Detectando Ataques à Cadeia de Suprimentos em CI/CD

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de ataques à cadeia de suprimentos em CI/CD.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Familiaridade com conceitos e ferramentas de operações de segurança.
• Acesso a um ambiente de teste ou laboratório para execução segura.
• Python 3.8+ com as dependências necessárias instaladas.
• Autorização apropriada para quaisquer atividades de teste.

Instruções

Analise arquivos de fluxo de trabalho de CI/CD em busca de riscos na cadeia de suprimentos, analisando o YAML do GitHub Actions, verificando dependências não fixadas (unpinned), vetores de injeção de script e exposição de segredos.

import yaml
from pathlib import Path

for wf in Path(".github/workflows").glob("*.yml"):
    with open(wf) as f:
        workflow = yaml.safe_load(f)
    for job_name, job in workflow.get("jobs", {}).items():
        for step in job.get("steps", []):
            uses = step.get("uses", "")
            if uses and "@" in uses and not uses.split("@")[1].startswith("sha"):
                print(f"Unpinned action: {uses} in {wf.name}")

Principais riscos na cadeia de suprimentos:

1. GitHub Actions não fixados (usando @main em vez de SHA)
2. Injeção de script via expressões ${{ github.event }}
3. Permissões GITHUB_TOKEN excessivamente permissivas
4. Ações de terceiros com acesso de escrita ao repositório
5. Confusão de dependência via colisão de nomes de pacotes públicos/privados

Exemplos

# Check for script injection in run steps
for step in job.get("steps", []):
    run_cmd = step.get("run", "")
    if "${{" in run_cmd and "github.event" in run_cmd:
        print(f"Script injection risk: {run_cmd[:80]}")