Pipeline Security

Définition

La Pipeline Security désigne l'ensemble des pratiques et contrôles de sécurité appliqués aux pipelines CI/CD (Continuous Integration / Continuous Deployment) eux-mêmes, considérés comme une surface d'attaque critique de la supply chain logicielle moderne. Les attaques contre les pipelines CI/CD ont connu une croissance significative, avec des incidents majeurs comme SolarWinds (2020), Codecov (2021), et des dizaines d'attaques contre des pipelines GitHub Actions et GitLab CI révélant la fragilité de ces environnements souvent mal sécurisés. Les vecteurs d'attaque spécifiques aux pipelines CI/CD sont nombreux. Les secrets exposés dans les variables d'environnement des runners CI (tokens GitHub, clés AWS, credentials de registres) peuvent être exfiltrés par un attaquant qui compromet un job. Les dépendances des actions CI (GitHub Actions tierces, images Docker de base) peuvent être compromises via une supply chain attack. Les permissions excessives accordées aux tokens GITHUB_TOKEN permettent à du code malveillant injecté via une PR de modifier le dépôt ou les releases. Les workflows non protégés peuvent être déclenchés par des utilisateurs non authentifiés via pull_request_target sur les dépôts publics. Les bonnes pratiques de sécurisation des pipelines CI/CD couvrent plusieurs domaines. La gestion des secrets : utilisation de secrets managers plutôt que de variables en clair, Workload Identity pour les accès cloud, OIDC pour éviter les secrets statiques. La gestion des permissions : principe de moindre privilège pour GITHUB_TOKEN (permissions: contents: read), séparation des pipelines de build et de déploiement, protection des branches principales. La sécurisation des dépendances CI : pin des Actions GitHub à un SHA de commit plutôt qu'à un tag (actions/checkout@abc123 plutôt qu'actions/checkout@v3), utilisation d'images Docker signées, audit des actions tierces utilisées. La surveillance des pipelines CI inclut le logging détaillé de toutes les exécutions, la détection d'anomalies (nouveaux jobs inattendus, accès réseau inhabituels), et l'intégration avec les SIEM pour une détection centralisée des incidents de sécurité dans les pipelines.