现代开发实践正日益实现开发生命周期自动化。从IDE到代码仓库，从自动构建和扫描到发布至生产环境，各类工具相互衔接，形成持续交付流水线。
代码仓库既用于存储代码，也用于触发交付流程中的各项事件。提交代码时，可能会运行安全扫描。配置发生更改时，可自动将其推送到相应的基础设施，以便立即部署。
这些工具正在加快开发、交付和部署流程，而且越来越多地迁移到“云端”。部署在本地的工具通常也可通过互联网访问，以支持日益壮大的远程开发者群体。大多数组织具备足够的安全意识，会要求使用凭据访问代码仓库，但未必会采取措施，保护此类访问免受现代威胁。
其中一种现代威胁是凭据填充。这通常被视为企业资源面临的风险，但实际上，任何可通过互联网访问且需要凭据的系统都有遭到入侵的风险。开发人员采用安全密码做法的可能性与其他IT专业人员并无差异。在互联网上重复使用密码的情况十分普遍，而数十亿条凭据的泄露为攻击者提供了丰富的资源，可用于尝试访问各种系统。请看这篇文章，其中印证了这样一句话：“Lastline对参加伦敦2018年信息安全大会的306名信息安全专业人员开展的一项调查显示，Lastline 45%的受访者犯下了严重的安全禁忌之一，即在多个账户中重复使用密码。”如果近一半的安全专业人员都在重复使用密码，不难想象，包括开发人员在内的其他IT从业人员会是什么情况。
从根本上看，始于2014年的美国人事管理局（OPM）重大数据泄露事件，是由成功攻破特权用户凭据的攻击者实施的。窃取这些凭据后，攻击者不仅能够访问OPM服务器中的敏感信息，还能横向移动至美国内政部的服务器和基础设施，并造成严重破坏。
如果攻击者能够访问构成软件开发生命周期（SDLC）的系统和服务，就可能从源头植入风险。获得源代码访问权限后，攻击者很容易注入恶意行为或窃取创意。
为应对这一威胁，组织应考虑将零信任架构理念扩展到软件开发流水线中的工具。从IDE、云管理控制台到代码存储库，使用Privileged User Access可实施基于MFA/CAC的严格安全实践。
特权用户访问与SDLC管道
特权用户访问（PUA）本质上是一种无需SAML的联合身份验证，也不要求应用支持某种特殊的身份验证方法。它可以将零信任原则扩展到旧式应用，同时支持现代Web应用。
此解决方案利用F5 Access Policy Manager (APM)充当凭据代理，并自动生成临时凭据。简而言之，系统先通过企业凭据存储（域控制器、LDAP）对用户进行身份验证，然后由APM生成可用于登录受保护系统的临时凭据。对于开发流水线，受保护系统可以是代码存储库，例如Bitbucket、GitHub或GitLab。这种方法可以更严格地控制代码存储库的访问权限，同时不会给开发人员增加大量流程负担。
- 用户向BIG-IP提供凭据
- BIG-IP通过IaaS或本地目录服务验证用户凭据
- BIG-IP向已通过身份验证的用户提供临时凭据
- 用户通过IDE或浏览器使用临时凭据访问代码仓库
- 存储库将用户名和临时凭据传递给BIG-IP进行验证
- BIG-IP返回验证结果
- 用户已成功登录存储库
敏感数据应包括代码。这意味着，代码访问权限应像数据访问权限一样受到保护。代码是数字化业务的核心，而交付流水线日益被视为一种攻击途径。通过实施特权用户访问模型，可以更有把握地确认凭据及其背后的用户均为合法主体。
可在此处了解有关F5 APM的更多信息。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。