Сообщить об инциденте

Обзор продукта

Обзор продукта
CICADA8 Dependency Firewall

df.example.corp/firewall-activityк
Сборка 4812
1
2
3
4
Secops
1/14

Сборка 4812 в журнале активности

Срез журнала по сборке 4812 приложения billing-api: все запросы CI с этим номером. Сверху отказы: вредоносный пакет, уязвимая версия lodash, axios из lock-файла и образ с секретами.
Обзор продукта
CICADA8 Dependency Firewall
df.example.corp/firewall-activityк
Точка 1. Вход в контур
1 из 3
1
2
3
4
Secops
2/14

Вход в контур: запрет вредоносного пакета

Crossenv выдавал себя за cross-env и крал переменные окружения. DF ответил 403 и пакет не выдал. В карточке политика, сработавшее правило, текст блокировки и ссылка на сборку 4812.
Обзор продукта
CICADA8 Dependency Firewall
df.example.corp/firewall-activityк
Точка 1. Вход в контур
2 из 3
1
2
3
4
Secops
3/14

Политика против вредоносного кода

Политика #5 срабатывает по любому из двух правил, правило CWE-506 проверяется после анализа. В демо она назначена учётной записи сборки, на входе в контур её назначают учётной записи репозитория.
Обзор продукта
CICADA8 Dependency Firewall
df.example.corp/firewall-activityк
Точка 1. Вход в контур
3 из 3
1
2
3
4
Secops
4/14

Запись о вредоносном пакете

CVE-2017−16 074 описывает crossenv как вредоносный пакет, который крадёт переменные окружения. У записи есть идентификаторы GHSA и Kaspersky и отметка CWE-506, встроенный вредоносный код.
Обзор продукта
CICADA8 Dependency Firewall
df.example.corp/firewall-activityк
Точка 2. Команды и CI
1 из 4
1
2
3
4
Secops
5/14

Команды и CI: 403 в логе сборки

Политика команды #12 запрещает lodash 4.17.1x. npm в CI получил 403 с текстом политики и ссылкой на карточку блокировки. CI передаёт номер сборки в логине, в карточке ссылка на сборку 4812.
Обзор продукта
CICADA8 Dependency Firewall
df.example.corp/firewall-activityк
Точка 2. Команды и CI
2 из 4
1
2
3
4
Secops
6/14

Порядок политик учётной записи CI

Учётной записи сборки назначены политики. DF проверяет их сверху вниз, и решает первая подходящая: выше запреты, ниже разрешающие политики. Если не подошла ни одна, действует запрет по умолчанию.
Обзор продукта
CICADA8 Dependency Firewall
df.example.corp/firewall-activityк
Точка 2. Команды и CI
3 из 4
1
2
3
4
Secops
7/14

Команды и CI: мягкая блокировка

Явно указанная версия axios 1.7.2 получает ответ «нет такой версии», установка по lock-файлу с ней получает 403 по политике #13. Установка по диапазону из package. json проходит, сборка идёт.
Обзор продукта
CICADA8 Dependency Firewall
df.example.corp/firewall-activityк
Точка 2. Команды и CI
4 из 4
1
2
3
4
Secops
8/14

Политика с исключением версии из манифеста

Политика #13 запрещает axios 1.7.x с флагом «Исключить версию из манифеста»: эти версии пропадают из списка версий, который DF отдаёт npm. Флаг работает в политиках по имени и версии.
Обзор продукта
CICADA8 Dependency Firewall
df.example.corp/firewall-activityк
Точка 3. Публикация образа
1
2
3
4
Secops
9/14

Публикация: образ с секретами отклонён

При docker push DF разбирает слои образа. В billing-api 1.4.2 найден закрытый ключ. Политика запрета секретов отклонила публикацию, клиент получил её текст и ссылку на карточку блокировки.
Обзор продукта
CICADA8 Dependency Firewall
df.example.corp/firewall-activityк
Точка 4. Выдача в продуктив
1
2
3
4
Secops
10/14

Выдача в продуктив

Кластер продуктива скачивает образы через DF под своей учётной записью и по своим политикам. Образ 1.4.3 выдан по политике «Выдача в продуктив». Секретов в нём нет, во вкладке лицензии компонентов.
Обзор продукта
CICADA8 Dependency Firewall
df.example.corp/firewall-activityк
SecOps
1 из 4
1
2
3
4
Secops
11/14

Цепочка поставок сборки 4812

Все запросы сборки собраны по её номеру: входные артефакты, включая транзитивные зависимости, пакеты PyPI и базовый образ, и два выходных артефакта. Здесь же критичности, SBOM и статус анализа.
Обзор продукта
CICADA8 Dependency Firewall
df.example.corp/firewall-activityк
SecOps
2 из 4
1
2
3
4
Secops
12/14

Выходные артефакты и SBOM

Опубликованный образ 1.4.3 и отклонённый 1.4.2. SBOM сборки выгружается одной кнопкой, а после закрытия сборки платформа отправляет SBOM и находки по настроенным интеграциям.
Обзор продукта
CICADA8 Dependency Firewall
df.example.corp/firewall-activityк
SecOps
3 из 4
1
2
3
4
Secops
13/14

Перепроверка после обновления базы

Когда база угроз обновляется, DF перепроверяет сохранённый состав сборки без пересборки. В сборке 4812 появились новые находки: ниже их пакеты, критичность и источники.
Обзор продукта
CICADA8 Dependency Firewall
df.example.corp/firewall-activityк
SecOps
4 из 4
1
2
3
4
Secops
14/14

Все входные артефакты сборки

Список входных артефактов сборки 4812 по страницам: пакеты npm с транзитивными зависимостями, пакеты PyPI и базовый образ, у каждого тип и версия. Номер активности ведёт в карточку запроса.

Разбор вашей схемы и план пилота

Оставьте заявку: покажем DF на созвоне, разберём вашу схему и предложим план пилота.
Что будет после заявки
1
Созвон: покажем DF
2
Разбор вашей схемы: какие точки нужны и с какой начать
3
План пилота: критерии и программа испытаний
Как проходит пилот