Written with AI assistance from the source video. The video is the authority.
Log in to leave a comment
No posts yet
Für moderne Backend-Entwicklungsteams sind lokale Workstations längst kein sicheres Refugium mehr. Der Fall des Shai-Hulud-Supply-Chain-Wurms im ersten Halbjahr 2026 hat gezeigt, dass Angreifer IDE-Konfigurationsdateien ausnutzen, um selbst Standard-Prozessbäume zu umgehen. Unter der Annahme, dass die Entwicklungsumgebung bereits infiltriert wurde, fassen wir hier praktische Gegenmaßnahmen zusammen, um die Integrität der CI/CD-Pipeline proaktiv zu verteidigen.
Herkömmliche Antivirensoftware erkennt moderne Schadsoftware, die direkt im Arbeitsspeicher ausgeführt wird, oft nicht. Mit der eBPF-Technologie Cilium Tetragon können Sie das Prozessverhalten auf Kernebene steuern. Nachdem Sie Cilium Tetragon im Cluster bereitgestellt haben, wenden Sie die folgende TracingPolicy an. Sobald der Go-Compiler eine Netzwerkverbindung außerhalb des internen Netzwerks aufbaut, wird der Prozess sofort zwangsweise beendet.
yaml apiVersion: cilium.io/v1alpha1 kind: TracingPolicy metadata: name: restrict-compiler-egress spec: kprobes: - call: "sys_connect" syscall: true selectors: - matchBinaries: - operator: "In" values: ["/usr/local/go/bin/go", "/usr/local/go/bin/compile"] matchArgs: - index: 1 operator: "NotEqual" values: ["10.0.0.0/8", "192.168.0.0/16", "172.16.0.0/12"] matchActions: - action: Sigkill
Die TeamPCP-Gruppe (UNC6780) hat im Mai 2026 die automatische Ausführungsfunktion von .vscode/tasks.json ausgenutzt, um mehr als 3.800 Repositorys zu kompromittieren. Platzieren Sie ein .git/hooks/pre-commit-Skript mit der folgenden Logik im Hauptverzeichnis Ihres Projekts, um eine Kontamination der Pipeline zu verhindern.
Laut Safeguard-Analysen deaktiviert ein Sechstel aller CI-Pipelines die Prüfsummenüberprüfung über Konfigurationseinstellungen. Die Einstellung GOSUMDB=off ist anfällig für MitM-Angriffe. Fügen Sie Ihrer Pipeline unbedingt die folgenden Validierungsschritte hinzu:
Wenn Entwicklungstools direkt in der lokalen Umgebung installiert werden, bleiben Reste von Schadsoftware zurück. Durch die Einführung von Docker-basierten Einweg-Containern kann die Wiederherstellungszeit im Falle einer Infektion von mehreren Tagen auf 90 Sekunden verkürzt werden.
Stellen Sie eine standardisierte Dockerfile-Vorlage bereit, die unter einem nicht privilegierten Benutzer (vscode) ausgeführt wird. Wenn Sie die Verzeichnisse GOCACHE und go-pkg als separate Volumes mounten, lässt sich die I/O-Verzögerung unter 4,5 ms halten. Wenn der Verdacht auf eine Infektion besteht, löschen Sie die Umgebung sofort mit dem Befehl docker compose down --volumes und führen Sie einen Neu-Build durch.
