Raven - Analisador de Segurança CI/CD

RAVEN (Risk Analysis and Vulnerability Enumeration for CI/CD) é uma poderosa ferramenta de segurança projetada para realizar varreduras massivas em workflows de GitHub Actions CI e digerir os dados descobertos em um banco de dados Neo4j. Desenvolvida e mantida pela equipe de pesquisa da Cycode.

Com o Raven, conseguimos identificar e reportar vulnerabilidades de segurança em alguns dos repositórios mais populares hospedados no GitHub, incluindo:

• FreeCodeCamp (o projeto mais popular no GitHub)
• Storybook (um dos frameworks frontend mais populares)
• Fluent UI da Microsoft
• e muito mais

Listamos todas as vulnerabilidades descobertas usando o Raven na ferramenta Hall da Fama.

O que é o Raven

A ferramenta oferece as seguintes capacidades para escanear e analisar potenciais vulnerabilidades de CI/CD:

• ⏬ Downloader: Você pode baixar workflows e ações necessárias para a análise. Workflows podem ser baixados para múltiplas contas (usuário/organização) simultaneamente ou para repositórios públicos do GitHub, ordenados por número de estrelas. Realizar esta etapa é um pré-requisito para a análise dos workflows.
• 📊 Indexador: Digestão dos dados baixados em um banco de dados baseado em grafos Neo4j. Este processo envolve estabelecer relações entre workflows, ações, jobs, steps, etc.
• 📚 Biblioteca de Consultas: Criamos uma biblioteca de consultas pré-definidas baseadas em pesquisas realizadas pela comunidade.
• ❗ Relator: O Raven possui uma forma simples de reportar achados suspeitos. Como exemplo, pode ser incorporado no processo de CI para pull requests e executado lá.

Possíveis usos para o Raven:

• Scanner para a segurança da sua própria organização
• Escaneamento de organizações específicas para fins de bug bounty
• Escaneie tudo e reporte problemas encontrados para salvar a internet
• Propósitos de pesquisa e aprendizado

Esta ferramenta oferece uma solução confiável e escalável para análise de segurança CI/CD, permitindo que os usuários consultem configurações ruins e obtenham insights valiosos sobre a postura de segurança do seu código.

Por que o Raven

No ano passado, a Cycode Labs conduziu uma extensa pesquisa sobre questões fundamentais de segurança dos sistemas CI/CD. Examinamos as profundezas de muitos sistemas, milhares de projetos e diversas configurações. A conclusão é clara – o modelo no qual a segurança é delegada aos desenvolvedores falhou. Isso foi comprovado várias vezes em nosso conteúdo anterior: