Vulnerabilidades críticas en CI/CD de las que casi nadie habla.
De qué va
Los pipelines CI/CD son el nuevo objetivo. Si comprometes el CI/CD, comprometes a toda la empresa.
Repaso el top 10 de vulnerabilidades en CI/CD, los ataques a Jenkins, GitLab CI, GitHub Actions y CircleCI, y los supply chain attacks a través del CI/CD. Hablo también del robo de secretos y credenciales y de cómo defender los pipelines con defense in depth.
Por qué es relevante
El CI/CD es la puerta de entrada a producción. Un pipeline comprometido es código malicioso en producción sin que nadie se entere.
Yo he visto ataques reales en los que el atacante comprometió el CI/CD y pasó meses metiendo backdoors en cada despliegue.
Impacto
Fue una de las charlas más compartidas de RootedCON 2020. Muchas empresas revisaron a fondo la seguridad de su CI/CD después de verla.
Más tarde presenté una versión ampliada en el Sonatype DevSecOps Leadership Forum 2020.