Pesquisadores de segurança cibernética revelaram dois novos métodos de ataque que ameaçam ferramentas de infraestrutura como código (IaC) e política como código (PaC). Ferramentas como Terraform e Open Policy Agent (OPA), que utilizam linguagens específicas de domínio (DSLs), tornaram-se alvos de técnicas inovadoras que exploram vulnerabilidades dessas implementações.
Novos riscos para IaC e PaC
Embora as DSLs sejam projetadas para oferecer maior segurança em comparação com linguagens de programação tradicionais, elas não estão imunes a falhas. De acordo com Shelly Raban, pesquisadora sênior da Tenable, “mais seguro não significa à prova de balas”.
O OPA, amplamente usado para aplicar políticas em ambientes nativos da nuvem, como Kubernetes e pipelines CI/CD, depende do Rego, uma linguagem nativa de consulta. A Tenable identificou que atacantes podem introduzir políticas maliciosas no servidor OPA utilizando credenciais comprometidas, abrindo portas para ações como a exfiltração de dados por meio da função http.send.
Mesmo quando http.send está restrita, os invasores podem recorrer à função net.lookup_ip_addr para realizar túnel DNS e extrair informações confidenciais. Recomenda-se limitar o uso dessas funções e monitorar cuidadosamente as políticas aplicadas.
Terraform: riscos nos fluxos de trabalho CI/CD
O Terraform, outra ferramenta popular de IaC, facilita a configuração de recursos de nuvem por meio de sua própria DSL, o HCL (HashiCorp Configuration Language). Um ataque identificado pela Tenable utiliza a execução de comandos “terraform plan” em fluxos de trabalho de pull requests no GitHub.
Notícias Relacionadas
Isso permite que atacantes externos ou insiders maliciosos introduzam alterações não revisadas, incluindo fontes de dados maliciosas. As fontes comprometidas podem variar desde módulos do Terraform até DNS externos, elevando os riscos de segurança em ambientes CI/CD.
Boas práticas para mitigar riscos
Para fortalecer a segurança de ambientes que utilizam IaC e PaC, organizações devem adotar medidas como:
- Controle de acesso baseado em papéis (RBAC): implemente permissões granulares com base no princípio do menor privilégio.
- Monitoramento robusto: ative logs em nível de aplicação e nuvem para análise contínua.
- Restrições de execução: impeça a execução automática de códigos não revisados nos pipelines CI/CD.
- Ferramentas de verificação: utilize scanners de IaC, como Terrascan e Checkov, para identificar falhas de configuração e problemas de conformidade antes da implantação.
A segurança em IaC e PaC requer atenção constante às vulnerabilidades emergentes, especialmente com o aumento de ataques direcionados às linguagens específicas de domínio. A combinação de boas práticas e ferramentas avançadas pode reduzir significativamente os riscos e proteger infraestruturas críticas.
