Атаки на CICD

В ходе вебинара мы узнаем: 1) что такое CICD 2) Напишем свой первый пайплайн 3) Узнаем какие есть атаки 4) Проэксплуатируем некоторые виды атак Ведущий Алексей Федулаев 00:00:00 Введение и план лекции 00:01:36 Как устроен CI/CD 00:04:09 Создание проекта, раннера и первого пайплайна 00:12:16 Риски Shell-раннера и работа с тегами 00:16:00 Docker-раннер: сборка и публикация образов 00:23:57 CI-переменные, concurrency и запуск пайплайна 00:28:26 Разделение раннеров на сборщиков и деплоеров 00:30:26 Введение в атаки на CI/CD (полигон CICD-Goat) 00:33:09 Поиск секретов в репозитории 00:40:31 Практика: S3-бэкап и Terraform 00:44:22 Запуск полигона: Docker Compose со всеми сервисами 00:46:07 Работа с ACL и обход проверок Jenkins (флаг 7) 00:54:15 Pipeline Poisoning: атака через Jenkinsfile (White Rabbit) 01:06:49 Непрямая модификация пайплайна через Makefile 01:14:45 Public Pipeline Poisoning: атака через форки и pull request 01:22:40 Проблемы Open Source и защита от эксплойтов 01:28:07 Извлечение флага с Jenkins-агента и найденный SSH-ключ 01:32:52 Атака через цепочку зависимостей (dependency confusion) 01:39:30 Итоги лекции #CICD #DevSecOps #GitLab #Jenkins #Docker #Kubernetes #Пентест #ИнформационнаяБезопасность #ИБ #DevOps #ContainerSecurity #CyberSecurity #SupplyChainSecurity #PipelinePoisoning