🚧 قبل الإصدار: تطوير نشط. cicd-sensor حالياً في مرحلة ما قبل الإصدار وتحت تطوير نشط. ملاحظاتكم مرحب بها جداً.

cicd-sensor

فكّر في EDR، لكن لخطوط أنابيب CI/CD.
مستشعر أمان وقت التشغيل مفتوح المصدر مدعوم بـ eBPF لـ GitHub Actions و GitLab CI/CD.
→ التوثيق الكامل

العرض التوضيحي

_{مثال: cicd-sensor مضاف إلى سير عمل GitHub Actions. التقارير الناتجة قابلة للعرض في ملخص وظيفة GitHub.}

ما الذي يفعله cicd-sensor

عندما يسرق اعتماد مخترق في وظيفة CI/CD بيانات اعتماد السحابة الخاصة بك ويُسرّبها، هل ستكتشف ذلك؟ هل سيكون لديك السجلات للتحقيق بعد ذلك؟ cicd-sensor هو مستشعر مفتوح المصدر يتيح لكل فريق الإجابة على كلا السؤالين.

الكشف: يكتشف هجمات سلسلة التوريد في وقت التشغيل باستخدام سلسلة العمليات (مثل الوصول إلى بيانات الاعتماد من عملية تنحدر من npm install) والربط عبر الإشارات (مثل قراءة فئات متعددة من بيانات الاعتماد في وظيفة واحدة). تستهدف القواعد الأساسية الأنماط التي شوهدت في هجمات CI/CD الحقيقية، وهي قابلة للإلغاء: أوقف تشغيلها إذا كنت تريد فقط السجلات والأدلة أدناه.

السجلات والأدلة: لكل تشغيل، يمكن لـ cicd-sensor إصدار سجلات للمراجعة والتنبيه والتحقيق الجنائي، تُوجَّه عبر cicd-sensor Manager إلى أحواض سحابية مثل S3 و GCS و Pub/Sub. يمكن لـ cicd-sensor-action أيضاً إنتاج تقرير رسومي وإثبات بناء لكل تشغيل. تبقى بياناتك تحت سيطرتك. لا يرسل cicd-sensor أي شيء أبداً إلى خوادم يديرها مشروع cicd-sensor.

بدء سريع

على العدّائين المستضافين على GitHub، أضف إجراء cicd-sensor كخطوة أولى في سير عملك.

jobs:
  build:
    runs-on: ubuntu-24.04
    steps:
      - uses: cicd-sensor/cicd-sensor-action@6511eb44c91d71b2b93d71193b1bf2cb18352f66 # v0.0.38

لـ GitHub Actions المستضاف ذاتياً أو GitLab CI/CD، راجع دليل المستخدم.

لماذا يحتاج وقت تشغيل CI/CD إلى هذا

تبني خطوط أنابيب CI/CD وتُصدر وتنشر وتدير البنية التحتية السحابية، وتحمل بيانات اعتماد السحابة ومفاتيح التوقيع ورموز السجل للقيام بذلك. يعمل مهاجمو سلسلة التوريد داخل تلك الوظائف ويختفون مع الأدلة عندما تنتهي الوظيفة.

معظم بيئات التشغيل الأخرى لديها مدافعون مفتوحو المصدر: Falco و Tetragon و Tracee و Wazuh و OSQuery. التغطية مفتوحة المصدر لوقت تشغيل CI/CD تأخرت. أثبت Sigstore أين و كيف تم بناء القطع الأثرية؛ يحافظ cicd-sensor على ما تم تشغيله فعلياً حتى تتمكن الفرق من الكشف والاستجابة والتدقيق.

مقارنة الميزات

_{يقارن هذا الجدول النسخة المجانية من Harden-Runner. منصة StepSecurity المدفوعة تضيف المزيد، مثل دعم المستودعات الخاصة والعدّائين المستضافين ذاتياً ولوحات المعلومات وإدارة السياسات.}

_{استناداً إلى المعلومات العامة اعتباراً من مايو 2026. التصحيحات مرحب بها.}

خدمات الطرف الثالث

يعمل Takumi Runner من GMO Flatt Security كمدير cicd-sensor مستضاف ويضيف كشف التهديدات الخاص به وتحليل التتبعات فوق السجلات المجمعة. راجع دليل التكامل الخاص بهم (الإنجليزية / اليابانية) للإعداد. إنه منتج تجاري منفصل، ويعمل cicd-sensor بدونه.

_{cicd-sensor هو مشروع مفتوح المصدر محايد للبائعين: يعمل بمفرده، وأي مدير يتواصل معه هو مدير تختار تشغيله. البائعون والخدمات الآخرون مرحب بهم بنفس القدر للتكامل مع cicd-sensor.}

_{عندما يُوجَّه cicd-sensor إلى مدير مستضاف من طرف ثالث، تُرسل السجلات والأحداث التي يجمعها إلى خدمة ذلك البائع.}

خطوط أنابيب CI/CD المدعومة

يعمل على كل من المستودعات العامة والخاصة، دون أي اعتماد على SaaS من طرف ثالث.

نواة Linux: 5.15 أو أحدث على amd64، 6.1 أو أحدث على arm64.

القواعد

يأتي cicd-sensor مع مجموعة من القواعد الأساسية. راجع دليل القواعد الأساسية لمعرفة كيفية عملها؛ تعريفات القواعد نفسها موجودة في rules/. يمكنك أيضاً كتابة قواعدك الخاصة، أو إيقاف القواعد الأساسية تماماً.

التوثيق

• البدء: ما هو cicd-sensor وكيف تبدأ.
• دليل المستخدم: مسارات النشر لـ GitHub Actions و GitLab CI/CD.
• القواعد: اكتب قواعد الكشف والجمع والربط.
• التسجيل: تنسيق السجل الذي يقدمه المدير.
• مسند الإثبات: مسند تتبع وقت التشغيل لأدلة وقت تشغيل CI/CD.
• دليل المطور: تفاصيل الوكيل ووقت تشغيل eBPF والمدير ومحرك القواعد.

حول المشروع

[!NOTE] عن المنشئ: cicd-sensor هو مشروع مفتوح المصدر محايد للبائعين، أنشأه ويحافظ عليه Hiroki Suezawa (@rung)، مؤلف Common Threat Matrix for CI/CD Pipeline، ومساهم في OWASP Top 10 CI/CD Security Risks، ومساهم مبكر في OSC&R / pbom.dev. بدأ cicd-sensor كمشروع فردي ليبقى قريباً من مجتمع المصادر المفتوحة الذي يتعرض لهجمات سلسلة التوريد.

يُنشر مرآة رسمية للقراءة فقط على gitlab.com/cicd-sensor/cicd-sensor. GitHub هو المصدر الأساسي؛ مرآة GitLab تتم مزامنتها دورياً.

الترخيص

رخصة Apache 2.0 (LICENSE). كود BPF المصدر تحت internal/agent/bpf/ مرخّص بشكل مزدوج GPL-2.0-only OR BSD-2-Clause (التفاصيل).