Penetration Testing CICD

Définition

Le Penetration Testing CI/CD (pentest de la chaîne CI/CD) est une évaluation de sécurité offensive ciblant spécifiquement l'infrastructure CI/CD d'une organisation — les systèmes Jenkins/GitLab CI/GitHub Actions, les registres d'artefacts, les configurations de déploiement, et les secrets stockés dans ces environnements. Contrairement au pentest applicatif classique qui cible les applications en production, le pentest CI/CD s'intéresse à l'infrastructure qui produit et déploie ces applications, souvent la "crown jewel" d'une organisation du point de vue d'un attaquant. Un attaquant qui compromet un pipeline CI/CD peut modifier le code source avant compilation, injecter du code malveillant dans les artefacts de build, exfiltrer tous les secrets stockés dans les systèmes CI (credentials cloud, clés API, certificats), déployer directement du code malveillant en production sans passer par les processus de revue, et maintenir un accès persistant via des backdoors dans les images Docker ou les packages publiés. La valeur d'un pipeline CI/CD compromis est souvent supérieure à celle d'une application en production, d'où l'importance de le tester régulièrement. Les vecteurs d'attaque testés lors d'un pentest CI/CD incluent : la compromission des credentials de service (tokens d'API GitLab/GitHub, credentials AWS/GCP des runners), l'injection dans les définitions de pipeline (modification d'un .gitlab-ci.yml ou .github/workflows/ par un développeur compromis ou via une PR malveillante), l'exfiltration de secrets CI (les variables CI sont-elles accessibles via des logs verbeux ?, via des artefacts de build ?, via des environments partagés entre branches de features et branches protégées ?), la compromission des registres d'artefacts (un attaquant ayant accès au registre peut substituer des images), et les attaques de déplacement latéral depuis un runner CI (depuis l'environnement d'exécution d'un runner, quels systèmes internes sont accessibles ?). Le pentest CI/CD est généralement conduit par des Red Teams spécialisées en DevOps Security ou par des consultants de sécurité avec une expertise DevSecOps. Des ressources comme le TOP 10 CI/CD Security Risks (OWASP) et le CI/CD Security Attacks (Mercari Research) guident l'approche méthodologique.