CrowdStrike 2024报告显示，2023年，具有云意识的入侵激增了110%。攻击者利用CI/CD漏洞泄露敏感数据并危害系统。与此同时，入侵的平均中断时间降至62分钟，企业几乎没有容错空间。
CI/CD 安全性的重要性
CI/CD 安全性是指在软件开发的编码、构建和部署过程中，确保整个管道的安全性。如果不加以保护，攻击者可能会利用漏洞，导致数据泄露、运营中断和信任受损。CI/CD 安全性应从一开始就融入管道设计，通过严格的访问控制、安全配置和自动化测试来确保管道的安全性和高效性。
CI/CD 管道中的风险点
CI/CD 管道的风险主要来自未扫描的依赖项、暴露的密钥和配置错误的工具等。例如，过时的库和过于宽泛的权限可能为攻击者提供可乘之机。监控这些风险对于消除漏洞至关重要。
CI/CD 安全实践
1.最低权限访问：限制管道中的权限，避免过度授权。使用基于角色的访问控制(RBAC)，定期审核权限，并使用自动化工具检测和解决过度权限问题。
2.密钥管理：使用密钥管理工具加密凭据，确保其存储和使用安全。定期轮换密钥并审核其使用情况，防止密钥泄露。
3.依赖项扫描：在公有存储库中，可能存在攻击者模仿合法包上传的恶意包。当开发人员错误地下载这些冒名顶替的软件包时，将会在项目中引入后门或漏洞。通过使用私有软件包存储库，优先解析内部源。利用工具如 npm audit 持续分析依赖项，防止恶意包的引入。
4.监控和审计：定期审计依赖关系，设置活动日志和警报，定期查看日志，及时发现异常。结合自动化工具，将维护周期转变为可管理的主动流程。
5.安全管道配置：将配置视为代码，进行版本控制和审查。使用静态分析工具及早发现和修复问题，定期审核管道设置。
6.自动化安全测试：使用 SAST、DAST 和 IaC 扫描工具，将安全测试集成到 CI/CD 管道中，确保代码和云配置的安全性。
7.定期更新和修补工具：保持 CI/CD 工具的更新，避免使用过时版本。在生产环境部署更新前，先在暂存环境中测试。
参读链接：
