Los investigadores de ciberseguridad han revelado dos nuevas t\u00e9cnicas de ataque contra herramientas de infraestructura como c\u00f3digo (IaC) y pol\u00edticas como c\u00f3digo (PaC), como Terraform de HashiCorp y Open Policy Agent (OPA) de Styra, que aprovechan lenguajes dedicados de dominio espec\u00edfico (DSL) para violar plataformas en la nube y extraer datos.<\/p>\n
“Dado que estos son lenguajes reforzados con capacidades limitadas, se supone que son m\u00e1s seguros que los lenguajes de programaci\u00f3n est\u00e1ndar, y de hecho lo son”, Shelly Raban, investigadora senior de seguridad de Tenable. dicho<\/a> en un informe t\u00e9cnico publicado la semana pasada. “Sin embargo, m\u00e1s seguro no significa a prueba de balas”.<\/p>\n OPA es un popular motor de pol\u00edticas de c\u00f3digo abierto que permite a las organizaciones aplicar pol\u00edticas en entornos nativos de la nube, como microservicios, canales de CI\/CD y Kubernetes. Las pol\u00edticas se definen utilizando un lenguaje de consulta nativo llamado rego<\/a> cuales son entonces evaluado<\/a> por la OPA para emitir una decisi\u00f3n.<\/p>\n El m\u00e9todo de ataque ideado por Tenable se dirige a la cadena de suministro, en la que un atacante obtiene acceso no autorizado a trav\u00e9s de una clave de acceso comprometida para insertar una pol\u00edtica Rego maliciosa en un servidor OPA, que se utiliza posteriormente durante la fase de decisi\u00f3n de la pol\u00edtica para permitir acciones maliciosas como la exfiltraci\u00f3n de credenciales utilizando una funci\u00f3n incorporada conocida como “http.enviar<\/a>“.<\/p>\n Incluso en los casos en los que una implementaci\u00f3n de OPA restringe el uso de http.send, la empresa de ciberseguridad descubri\u00f3 que es posible utilizar otra funci\u00f3n llamada “net.lookup_ip_addr<\/a>” para contrabandear los datos mediante b\u00fasquedas de DNS a trav\u00e9s de una t\u00e9cnica conocida como t\u00fanel DNS.<\/p>\n “Por lo tanto, la funci\u00f3n net.lookup_ip_addr es otra funci\u00f3n que podr\u00eda considerar restringir o al menos tener en cuenta en las pol\u00edticas, ya que tambi\u00e9n introduce el riesgo de filtraci\u00f3n de datos de su implementaci\u00f3n de OPA”, dijo Raban.<\/p>\n Terraform, similar a OPA, objetivos<\/a> a simplificar<\/a> el proceso de configuraci\u00f3n, implementaci\u00f3n y gesti\u00f3n de recursos en la nube a trav\u00e9s de definiciones basadas en c\u00f3digo. Estas configuraciones se pueden configurar utilizando otro DSL declarativo llamado lenguaje de configuraci\u00f3n HashiCorp (clorhidrato<\/a>).<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/11\/Los-puntos-ciegos-de-ciberseguridad-en-las-herramientas-IaC-y.gif\")
<\/a><\/center><\/div>\n