📪 🥪 👨🏻‍🎓 Gitlab CI / CD के साथ मान्य चित्र 👩🏿‍🌾 🍠 👲

सभी को नमस्कार, कोर्स की शुरुआत की पूर्व संध्या पर "सीआई / सीडी पर एडब्ल्यूएस, अज़ुरे और गिटलैब" हमने दिलचस्प सामग्री का अनुवाद तैयार किया।

इस लेख में, हम Sysdig Secure का उपयोग करके Gitlab CI / CD प्लेटफ़ॉर्म पर कंटेनर छवियों की जांच करने के तरीके के बारे में बात करेंगे ।

Sysdig Secure में परिभाषित सुरक्षा नीतियों का अनुपालन नहीं करने वाले कंटेनर चित्र कंटेनर रजिस्ट्री में प्रकाशित नहीं होंगे और पाइपलाइन को रोक देंगे।

Gitlab CI / CD के साथ कमजोरता खोजक

Gitlab CI / CD एक खुला स्रोत निरंतर एकीकरण और वितरण सर्वर है जिसे Gitlab सॉफ्टवेयर विकास और सहयोग मंच में बनाया गया है।

जब आप अपनी रिपॉजिटरी के लिए Gitlab CI / CD को कॉन्फ़िगर करते हैं, तो हर बार डेवलपर्स रिपॉजिटरी की ट्रैक की गई शाखाओं के लिए प्रतिबद्ध होते हैं, पाइपलाइन स्क्रिप्ट स्वचालित रूप से चलेंगी।

ऐसी पाइपलाइनों का उपयोग कई प्रक्रियाओं को स्वचालित करने के लिए किया जा सकता है। उदाहरण के लिए, क्यूए परीक्षण के लिए, सॉफ़्टवेयर वितरण कलाकृतियों का निर्माण (जैसे डॉकर छवियां या लिनक्स पैकेज) या, हम इस लेख में किस बारे में बात करेंगे - कॉन्फ़िगरेशन को सत्यापित करने, कमजोरियों की खोज करने और अनुपालन को सत्यापित करने के लिए।

Gitlab CI / CD पाइपलाइन पर छवियाँ जाँचना: बाईं सुरक्षा को स्थानांतरित करना

आईटी में कहीं और, जितनी जल्दी आप एक कंटेनर में भेद्यता पाते हैं, उतनी ही तेजी से और आसान आप इसे बिना परिणामों के ठीक कर सकते हैं। अपनी पाइपलाइन असेंबली में भेद्यता जाँच

एम्बेड करना कई कारणों से एक अच्छा अभ्यास है:

मौजूदा कमजोरियां उत्पादन में कभी नहीं जाएंगी;
«secure-by-default», , , .
, . , - .

Sysdig सुरक्षित प्रस्तावों ऐसी पहचान समय खतरों के रूप में कई अन्य कंटेनर सुरक्षा निरीक्षण कार्यों के साथ-साथ छवियों के कंटेनरों की जाँच करने के उपकरणों में से एक पूर्ण विशेषताओं सेट प्रदर्शन मशीन सीखने और बॉक्स, जबरन से बाहर एक्स्टेंसिबल खतरा का पता लगाने टेम्प्लेट के आधार पर की रूपरेखा Kubernetes पीएसपी , का जवाब देने की घटनाओं और विशेषज्ञता पर अनुपालन । आइए नज़र डालते हैं कि गीतालाब के साथ Sysdig Secure Image Validation सर्विस कैसे काम करती है।

Gitlab पर सुरक्षा जाँच आवश्यकताएँ

निम्नलिखित चरणों को पूरा करने के लिए, आपको निम्न की आवश्यकता होगी:

गिटलब खाता।
मंच पर एक खाता Sysdig Secure DevOps ।

Sysdig Secure के साथ इमेज इंस्पेक्शन के लिए Gitlab CI / CD पाइपलाइन को कॉन्फ़िगर करना

हम अभ्यास में देखेंगे कि इन दोनों प्लेटफार्मों को कैसे एकीकृत किया जा सकता है। इस गाइड के साथ, आप सीखेंगे कि मिनटों में Sysdig Secure Image स्कैनिंग के साथ कैसे काम करें।

एक्सेस क्रेडेंशियल कॉन्फ़िगर करें

Sitdig Secure backend के साथ संवाद करने के लिए Gitlab CI / CD पाइपलाइन को एक्सेस क्रेडेंशियल्स की आवश्यकता होगी। सब कुछ सही करने के लिए, Sysdig UI सेटिंग्स> उपयोगकर्ता प्रोफ़ाइल से पहुंच टोकन की प्रतिलिपि बनाएँ ।

फिर अपनी Gitlab परियोजना के लिए एक नया वैश्विक चर सेट करें:

अपनी परियोजना में, सेटिंग> CI / CD पर जाएं और चर का चयन करें ।
एक नया चर बनाएं SYSDIG_SECURE_TOKENऔर मूल्य क्षेत्र में Sysdig Secure API कुंजी जोड़ें ।
मास्क किए गए बटन पर क्लिक करें ताकि आपका एपीआई टोकन पाइपलाइन लॉग में मुद्रित न हो।

गिटलब पाइप लाइन परिभाषा

सबसे पहले, हमें एक डॉकर फ़ाइल की आवश्यकता है जो उस छवि को परिभाषित करती है जिसे आप एकत्र करेंगे। आप अपनी परियोजना में अपनी पसंद की कोई भी डॉकरी फ़ाइल अपलोड कर सकते हैं, या बस निम्नलिखित उदाहरण का उपयोग कर सकते हैं:

FROM debian:stretch
RUN apt update && apt install python-pip python-numpy openssh-server -y && rm -rf /var/lib/apt
RUN pip install flask
COPY app.py /app.py
EXPOSE 5000 22
ENTRYPOINT ["python", "./app.py"]

फिर आपको .gitlab-ci.ymlपरियोजना की जड़ में एक नई फ़ाइल बनाने की आवश्यकता है । यह फ़ाइल हमारे पर्यावरण की विधानसभा के सभी आवश्यक चरणों (चरणों) का वर्णन करेगी। वह सभी आवश्यक चरणों का निर्धारण करेगा।

हमारी पाइपलाइन में 3 चरण हैं:

कंटेनर छवि की विधानसभा;
कमजोरियों या नीति उल्लंघनों के लिए एक छवि को स्कैन करना;
छवि को गंतव्य स्थान पर ले जाना।

variables:
  CI_REGISTRY_IMAGE: "sysdiglabs/dummy-vuln-app"
  SCAN_IMAGE_NAME: "sysdiglabs/secure_inline_scan:latest"
  SYSDIG_SECURE_ENDPOINT: "https://secure.sysdig.com"

docker-build-master:
  image: docker:latest
  stage: build
  services:
    - docker:dind
  before_script:
    - docker login -u "$CI_REGISTRY_USER" -p "$CI_REGISTRY_PASSWORD" "$CI_REGISTRY"
  script:
    - docker build --pull -t "$CI_REGISTRY_IMAGE" .
    - docker run --rm -v /var/run/docker.sock:/var/run/docker.sock "$SCAN_IMAGE_NAME" /bin/inline_scan analyze -s "$SYSDIG_SECURE_ENDPOINT" -k "$SYSDIG_SECURE_TOKEN" "$CI_REGISTRY_IMAGE"
    - docker push "$CI_REGISTRY_IMAGE"
  only:
    - master

एक कंटेनर छवि बनाएँ

छवि की असेंबली के साथ होता है docker build --pull -t "$CI_REGISTRY_NAME"। यह आपकी डॉकर फ़ाइल से निर्देश लेता है और एक नई स्थानीय छवि बनाता है, जिसे अगले चरण में जांचा जाएगा।

कमजोरियों के लिए स्कैनिंग

अगला चरण कंटेनरों की जांच कर रहा है। यहां हम कमजोरियों के लिए छवि की जांच करेंगे और कॉन्फ़िगरेशन की जांच करेंगे, परिणाम को Sysdig बैकएंड पर संग्रहीत करेंगे।

Sysdig स्थानीय स्कैनिंग के लाभों में से एक यह है कि आप अपनी छवियों पर नियंत्रण नहीं खोते हैं, क्योंकि स्कैन को करने के लिए छवि को किसी अन्य रजिस्ट्री में ले जाने या बाहर से उजागर करने की आवश्यकता नहीं है। यह धावक के अंदर होता है, और केवल परिणाम Sysdig Secure को भेजे जाते हैं।

docker run --rm -v /var/run/docker.sock:/var/run/docker.sock "$SCAN_IMAGE_NAME" /bin/inline_scan analyze -s "$SYSDIG_SECURE_ENDPOINT" -k "$SYSDIG_SECURE_TOKEN" "$CI_REGISTRY_IMAGE"

इस बिंदु पर, Sysdig Secure एक त्रुटि कोड लौटाएगा यदि छवि आपकी नीति में निर्दिष्ट किसी भी रोक स्थिती को पूरा करती है (उदाहरण के लिए, महत्वपूर्ण भेद्यता)। पाइपलाइन को रोकने से कंटेनर रजिस्ट्री में कमजोर छवियों के हस्तांतरण को रोका जा सकेगा।

Sysdig Secure में, हम अतिरिक्त जानकारी देख सकते हैं और समझ सकते हैं कि सुरक्षा जाँच पूरी क्यों नहीं हो पाई:

जैसा कि आप स्क्रीनशॉट में देख सकते हैं, कंटेनर में पोर्ट 22 खुला है, जो निषिद्ध बंदरगाहों की सूची में है, और इसमें पायथन लाइब्रेरी में कुछ गंभीर कमजोरियाँ भी हैं।

छवि को गंतव्य स्थान पर ले जाएं

कमजोरियों की सफलतापूर्वक जाँच करने के बाद, पाइपलाइन डॉकटर पुश करेगी और छवि को कंटेनर रजिस्ट्री में प्रकाशित किया जाएगा। यदि आप कोई क्रेडेंशियल या दूरस्थ संग्रहण निर्दिष्ट नहीं करते हैं, तो Gitlab डिफ़ॉल्ट का उपयोग करता है ।

निष्कर्ष

Sysdig Secure Image स्कैनिंग का उपयोग करते हुए, आप Gitlab CI / CD पाइपलाइन पर छवियों को सार्वजनिक या मध्यवर्ती रजिस्ट्री में बुनियादी ढांचे से भेजे बिना देख सकते हैं, कॉन्फ़िगरेशन की जांच कर सकते हैं और उत्पादन में कमजोरियों के रिसाव को रोक सकते हैं।

ज्ञात कमजोरियों का पता लगाएं और सुरक्षा सिफारिशों के अनुपालन के लिए कॉन्फ़िगरेशन की जांच करें, जिसमें डॉकरफाइल निर्देश, पैकेज की सफेद और काली सूची या बेस इमेज में स्थापित थर्ड-पार्टी लाइब्रेरी, जैसे जावा में जावा / डब्ल्यूएआर फाइलें या भाषा पैकेज मैनेजर जैसे जावास्क्रिप्ट के लिए पीपीएम, शामिल हैं। रूबी के लिए अजगर और मणि के लिए पाइप।

विफलता की स्थिति में, आप जल्दी से समस्या को हल करने के लिए कंटेनर लेखक को रिपोर्ट कर सकते हैं और सुरक्षित रूप से डिफ़ॉल्ट कंटेनर सुरक्षा नीति बना सकते हैं। Sysdig Secure को आजमाने के लिए आप निवेदन कर सकते हैंडेमो आज!

बस इतना ही। यहाँ पाठ्यक्रम के बारे में अधिक जानें ।

Gitlab CI / CD के साथ मान्य चित्र