Return to search

Mitigating CI/CD threats through an extended access control model / Motverka hot CI/CD-hot genom en utökad åtkomstkontrollmodell

Continuous integration and continuous deployment (CI/CD) are automated processes that form a vital part of the software development lifecycle. However, CI/CD entails unique security challenges, as demonstrated by cyber attacks in recent years. This thesis presents a method for diminishing the risks of CI/CD through the dynamic access control patterns of zero trust. The impact of the method is evaluated by threat modeling popular open-source CI/CD pipelines on GitHub using STRIDE and examining the effect on the found threats. This evaluation shows that a significant subset of the found threats are impacted by the method, which suggests that monitoring dynamic CI/CD attributes have the potential to improve the security of CI/CD systems. Furthermore, the current use of existing mitigations against threats by popular GitHub repositories is investigated. / En allt viktigare del av utveckling av mjukvara utgörs av så kallade CI/CDpipelines, vilka möjliggör kontinuerlig integration och leverans av mjukvara. Dessa medför stora förtjänster i utvecklingseffektivitet, men även unika säkerhetsutmaningar, vilket har poängterats av cyberattacker mot pipelines under senare år. Denna uppsats uppsats syftar till att minska riskerna i CI/CD-pipelines. Detta görs genom att presentera en ny modell för åtkomstkontroll i CI/CD-pipelines på webbplattformet GitHub. Modellens prestanda evalueras genom att undersöka dess effekt på pipeline-hot som hittas genom hotmodellering av populära projekt på GitHub. Evalueringen visar att en betydande delmängd av de funna hoten påverkas av modellen, vilket antyder att övervakning av dynamiska attribut i CI/CD-system kan förbättra säkerheten i dessa. Dessutom så undersöks hur existerande GitHub-projekt jobbar med lindringar av hot mot säkerheten i pipelines.

Identiferoai:union.ndltd.org:UPSALLA1/oai:DiVA.org:kth-346918
Date January 2024
CreatorsSiberov, Arvid
PublisherKTH, Skolan för elektroteknik och datavetenskap (EECS)
Source SetsDiVA Archive at Upsalla University
LanguageEnglish
Detected LanguageSwedish
TypeStudent thesis, info:eu-repo/semantics/bachelorThesis, text
Formatapplication/pdf
Rightsinfo:eu-repo/semantics/openAccess
RelationTRITA-EECS-EX ; 2024:74

Page generated in 0.002 seconds