技术分享｜基础设施即代码(IaC)的安全问题

发布时间：

2023-12-01 09:17

基础设施即代码(以下缩写为IaC) 改变了我们部署和管理云基础设施的方式。我们现在可以通过代码定义我们的服务架构，而不必与大型运营团队手动配置服务器和网络。IaC使我们能够自动化基础设施部署、扩展整个服务器群、记录架构更改的历史记录以及测试网络的增量更改。

虽然IaC带来了许多好处，但它并非没有安全问题。今天，让我们一起共同探讨一下IaC面临的5大安全问题以及我们缓解这些问题的实践。

01 IaC模版配置错误

IaC大的安全问题之一是模板中的错误配置。IaC模板代码和依赖项可能包含错误，这些错误可能会无意中损害基础设施或为潜在的攻击者提供利用系统的手段。

例如，假设IaC模板无意中包含了存有敏感用户数据（例如财务详细信息或个人身份信息（PII））的数据库的明文用户名和密码凭据，未经授权访问此模板的攻击者可以查看数据并操纵数据库。

同样，想象一个IaC模板，其包含关键服务器的硬编码IP地址。服务器可能成为拒绝服务 (DoS)攻击的目标，并且可能难以快速响应和更新基础设施。使用参数化输入功能或环境变量对于将凭据和敏感信息与模板代码分离至关重要。

另一个例子是使用过时或已弃用的IaC框架和其他第三方依赖项。攻击者可能会发现旧代码版本中的新缺陷，从而使他们能够利用其他未知的错误配置。当相同的IaC模板在不同的环境中共享时，风险会变得更大，从而使单个错误配置的影响更大。定期维护和更新代码并仔细审查第三方依赖项以确保它们得到更新非常重要。

为了进一步保护IaC模板，我们应该实施安全编码实践，包括编写健壮的IaC代码，其中包括函数中的输入和参数验证，以及使用测试框架和版本控制来验证和跟踪代码更改以快速处理错误。我们还应该验证模板在部署和卸载过程中是否正常运行，以防止因不当删除服务而产生意外成本。

02 秘钥存储和传输不安全

秘钥管理是IaC中的另一个关键安全问题。密码和API密钥一旦泄露就会带来风险。恶意行为者可以使用其他敏感信息（例如 Webhook URL或IP地址）来发送垃圾邮件或拒绝资源并导致服务或网络瘫痪。即使是对IaC模板的只读访问也可以为攻击者提供对基础设施的宝贵洞察，帮助他们识别潜在的错误配置。这使得计划和执行有针对性的攻击变得更加容易。

幸运的是，IaC 框架和云平台允许我们安全地存储和使用这些Secret。例如，Terraform Cloud提供了Secret管理功能，以确保这些敏感数据得到正确加密和存储。云服务通常会自动提供机密（例如访问密钥和数据库连接字符串）作为环境变量，因此我们在本地开发时可以用自己的值覆盖它们。

03 访问控制策略配置错误

OWASP Top10是全球公认的 Web 应用程序安全文档，将访问控制不足和云配置错误列为重大问题。

黑客可以利用对服务器和云数据存储等资源过于宽松的访问策略来执行攻击或检索私人信息。配置错误可能导致了凭证、PII和信用卡信息等敏感数据的泄露。

攻击者可以通过开放的网络端口、不受限制的速率限制或传输或静态的未加密数据来利用配置。然后，他们可以利用这些错误配置来获得未经授权的访问、窃取敏感数据或中断服务。

随着时间的推移，在基础设施变更没有记录或正确管理的情况下，配置错误也可能会因为配置漂移而变得不那么明显。例如，您可能会在不记录更改的情况下应用系统补丁，或者工程师可能会登录调查问题、进行手动更改，然后忘记恢复它们。这些操作可能会导致难以识别和解决IaC模板视图之外的潜在风险，从而使系统面临威胁。

04 不安全的状态文件

由于大多数IaC框架都会生成状态文件来记录已部署基础设施的当前状态，因此保持它们的安全并与云的实际状态保持同步至关重要。明文状态文件可以包含有关云资源安全性的详细信息，保护此信息的唯一方法是对状态文件进行加密并安全访问它。

如果我们丢失了这个状态文件，我们就不再拥有使用IaC模板/代码部署的基础设施状态的记录。这种丢失将需要手动将现有云资源导入回持久状态文件，以便将来的IaC管理不受影响。

如果IaC在自动化CI/CD管道中进行管理，丢失状态文件可能会导致资源的破坏或创建，从而导致系统停机或数据丢失。同样，当手动映射资源并将内容重新组合在一起时，损坏或不同步的状态文件很快就会变得混乱。

我们可以通过采取一些简单的预防措施来避免陷入这种情况：

将状态文件远程存储在云端，以便轻松共享和备份。
启用版本控制以在文件损坏时恢复它。
使用文件锁定机制，以便只有一个用户可以随时部署和更改状态文件。
存储文件时对其进行加密，以便攻击者即使获得访问权限也无法解密。
限制用户对状态文件的访问，以便只有团队才能访问该文件。即使Secret被安全存储并保留在IaC模板之外，状态文件也可能以明文形式包含它们，因此必须对这些文件进行加密并限制访问以避免泄露Secret。