Numa publicação anterior da nossa série de blogues DevSecOps, falámos sobre o potencial do malware existente no código-fonte e nos artefactos de construção, e como as equipas podem proteger o seu pipeline de construção de software utilizando MetaDefender para Jenkins. Continuando o tema da segurança DevOps neste blogue, vou demonstrar como usar MetaDefender para Jenkins para detetar malware e vulnerabilidades em imagens Docker.
Infra-estruturas Container : Expansão da superfície para ataques Supply Chain
Os micro-serviços e os contentores têm registado um enorme crescimento. Graças à sua natureza leve e rápida de implementar, a tecnologia de contentores só continuará a expandir-se no futuro. No entanto, os contentores também alojam, na maior parte das vezes, software desatualizado e vulnerável. Os maus actores aproveitaram esta plataforma de construção automática para criar campanhas de ataque à cadeia de abastecimento, colocando em risco as organizações-alvo e as partes associadas.
Uma análise de 4 milhões de imagens públicas no Docker Hub revelou os riscos ocultos dos contentores. Metade dessas imagens (51%) continha pelo menos uma vulnerabilidade crítica e 13% tinham vulnerabilidades de alta gravidade. Mais de 6.400 imagens foram consideradas maliciosas por conterem mineradores de criptomoedas, pacotes maliciosos do Node Package Manager (NPM), ferramentas de hacking e malware.
Noutro evento, os atacantes utilizaram imagens Docker para criptomineração. Cinco imagens maliciosas foram utilizadas mais de 120 000 vezes em 2021. A campanha envolveu typosquatting - uma técnica de ofuscação que usa títulos mal escritos ou enganosos, como "openjdk" e "golang", no lugar das imagens oficiais "OpenJDK" e "Golang" no Docker Hub. A intenção era induzir a vítima a acionar o binário xmrig - um criptominerador Monero que pode ser usado para sequestrar recursos de organizações.
O Docker é uma das plataformas de contentorização mais populares, adoptada por 7 milhões de utilizadores, com 7 milhões de repositórios e 242 mil milhões de pulls criados em 2020. É mais do que tempo de as organizações considerarem seriamente a proteção das infra-estruturas de contentores como uma das suas melhores práticas de cibersegurança.
Superando riscos em imagens do Docker
A melhor abordagem para evitar a transferência acidental de imagens ilegítimas é adotar o modelo de segurança de confiança zero. Todos os ficheiros devem ser considerados como riscos potenciais e analisados minuciosamente para detetar ameaças em primeiro lugar.
Uma forma de o fazer é através de uma ferramenta de análise de vulnerabilidades, como o Docker Scan nativo ou uma alternativa semelhante. Mas se não tiver essas soluções disponíveis, pode guardar a sua imagem Docker como um ficheiro de arquivo e depois enviá-la para um serviço de análise.
Outro método fácil é analisar as imagens do Docker com o plug-in MetaDefender para Jenkins.
Detetar malware e vulnerabilidades com MetaDefender para Jenkins
Como primeira etapa, criei uma configuração de varredura de compilação com uma etapa de compilação de linha de comando, conforme abaixo. A compilação verificaria uma imagem do Docker e a salvaria como um arquivo TAR. Para fins de demonstração, usei uma imagem do Docker que continha um arquivo EICAR.
Em seguida, adicionei um passo de construção para digitalizar a imagem guardada com MetaDefender Core e, depois, iniciei a construção.
Assim que a compilação foi concluída, o MetaDefender detectou malware na imagem do Docker.
Cliquei no URL para ver os resultados pormenorizados em MetaDefender Core .
Veja este vídeo para a demonstração completa:
Sobre OPSWAT MetaDefender para Jenkins
OPSWAT MetaDefender for Jenkins ajuda as organizações a proteger o seu Ciclo de Vida de Desenvolvimento Software (SDLC). O plugin verifica as suas compilações em busca de malware e segredos antes de lançar a aplicação ao público para evitar ataques às cadeias de fornecimento de software. MetaDefender para Jenkins é alimentado por todos os recursos da plataforma MetaDefender - incluindo o Metascan, Deep CDR, Proactive DLPe Avaliação de Vulnerabilidade - para verificar todo o código-fonte, artefatos e dependências em busca de ameaças e vulnerabilidades. Saiba mais sobre o MetaDefender for Jenkins e outras ferramentas gratuitasOPSWAT .
Para mais informações, contacte os nossos especialistas em cibersegurança.
