Os registros de artefatos, repositórios onde pacotes de software compilados, imagens de contêiner e artefatos de implantação são armazenados e distribuídos, são um ponto de controle crítico na cadeia de suprimentos de software. Eles são a ponte entre o pipeline de build que produz o software e a infraestrutura de implantação que o executa. A segurança dessa ponte determina se um artefato assinado e validado que sai do pipeline de build chega intacto ao ambiente de implantação. Um registro de artefatos que permite sobrescrever artefatos depois da publicação, sem alterar o identificador de versão, cria um risco para a cadeia de suprimentos que a assinatura de código, sozinha, não consegue mitigar: um atacante que compromete uma conta do registro pode substituir silenciosamente um artefato legítimo por um malicioso enquanto a tag de versão e a URL de download permanecem inalteradas.
A lacuna de imutabilidade é a propriedade de segurança central que diferencia registros de artefatos seguros dos inseguros. Um registro de artefatos imutável não permite sobrescrever uma versão de artefato publicada: depois que uma versão é publicada, ela é permanente. Se for preciso distribuir um artefato diferente, ele deve receber uma nova tag de versão. Essa propriedade é essencial para a segurança da cadeia de suprimentos porque garante que um consumidor que baixa hoje a versão 2.3.1 de um pacote receba o mesmo artefato que um consumidor que baixou a 2.3.1 ontem, independentemente de qualquer mudança nas permissões de acesso do registro ou de qualquer comprometimento de contas do registro desde a publicação original.
O problema do controle de acesso é a vulnerabilidade operacional. Os registros de artefatos acumulam contas com acesso de escrita ao longo do tempo: contas de desenvolvedores, contas de serviço de CI/CD, contas de automação de implantação e contas criadas para projetos específicos que nunca foram desprovisionadas quando o projeto terminou. Cada conta com acesso de escrita a um namespace de produção é um vetor potencial de comprometimento do registro. As contas de ex-funcionários são as mais imediatamente exploráveis: o ex-funcionário não tem mais motivo comercial legítimo para o acesso, a conta pode não ser monitorada e a empresa pode nem saber que a conta existe se a gestão de acesso ao registro não estiver integrada à gestão do ciclo de vida de identidades.
Por que isso importa
A segurança de registros de artefatos é relevante para TPRM porque os artefatos de software que a sua empresa recebe dos fornecedores são distribuídos por registros cuja postura de segurança determina se o artefato que você baixa é o artefato que o fornecedor publicou. Um fornecedor cujo registro é mutável, cujos controles de acesso são mal mantidos ou cujo namespace pode receber escrita de contas comprometidas ou de ex-funcionários é um fornecedor cujos artefatos podem ser substituídos sem detecção.
- Imutabilidade do registro não avaliada junto com a assinatura de artefatos
- Higiene do controle de acesso ao registro: contas de ex-funcionários, acesso de escrita excessivo
- Isolamento de namespaces: gestão de acesso ao namespace de produção
- Logs de auditoria no nível do registro: quem baixou e enviou o quê, e quando
- Verificação da integridade de artefatos além da assinatura: fixação de hash
Como é uma boa prática
Programas maduros de segurança de registros de artefatos implementam a imutabilidade dos artefatos de produção publicados, aplicam controle de acesso de privilégio mínimo com gestão do ciclo de vida de todas as contas do registro, habilitam logs de auditoria abrangentes das operações do registro e complementam a verificação de assinatura dos artefatos com fixação de hash, que detecta substituições no nível do registro.
- Publicação imutável de artefatos: nenhuma sobrescrita após a publicação
- Gestão do ciclo de vida dos acessos ao registro, integrada ao desligamento de identidades
- Revisão de acesso ao namespace de produção, no mínimo trimestral
- Logs de auditoria abrangentes: todas as operações do registro registradas
- Fixação de hash junto com a verificação de assinatura: detecta substituições no nível do registro
Ferramentas
Segurança de registros: JFrog Artifactory com políticas de imutabilidade; GitHub Packages, AWS ECR com políticas de ciclo de vida e de acesso
Registros de artefatos corporativos oferecem políticas de imutabilidade configuráveis que impedem a sobrescrita de artefatos após a publicação. As políticas de repositório do JFrog Artifactory podem aplicar imutabilidade no nível do namespace. O AWS ECR oferece configurações de imutabilidade de imagens que impedem a sobrescrita de tags. Para profissionais de TPRM, perguntar se o registro de artefatos de um fornecedor aplica imutabilidade aos artefatos de produção publicados é uma pergunta específica sobre a segurança do registro.
Desafios de governança
O desafio de governança da segurança de registros de artefatos é o problema do acúmulo de acessos. O acesso ao registro costuma ser concedido sob demanda e raramente revisado de forma proativa. Revisões trimestrais de acesso, que comparam o acesso atual ao registro com os registros de funcionários e contas de serviço ativos, são o mecanismo de governança que impede o acúmulo de acessos de escrita órfãos.
- Implemente a imutabilidade de artefatos nos namespaces de produção
- Integre o acesso ao registro ao ciclo de vida de identidades: o desligamento motiva a revogação do acesso ao registro
- Realize a revisão trimestral de acesso ao registro e compare-a com as contas ativas
- Habilite logs de auditoria abrangentes para todas as operações do registro
- Complemente as assinaturas com fixação de hash para artefatos críticos
Se você faz parte de uma equipe pequena
Para o registro de artefatos do seu fornecedor de software mais crítico, faça duas perguntas específicas. Primeira: o seu registro de artefatos de produção aplica imutabilidade, ou uma versão publicada pode ser sobrescrita com conteúdo diferente? Segunda: quantas contas têm hoje acesso de escrita ao namespace de produção e quando essa lista de acesso foi revisada pela última vez? Essas duas perguntas revelam o risco de substituição em registros mutáveis e a higiene de acessos por trás dele.
- Pergunte se o registro do fornecedor aplica imutabilidade aos artefatos
- Solicite o número atual de contas com acesso de escrita e a data da última revisão
- Solicite a revisão trimestral de acesso aos registros dos fornecedores críticos
- Complemente a verificação de assinatura com fixação de hash para artefatos críticos
O que exigir
Pergunte diretamente:
“O seu registro de artefatos aplica imutabilidade às versões de produção publicadas, impedindo a sobrescrita após a publicação? E quando o acesso de escrita ao seu namespace de produção foi revisado pela última vez em busca de contas desprovisionadas ou desnecessárias?”
O que esperar como evidência
- Confirmação da configuração de imutabilidade do registro
- Registros de revisão de acesso ao registro e lista atual de contas
- Integração do acesso ao registro com o ciclo de vida de identidades
- Disponibilidade dos logs de auditoria do registro
Um fornecedor que confirma a assinatura de artefatos deve ser questionado sobre a imutabilidade do registro e os controles de acesso. A assinatura confirma o artefato na publicação. A imutabilidade garante que o artefato no download seja o artefato da publicação. Os controles de acesso determinam quem pode substituir um artefato mutável.
Como comprovar
- Avaliação da imutabilidade do registro
- Registros de revisão de acesso
- Integração com o ciclo de vida de identidades
- Fixação de hash para artefatos críticos
Principal conclusão
Artefato: assinado. Registro: mutável. Acesso de escrita: 17 contas. Ex-funcionários: 3 ainda ativos. A assinatura confirmou o artefato na publicação. O registro mutável permitia que qualquer uma das 17 contas o substituísse. As 3 contas de ex-funcionários não tinham motivo comercial ativo para o acesso nem monitoramento ativo. A imutabilidade impede a substituição silenciosa. A gestão do ciclo de vida dos acessos impede acessos de escrita órfãos. A fixação de hash detecta a substituição independentemente da configuração de imutabilidade. As três medidas fecham a lacuna entre um artefato assinado e um artefato que chega intacto.