CI/CD 파이프라인 보안: 자기 자신의 위험 탐색

홈 » Security Bloggers Network » CI/CD 파이프라인 보안: 자체 호스팅 에이전트의 위험 탐색

CI/CD(지속적 통합/지속적 배포) 파이프라인은 현대 소프트웨어 개발 방식에 매우 중요해졌습니다. CI/CD 파이프라인은 코드 구축, 테스트 및 배포 프로세스를 자동화하여 개발 효율성과 소프트웨어 품질을 크게 향상시킬 수 있습니다. 대부분의 최신 CI/CD 플랫폼(예: GitHub 작업, Circle CI 등)은 자체 호스팅 실행기(CI/CD 플랫폼 대신 사용자가 호스팅하는 에이전트)를 통해 파이프라인 프로세스를 실행하여 작업을 실행하는 옵션을 제공합니다. 자신의 인프라.

자체 호스팅 실행기를 사용하면 더 큰 작업을 실행하기 위한 처리 성능 또는 메모리 요구 사항을 충족하는 사용자 정의 하드웨어 구성을 생성할 수 있습니다. 또한 로컬 네트워크에서 사용 가능한 소프트웨어를 설치하고 플랫폼에서 제공하지 않는 운영 체제를 선택할 수 있습니다. 자체 호스팅 실행기는 물리적, 가상, 컨테이너, 온프레미스 또는 클라우드 환경일 수 있습니다. 대안은 사용자가 환경을 제어할 수 없는 SaaS CI/CD 플랫폼에서 제공하는 서비스형 구축 실행기를 사용하는 것입니다.

여러 가지 이유로 자체 호스팅 실행기를 사용할 수 있습니다.

규정 준수 및 개인 정보 보호: 많은 조직은 민감한 데이터를 구축하고 SaaS 구축 서비스로 전송하는 것을 방지하는 엄격한 규정을 준수해야 합니다. 예를 들어 금융 또는 정부 부문의 조직은 내부 서버에서 빌드를 실행하는 것을 선호하는 경우가 많습니다.

특수 사양: 일반적이지 않은 운영 체제나 다른 아키텍처용 소프트웨어를 구축할 때 빌드 프로세스에는 요구 사항과 일치하는 사양을 갖춘 머신이 필요합니다. 이는 많은 임베디드, IoT 또는 클라이언트 측 애플리케이션에서도 마찬가지입니다.

비용 절감: 기존 클라우드 인프라/프라이빗 클라우드를 보유한 조직은 자체 호스팅 실행기를 사용하고 리소스 풀을 직접 관리하기로 선택하면 비용을 절감할 수 있습니다.

위의 이유로 인해 자체 호스팅 주자는 많은 조직에서 인기를 얻었습니다. 그러나 자체 호스팅 실행기는 특히 신뢰할 수 없는 워크플로가 실행되는 경우 심각한 보안 위험을 초래할 수 있습니다. 악성 프로그램은 빌드 머신을 손상시키고 러너의 샌드박스에서 탈출하여 머신의 네트워크, 비밀 등에 대한 액세스를 노출시킬 수 있습니다.

자체 호스팅 실행기를 사용하면 성능 향상 및 환경 제어 향상과 같은 이점을 얻을 수 있습니다. 그러나 이와 관련된 보안 위험도 있습니다.

자체 호스팅 실행기를 작동하려면 전용 서버 또는 가상 머신(VM)이 필요합니다. 이러한 서버의 보안은 매우 중요합니다. 러너를 호스팅하는 서버가 제대로 보안되지 않으면 공격자의 잠재적인 진입점이 될 수 있습니다.

자체 호스팅 실행기는 일반적으로 저장소와 실행기가 설치된 시스템에 대한 권한 있는 액세스가 필요합니다. 액세스 제어를 신중하게 관리하고 실행자에게 부여된 권한을 제한하는 것이 중요합니다. 러너에 대한 무단 액세스는 잠재적인 데이터 침해 또는 악성 코드 실행으로 이어질 수 있습니다.

중요 시스템 및 민감한 데이터로부터 자체 호스팅 실행기를 격리하지 못하면 실행기가 손상되어 무단 액세스 및 데이터 침해 가능성이 높아질 위험이 커집니다. 적절한 격리가 없으면 실행자를 제어할 수 있는 공격자가 네트워크 내에서 측면으로 이동할 수 있으며 잠재적으로 다른 시스템과 데이터를 손상시킬 수 있습니다.

자체 호스팅 실행기 소프트웨어를 정기적으로 업데이트하고 모니터링하지 않으면 시스템이 알려진 취약점에 노출되어 공격에 취약해집니다. 시기적절한 보안 패치 및 업데이트가 없으면 공격자는 러너 소프트웨어의 알려진 약점을 악용할 수 있습니다. 모니터링이 충분하지 않으면 악의적인 활동이 감지되지 않고 보안 사고에 대한 대응이 지연될 가능성이 높아지며, 이로 인해 무단 액세스 또는 손상이 장기간 발생할 수 있습니다.

승인된 사용자에 대한 액세스를 제한하지 않고 자체 호스팅 실행기를 사용하면 누구나 암호화폐 채굴 및 금전적 피해를 입힐 수 있는 기타 활동과 같은 활동에 컴퓨팅 리소스를 활용할 수 있습니다.