SALTINBANK ADVENT OF CYBER'21 THM [Day 14] : Networking Dev(Insecure)Ops - CI/CD DEVOPS SUPPLY CHAIN
0JOUR 14 : Networking Dev(Insecure)Ops // Comprendre les attaques de "supply chain" (chaine logistique) et le principe de CD et CI dans la pratique informatique du DEVOPS ...
----------------------------------------------------------------------------------------------------------------------------------------------------
Cette simulation CI/CD visait à mettre en valeur les principaux types de vulnérabilités souvent observées dans l’automatisation CI/CD. Une application Jenkins installée localement peut avoir un composant non corrigé déployé pour diverses raisons opérationnelles. Cependant, il est rare qu’une vulnérabilité critique reste non corrigée pendant une période prolongée sur une infrastructure gérée par un fournisseur de services cloud tel qu’Amazon, Azure ou Google.
C’est la principale raison pour laquelle vous verrez plus souvent des vulnérabilités résultant d’une mauvaise gestion des accès, de privilèges de compte laxistes ou de failles logiques.
Dans l’exemple ci-dessus, nous avons vu:
-Autorisations de dossier trop laxistes: L’utilisateur McSkidy à faible privilège pouvait écrire dans le dossier « loot » de Grinch.
- Les autorisations de fichier ont été mal configurées : L’utilisateur McSkidy à faible privilège pouvait modifier le contenu du script loot.sh.
- Protection de clé incorrecte : Dans cet exemple, le mot de passe de Grinch peut être considéré comme la clé secrète utilisée pour connecter les composants CI/CD. Si la clé peut être lue à partir d’un fichier de configuration, l’attaquant peut réutiliser cette clé à son avantage.
L’installation n’était pas sécurisée : cronjobs exécutait régulièrement des tâches sans aucun contrôle pour les modifications non autorisées. Comme vous l’avez peut-être lu dans les nouvelles du secteur de la cybersec , un manque similaire de contrôles a conduit à des attaques de supply chain (SOLARWINDS, PIP, GEMS, etc) ...
==========================================================================
Vous avez mes playlists "WINDOWS ET LINUX POUR LES NULS" qui vous expliquent ces deux CTF (capture the flag) à faire:
https://tryhackme.com/room/winprivesc
https://tryhackme.com/room/linprivesc
Windows PLAYLIST:
https://www.youtube.com/watch?v=rj6Mtyccdok&list=PLOscZe227eyWQ1Mf9brzEgg8hZjnFC6mB
LINUX PLAYLIST:
https://www.youtube.com/watch?v=3ZlYrfNjKD4&list=PLOscZe227eyVOtFnIiSpiN1W2FZ4ZXQVJ
==========================================================================
Apprendre le hacking : https://store.steampowered.com/app/1341450/Yolo_Space_Hacker/
==========================================================================
PLAYLIST : ADVENT OF CYBER 3 2021 https://www.youtube.com/watch?v=MfzfDQ3pfik&list=PLOscZe227eyU6VS1GaHiWE-rR28p4FC61
---------------------------------------------------------------------------------------------------------------------------------------------------
PLAYLIST RESEAUX : https://www.youtube.com/playlist?list=PLOscZe227eyVdvarKRYswOUpF4C2XYkUq
==========================================================================
Thanks for watching!
Благодарю за просмотр!
Kiitos katsomisesta
Danke fürs Zuschauen!
感谢您观看
Merci d'avoir regardé
Obrigado por assistir
دیکھنے کے لیے شکریہ
देखने के लिए धन्यवाद
Grazie per la visione
Gracias por ver
شكرا للمشاهدة
=========================================================================