Bezpečnost CI/CD

Proč je bezpečnost CI/CD kritická

CI/CD (Continuous Integration/Continuous Delivery/Deployment) akceleruje vývoj, ale zároveň otevírá nové vektory útoku: neověřené kódové změny, závislosti třetích stran, kompromitované build servery, exfiltrace tajemství, otrávené artefakty nebo zneužití oprávnění v cloudu. Bezpečnostní strategie pro CI/CD musí proto zahrnovat řízení identity a přístupu, zajištění integrity buildů, správu tajemství, odolné artefaktové řetězce, politiky nasazení a průběžné ověřování (SAST/SCA/DAST/IaC/K8s). Cílem je dosáhnout důvěryhodné pipeline, kde je každá změna auditovatelná, reprodukovatelná a prokazatelně podepsaná.

Rámce a standardy: SSDF, SLSA a zásady supply chain

• NIST SSDF (Secure Software Development Framework) – procesní rámec pro bezpečný vývoj a pipeline (požadavky, ověřování, audit).
• SLSA (Supply-chain Levels for Software Artifacts) – úrovně důvěry (1–4) pro buildy, provenance a ověřování artefaktů.
• SBOM – katalog závislostí (SPDX, CycloneDX) generovaný v CI a přiložený k release.
• Compliance – mapování na ISO 27001, SOC 2, PCI DSS či odvětvové regulace.

Threat modeling CI/CD: kde jsou největší rizika

• Kód a revize – nedostatečné code review, slabá pravidla pro větve a PR z forků.
• Runnery a build stroje – sdílené či trvale běžící instance, zneužitelné cache, přístup do interních sítí.
• Tajemství a konfigurace – únik v logu, artefaktu nebo přes PR z neznámé identity.
• Závislosti a akce – „latest“ tagy akčních kroků, dependency confusion, typosquatting v registru balíčků.
• Artefakty a registry – otrávení binárek, nahrazení imagí, chybějící podpisy a politiky přijetí.

Řízení identity a přístupu (IAM) v CI/CD

• Least privilege – pipeline, kroky a runnery mají jen nezbytná oprávnění; oddělit čtení/zápis do registrů a cloudových účtů.
• Krátkodobé identity – OIDC federace z CI do cloudu (AWS/GCP/Azure) místo dlouhodobých klíčů.
• Schvalování a SoD – separace povinností (člověk, který merguje, nenasazuje; dvoučlenné schválení pro produkci).
• 2FA a podpis commitů – vyžadovat 2FA u SCM a GPG/Sigstore podpisy pro commity a tagy.

Ochrana repozitářů a větví

• Branch protection – vyžadovat review, status checks, zákaz force-push, povinné testy a skeny před merge.
• PR z forků – spouštět pouze „bezpečné“ joby bez tajemství; citlivé kroky (nasazení, publikace) spouštět až po merge.
• CODEOWNERS – povinné schvalování doménovými experty pro kritické cesty (build skripty, Dockerfile, IaC).

Bezpečnost pipeline jako kódu

• Pinování kroků – akce a pluginy pinovat na commit SHA, ne na latest; verze auditovat.
• Reusability – centrální knihovna schválených workflow/šablon, které procházejí bezpečnostní revizí.
• Policy as Code – OPA/Conftest/Semgrep policy gate: zákaz nebezpečných kroků (curl|bash), povinné skeny, podpisy, sběr SBOM.

Tajemství a citlivá data v CI/CD

• Vault/Secrets Manager – dynamická pověření s krátkým TTL; rotace klíčů automaticky.
• Masking a redakce – maskovat citlivé hodnoty v logu, zakázat echo tajemství; artefakty šifrovat.
• Per-Env tajemství – oddělit dev/test/prod; audit přístupů a schválení pro produkční proměnné.

Build prostředí: hermetické a reprodukovatelné

• Hermetic builds – zákaz neřízeného internetu během buildu; používání interních mirrorů a registrů.
• Reproducibility – pinování verzí, zamčené lockfile, deterministická kompilace a časová razítka.
• Ephemeral runnery – jednorázové build stroje bez perzistentní cache; při potřebě cache používat izolované a podepsané.

Container security v pipeline

• Trusted base images – pouze z interního registry; pravidelné rebuildy proti novým CVE.
• Image scanning – sken závislostí (OS i aplikace), zákaz release při kritických CVE bez výjimek.
• Podpisy a attestace – podepisovat obrazy (Sigstore/Cosign), generovat SLSA provenance; ověřovat v admission kontroleru.

Artefaktové řetězce a registry

• Privátní registry – oddělené role pro čtení/zápis; auditní logy a WORM retenční politiky pro release.
• Integrity – kryptografické podpisy a in-toto attestace; kontrola při nasazení (admission policy).
• Promotion model – artefakty se „povýší“ z dev→staging→prod bez rekompilace; jeden původ pro audit.

Skenování kódu a konfigurací v CI

• SAST/Semgrep/Bandit – statická analýza při PR; blokace kritických nálezů.
• SCA/Dependency review – audit třetích stran, zákaz licencí mimo politiku, auto PR pro bezpečné aktualizace.
• IaC scanning – Terraform/CloudFormation/K8s šablony proti baseline (CIS, vlastní pravidla).
• DAST/IAST – dynamické testy na preview prostředích; fuzzing klíčových API.
• Secrets scanning – gitleaks/trufflehog v pre-commit a v CI; automatická revokace uniklých klíčů.

Bezpečné nasazení: gates, schválení a GitOps

• Protected environments – nasazení do staging/prod vyžaduje explicitní schválení; auditovatelné release.
• GitOps – deklarativní stav v repozitáři; kontinuální reconciliace a RBAC přes SCM.
• Canary/Blue-Green – postupná expozice, automatický rollback na základě metrik (SLO/SLI).

Kubernetes admission politika

• OPA Gatekeeper/Kyverno – vynucení podpisů imagí, zákaz :latest, omezení privilegií, resource limity.
• Runtime security – seccomp/AppArmor, pod security policy, read-only root FS, žádné privileged.
• Network policy – „deny by default“ egress/ingress; oddělení CI agentů od produkce.

Provozní bezpečnost CI infrastruktury

• Segmentace sítě – runnery v izolované VLAN/NSG; egress allowlist jen na registry a mirrory.
• Aktualizace a hardening – pravidelné patchování orchestrátoru CI, runnerů a agentů.
• Monitoring – metriky front, doby běhu jobů, anomální egress, selhání podpisů a skenů.

Logování, audit a forenzní připravenost

• Tamper-evident logy – centralizace, WORM/immutable storage, dlouhá retence pro vyšetřování.
• Traceability – vazba commit → build → SBOM → podpis → release → nasazení (end-to-end trail).
• IR runbooky – postupy pro kompromitaci pipeline (revokace klíčů, invalidace artefaktů, audit zásahů).

Licenční a právní aspekty

• Policy licencí – povolené/zakázané licence; automatické reporty v release.
• Export/Compliance – evidence kryptografie a komponent pro dodavatelské řetězce.

Metriky a KPI bezpečného CI/CD

• Lead/lag metriky – % artefaktů s podpisem, pokrytí SBOM, doba záplaty kritických CVE, míra pinovaných kroků.
• Quality gates – podíl PR blokovaných bezpečností, úspěšnost skenů bez kritických nálezů, MTTR na incident v pipeline.

Typické chyby a jak se jim vyhnout

• „latest“ všude – kroky, image i závislosti musí být pinované; jinak nelze reprodukovat.
• Tajemství v logu – povinný masking a zákaz set -x u shellů s credy.
• Spouštění neověřeného kódu s tajemstvími – PR z forků bez přístupu k tajemstvím; schválení po merge.
• Sdílené persistentní runnery – přejít na ephemeral; čistit cache a workspace.
• Chybějící podpisy – bez kryptografických podpisů a attestací nelze ověřit původ.

Kontrolní seznam před releasem

• Code review s CODEOWNERS a povinnými testy, SAST/SCA/Secrets/IaC skeny bez kritických nálezů.
• Hermetický build, pinované verze, generovaný SBOM.
• Artefakty a image podepsané (Cosign), uloženy v privátním registru s audit logy.
• Deployment gate: schválení, canary a automatický rollback.
• Admission politika v clusterech vynucuje podpisy a baseline.

Roadmapa zlepšování (0–30–90–180 dní)

• 0–30 dní – zavést 2FA a branch protection, pinovat akce, aktivovat SAST/SCA/Secrets scanning, oddělit PR z forků od tajemství.
• 30–90 dní – OIDC do cloudu, Vault pro tajemství, hermetické buildy s interními registry, generovat SBOM a základní podpisy.
• 90–180 dní – SLSA provenance, Cosign verifikace při nasazení, Gatekeeper/Kyverno politiky, GitOps s promotion bez rekompilace, WORM logy a IR cvičení.

Závěr

Bezpečnost CI/CD je soustavná disciplína: vyžaduje kombinaci procesních opatření (review, schválení, SoD), technických kontrol (pinování, skenování, podpisy, hermetičnost), odolné infrastruktury (ephemeral runnery, segmentace, registr s auditem) a měřitelných politik (policy as code, KPI). Organizace, které zavedou SLSA/SSDF principy, přijmou GitOps, ověří původ artefaktů a zautomatizují bezpečnostní kontroly v celé pipeline, získají dovednost doručovat software rychle a přitom důvěryhodně.