycznej analizie kodu, kontroli artefaktów końcowych, politykach dostępu i utwardzaniu runnerów. Problem polega na tym, że te mechanizmy koncentrują się głównie na tym, co zostało dostarczone do środowiska budowy, a nie zawsze na tym, co dany komponent rzeczywiście robi podczas wykonania.
Build Application Firewall ma uzupełnić tę lukę poprzez inspekcję aktywności procesów uruchamianych w trakcie builda. Obejmuje to obserwację ruchu wychodzącego, analizę transferu danych, kontrolę operacji względem oczekiwanych źródeł i celów oraz wykrywanie zachowań odbiegających od profilu normalnego działania.
- monitorowanie połączeń wychodzących z procesu budowy,
- analiza zachowań wskazujących na wyciek sekretów,
- kontrola rzeczywistych operacji pull i push,
- wykrywanie anomalii behawioralnych,
- egzekwowanie polityk bezpieczeństwa na etapie wykonania.
Istotne jest to, że podstawowa telemetria sieciowa lub proste reguły egress nie zawsze wystarczają. Komunikacja do pozornie zaufanego serwisu może wyglądać poprawnie na poziomie DNS lub listy dozwolonych hostów, a mimo to służyć do przesłania tokenów, kluczy API czy innych danych wrażliwych.
Drugą zaletą takiego modelu jest większa odporność na zagrożenia nieznane wcześniej skanerom sygnaturowym. Nawet jeśli pakiet nie budzi podejrzeń podczas analizy statycznej, jego nietypowe działania w czasie builda mogą zostać wykryte jako odchylenie od oczekiwanego wzorca zachowania.
W praktyce koncepcja ta może również poprawić jakość SBOM-ów. System obserwujący rzeczywisty przebieg budowy potrafi lepiej ustalić, jakie komponenty i zależności pośrednie faktycznie zostały użyte oraz jakie artefakty powstały w procesie.
Konsekwencje / ryzyko
Ryzyko związane z atakami na CI/CD jest szczególnie wysokie, ponieważ pojedyncza kompromitacja może zostać powielona w wielu środowiskach i projektach jednocześnie. Jeśli złośliwy komponent przeniknie do zautomatyzowanego pipeline’u, skutki mogą objąć nie tylko producenta, ale też klientów, partnerów i dalszych dostawców.
- wdrożenie backdoora do wielu aplikacji,
- kradzież sekretów budowania i wdrażania,
- przejęcie kont chmurowych lub repozytoriów kodu,
- naruszenie integralności artefaktów produkcyjnych,
- dalszą propagację zagrożenia w ekosystemie dostaw.
Szczególnym problemem jest szeroka automatyzacja nowoczesnych pipeline’ów. Biblioteki, skrypty instalacyjne, pluginy i narzędzia pomocnicze często dysponują wysokimi uprawnieniami oraz dostępem do cennych danych. To sprawia, że nawet krótka i trudna do zauważenia aktywność może wystarczyć do poważnego incydentu.
Dodatkowym wyzwaniem jest rosnąca złożoność ekosystemu open source oraz możliwość szybszego uzbrajania nowych podatności. W takim środowisku samo poleganie na reputacji pakietu, znanych sygnaturach lub listach IOC przestaje być wystarczające.
Rekomendacje
Organizacje powinny traktować pipeline CI/CD jako środowisko wysokiego ryzyka i wdrażać zabezpieczenia wykraczające poza klasyczne skanowanie zależności. Skuteczna ochrona wymaga połączenia kontroli dostępu, monitoringu runtime i analizy behawioralnej.
- wprowadzenie monitoringu runtime dla procesów buildowych,
- egzekwowanie restrykcyjnych polityk egress i dostępu do sekretów,
- segmentacja oraz utwardzanie runnerów CI/CD,
- kontrola pochodzenia zależności, wersji i podpisów,
- stosowanie analizy behawioralnej zamiast wyłącznie sygnaturowej,
- budowa wiarygodnych SBOM-ów odzwierciedlających rzeczywisty skład artefaktów,
- regularne przeglądy zaufanych integracji, pluginów i narzędzi automatyzacyjnych.
W praktyce oznacza to także ograniczanie uprawnień do absolutnego minimum oraz dokładne mapowanie tego, jakie procesy, połączenia i transfery danych są rzeczywiście potrzebne w każdym etapie pipeline’u.
Podsumowanie
Build Application Firewall to odpowiedź na ograniczenia tradycyjnych mechanizmów ochrony środowisk CI/CD. Najważniejsza zmiana polega na przeniesieniu punktu ciężkości z analizy deklaracji, manifestów i artefaktów na ocenę realnego zachowania procesu budowy.
W warunkach rosnącej liczby ataków na łańcuch dostaw oprogramowania taki model może stać się istotnym uzupełnieniem skanerów, SBOM-ów i standardowych polityk bezpieczeństwa. Dla zespołów DevSecOps oznacza to potrzebę głębszej obserwacji runtime buildów, lepszej kontroli przepływu danych i bardziej rygorystycznego zarządzania zaufaniem w całym ekosystemie zależności.
Źródła
- https://www.securityweek.com/build-application-firewalls-aim-to-stop-the-next-supply-chain-attack/
- https://www.securityweek.com/cisa-nsa-share-guidance-on-securing-ci-cd-environments/
- https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/
- https://csrc.nist.gov/Projects/ssdf
- https://www.cisa.gov/sbom