DevSecOps blog serimizin bir önceki yaz ısında, kaynak kodunda ve derleme eserlerinde bulunan kötü amaçlı yazılımların potansiyelinden ve ekiplerin Jenkins için MetaDefender kullanarak yazılım derleme işlem hatlarını nasıl güvence altına alabileceklerinden bahsetmiştik. Bu blogda DevOps güvenliği temasına devam ederek, Docker imajlarındaki kötü amaçlı yazılımları ve güvenlik açıklarını tespit etmek için Jenkins için MetaDefender adresinin nasıl kullanılacağını göstereceğim.
Container Altyapıları: Supply Chain Saldırıları için Genişleyen Yüzey
Mikro hizmetler ve konteynerler muazzam bir büyüme kaydetti. Hafifliği ve hızlı kurulumu sayesinde konteyner teknolojisi gelecekte de gelişmeye devam edecek. Ancak konteynerler aynı zamanda çoğu zaman eski ve savunmasız yazılımları da barındırıyor. Kötü niyetli aktörler, tedarik zinciri saldırı kampanyaları oluşturmak için bu otomatik inşa platformundan yararlanarak hedef kuruluşları ve ilgili taraflarını riske atmaktadır.
Docker Hub'daki 4 milyon genel görüntünün analizi, konteynerlerdeki gözden kaçan riskleri ortaya çıkardı. Bu imajların yarısı (%51) en az bir kritik güvenlik açığı içerirken, %13'ü yüksek önem derecesine sahip güvenlik açıklarına sahipti. Kripto para madencileri, kötü amaçlı Node Paket Yöneticisi (NPM) paketleri, bilgisayar korsanlığı araçları ve kötü amaçlı yazılımlar içerdikleri için 6.400'den fazla görüntü kötü amaçlı olarak kabul edildi.
Bir başka olayda, saldırganlar Docker imajlarını kripto madenciliği için kullandılar. Beş kötü niyetli imaj 2021 yılında 120.000'den fazla kez çekildi. Kampanya, Docker Hub'daki resmi "OpenJDK" ve "Golang" görüntüleri yerine "openjdk" ve "golang" gibi yanlış yazılmış veya yanıltıcı başlıklar kullanan bir şaşırtma tekniği olan typosquatting'i içeriyordu. Amaç, kurbanı, kuruluşların kaynaklarını ele geçirmek için kötüye kullanılabilecek bir Monero kriptominer olan ikili xmrig'i tetiklemesi için kandırmaktı.
Docker, 7 milyon kullanıcı tarafından benimsenen en popüler konteynerleştirme platformlarından biridir ve 2020'de 7 milyon depo ve 242 milyar çekme oluşturulmuştur. Kurumların konteyner altyapılarını korumayı en iyi siber güvenlik uygulamalarından biri olarak ciddiye almalarının tam zamanı.
Docker Görüntülerindeki Risklerin Üstesinden Gelme
Yasadışı görüntülerin yanlışlıkla çekilmesini önlemek için en iyi yaklaşım sıfır güven güvenlik modelini benimsemektir. Tüm dosyalar potansiyel risk olarak kabul edilmeli ve ilk etapta tehditleri tespit etmek için kapsamlı bir şekilde taranmalıdır.
Bunu yapmanın bir yolu, yerel Docker Scan veya benzer bir alternatif gibi bir güvenlik açığı tarama aracı kullanmaktır. Ancak bu tür çözümlere sahip değilseniz, Docker görüntünüzü bir arşiv dosyası olarak kaydedebilir ve ardından bir analiz hizmetine gönderebilirsiniz.
Bir diğer kolay yöntem ise Docker imajlarınızı MetaDefender for Jenkins eklentisi ile taramaktır.
Jenkins için MetaDefender ile Kötü Amaçlı Yazılımları ve Güvenlik Açıklarını Tespit Edin
İlk adım olarak, aşağıdaki gibi bir komut satırı derleme adımı ile bir derleme tarama yapılandırması oluşturdum. Yapı bir Docker görüntüsünü kontrol edecek ve TAR dosyası olarak kaydedecekti. Gösterim amacıyla, bir EICAR dosyası içeren bir Docker görüntüsü kullandım.
Ardından, kaydedilen görüntüyü MetaDefender Core ile taramak için bir derleme adımı ekledim ve ardından derlemeyi başlattım.
Derleme tamamlanır tamamlanmaz, MetaDefender Docker görüntüsünde kötü amaçlı yazılım tespit etti.
Ayrıntılı sonuçları MetaDefender Core adresinde görüntülemek için URL'ye tıkladım.
Tam gösterim için bu videoyu izleyin:
Jenkins için OPSWAT MetaDefender hakkında
Jenkins için OPSWAT MetaDefender , kuruluşların Software Geliştirme Yaşam Döngülerini (SDLC) güvence altına almalarına yardımcı olur. Eklenti, yazılım tedarik zincirlerine yönelik saldırıları önlemek için uygulamayı halka sunmadan önce derlemelerinizi kötü amaçlı yazılım ve gizli yazılımlara karşı kontrol eder. Jenkins için MetaDefender , Metascan dahil olmak üzere MetaDefender platformunun tüm yetenekleri tarafından desteklenmektedir, Deep CDR, Proactive DLPve Güvenlik Açığı Değerlendirmesi - tüm kaynak kodunu, yapıtları ve bağımlılıkları tehditlere ve güvenlik açıklarına karşı taramak için. Jenkins içinMetaDefender ve diğer OPSWAT ücretsiz araçları hakkında daha fazla bilgi edinin.
Daha fazla bilgi için lütfen siber güvenlik uzmanlarımızla iletişime geçin.
