Security smells in infrastructure as code: a taxonomy update beyond the seven sins

## Контекст Современное управление программным обеспечением сильно зависит от Infrastructure as Code (IaC), которая позволяет автоматизировать развертывание и управление инфраструктурой. Однако безопасность IaC-скриптов часто подвергается угрозам, которые могут привести к серьезным последствиям, как показывают примеры эксплойтов в облачных сервисах. Несмотря на то, что ранее был разработан тематический словарь, охватывающий семь ключевых проблем (seven sins) в IaC, эта работа имела ограниченный круг исследований и недостаточное автоматизированное обнаружение. Мотивация доклада заключается в расширении таксономии, автоматизации диагностики, а также в исследовании распространенности этих проблем в реальных проектах. ## Метод Для изучения IaC-безопасности был разработан подробный методологический подход. Исследование расширялось на семь популярных IaC-инструментов: Terraform, Ansible, Chef, Puppet, Pulumi, SaltStack и Vagrant. Также был внедрен автоматизированный анализ с помощью Large Language Model (LLM) для обнаружения и категоризации IaC-безопасности. Для всех найденных категорий проводился ручной реконсенсус с учетом стандартов безопасности. Эксперименты проводились на большом датасете скриптов IaC, чтобы обеспечить широковещательность и реалистичность результатов. ## Результаты Было выявлено 62 категории IaC-безопасности, значительно расширившее предыдущую таксономию. Авторы реализовали новые правила проверки безопасности для linters семи популярных IaC-инструментов, достигнув высокой точности (до 1.00). Анализ проектов на GitHub показал, что IaC-безопасность часто остается недостаточно обрабатываемой в ходе развития проектов, что обусловлено недостатком эффективных инструментов для детектирования и устранения проблем. ## Значимость Расширенная таксономия и автоматизированные инструменты могут применяться во многих областях, включая анализ безопасности систем, внедрение DevSecOps, а также обучение практикующим IaC-практикам. Это решение позволяет улучшить стабильность и безопасность инфраструктурных решений, а также обеспечивает возможность прогнозировать и профилактировать безопасностные уязвимости в IaC. ## Выводы Основные достижения исследования заключаются в расширении таксономии IaC-безопасности и внедрении автоматизированных методов для обнаружения и корректировки проблем. Будущие работы будут направлены на расширение анализа для дополнительных IaC-инструментов, улучшение автоматизированных инструментов, а также изучение динамики безопасностных проблем в развивающихся проектах.