La livraison logicielle moderne repose sur les pipelines d’int\u00e9gration et de livraison continues (CI\/CD) pour construire, tester et d\u00e9ployer du code \u00e0 grande \u00e9chelle. Ces pipelines sont devenus la colonne vert\u00e9brale du DevOps, permettant aux organisations de livrer des fonctionnalit\u00e9s plus vite et de mani\u00e8re plus fiable que jamais. Mais cette puissance a une contrepartie critique : les syst\u00e8mes CI\/CD sont devenus l’une des surfaces d’attaque les plus attrayantes des environnements d’entreprise.<\/p>\n\n
Contrairement \u00e0 l’infrastructure traditionnelle, les pipelines CI\/CD se situent \u00e0 l’intersection du code, des identifiants et des syst\u00e8mes de production. Un seul pipeline compromis peut donner \u00e0 un attaquant tout ce dont il a besoin \u2014 acc\u00e8s aux d\u00e9p\u00f4ts de code source, identifiants cloud, cl\u00e9s de signature et capacit\u00e9 de pousser des artifacts malveillants directement en production. Ce n’est pas une pr\u00e9occupation th\u00e9orique. Les cinq derni\u00e8res ann\u00e9es ont vu une escalade spectaculaire des attaques visant les cha\u00eenes d’approvisionnement logicielles \u00e0 travers l’infrastructure CI\/CD, de SolarWinds<\/strong> \u00e0 XZ Utils<\/strong>.<\/p>\n\n Ce guide propose une taxonomie compl\u00e8te des menaces et attaques CI\/CD, les met en correspondance avec des r\u00e9f\u00e9rentiels du secteur comme le OWASP CI\/CD Top 10, d\u00e9crit des incidents r\u00e9els et pr\u00e9sente des strat\u00e9gies d\u00e9fensives que vous pouvez mettre en \u0153uvre d\u00e8s aujourd’hui. Que vous soyez ing\u00e9nieur s\u00e9curit\u00e9, praticien DevOps ou responsable d’une \u00e9quipe plateforme, comprendre ces vecteurs d’attaque est la premi\u00e8re \u00e9tape vers des pipelines r\u00e9silients.<\/p>\n\n Pour comprendre le paysage des menaces, vous devez penser aux pipelines CI\/CD comme le fait un attaquant. Les pipelines ne sont pas que de l’automatisation \u2014 ce sont des environnements d’ex\u00e9cution privil\u00e9gi\u00e9s<\/strong> dot\u00e9s de propri\u00e9t\u00e9s uniques qui en font des cibles d’une valeur extraordinaire.<\/p>\n\n Les pipelines CI\/CD d\u00e9tiennent couramment des identifiants pour les fournisseurs cloud (AWS, GCP, Azure), les registres de conteneurs, les d\u00e9p\u00f4ts de packages, les bases de donn\u00e9es et les clusters Kubernetes de production. Un seul runner de pipeline dispose souvent de plus d’acc\u00e8s que n’importe quel d\u00e9veloppeur individuel. Les attaquants qui compromettent un pipeline h\u00e9ritent instantan\u00e9ment de tous ces privil\u00e8ges.<\/p>\n\n Les pipelines sont con\u00e7us pour ex\u00e9cuter du code automatiquement en r\u00e9ponse \u00e0 des d\u00e9clencheurs \u2014 un push sur une branche, une pull request, un tag ou un cron planifi\u00e9. Cette automatisation, qui est la raison d’\u00eatre m\u00eame du CI\/CD, devient une arme d\u00e8s qu’un attaquant peut influencer ce qui est ex\u00e9cut\u00e9. Contrairement \u00e0 un relecteur humain, un pipeline ex\u00e9cutera fid\u00e8lement toutes les instructions qu’on lui donne, y compris malveillantes.<\/p>\n\n La plupart des architectures CI\/CD reposent sur un socle de confiance implicite. Les organisations partent du principe que les fichiers de configuration des pipelines n’ont pas \u00e9t\u00e9 alt\u00e9r\u00e9s. Elles supposent que les d\u00e9pendances r\u00e9solues au moment du build sont l\u00e9gitimes. Elles supposent que les GitHub Actions tierces ou les templates de pipeline partag\u00e9s sont s\u00fbrs. Chacune de ces hypoth\u00e8ses de confiance repr\u00e9sente un vecteur d’attaque potentiel.<\/p>\n\n Les syst\u00e8mes CI\/CD se trouvent souvent dans un angle mort de la s\u00e9curit\u00e9. Ils sont g\u00e9r\u00e9s par les \u00e9quipes d’ing\u00e9nierie plut\u00f4t que par les \u00e9quipes de s\u00e9curit\u00e9, ils ne b\u00e9n\u00e9ficient pas de la surveillance et de la journalisation dont profitent les syst\u00e8mes de production, et ils accumulent de la dette technique sous forme de configurations trop permissives, d’identifiants p\u00e9rim\u00e9s et de runners non corrig\u00e9s. Cela en fait des cibles faciles compar\u00e9es \u00e0 une infrastructure de production durcie.<\/p>\n\n L’aspect le plus dangereux des attaques CI\/CD est peut-\u00eatre leur potentiel d’amplification. Compromettre un seul pipeline qui construit une biblioth\u00e8que ou un service largement utilis\u00e9 peut propager du code malveillant \u00e0 des milliers, voire des millions de consommateurs en aval. C’est cet effet d’amplification par la cha\u00eene d’approvisionnement qui rend des incidents comme SolarWinds et XZ Utils si d\u00e9vastateurs.<\/p>\n\n Le OWASP CI\/CD Top 10<\/a> fournit un cadre structur\u00e9 pour comprendre les risques les plus critiques des environnements CI\/CD. Chaque cat\u00e9gorie de risque repr\u00e9sente une classe de vecteurs d’attaque que les adversaires exploitent activement. Voici comment les principaux types d’attaque correspondent \u00e0 ce cadre :<\/p>\n\nPourquoi les attaquants ciblent les pipelines CI\/CD<\/h2>\n\n
Un acc\u00e8s privil\u00e9gi\u00e9 \u00e0 tout<\/h3>\n\n
L’automatisation comme arme<\/h3>\n\n
Des hypoth\u00e8ses de confiance implicites<\/h3>\n\n
Une posture de s\u00e9curit\u00e9 faible<\/h3>\n\n
L’amplification par la cha\u00eene d’approvisionnement<\/h3>\n\n
Taxonomie des attaques CI\/CD : correspondance avec le OWASP CI\/CD Top 10<\/h2>\n\n