セルフホスト版 Gitea 向け Aikido Zen

Gitea は、ソースコードをホストするためのセルフホスト型Gitサービスです。通常、プルリクエスト、Issue、リリース、Webhookなどを備えています。

それはしばしば、非常に機密性の高いデータを抱えていることを意味します。プライベートリポジトリ、誤ってコミットされた認証情報、デプロイキー、アクセストークン、社内のエンジニアリング議論などです。

攻撃者があなたのGiteaスタックの脆弱性を悪用すると、ソースコードを流出させたり、機密情報を盗んだり、ネットワーク内に足がかりを築いたりできます。Aikido Zenは、アプリケーションコード内で実行時に一般的なWeb攻撃をブロックすることで、このリスクの軽減を支援します。

Aikido Zen とは何か、そしてなぜ重要なのか

Aikido Zen は、アプリ内ファイアウォールです。ランタイムに組み込まれ、ファイルアクセス、外向きの HTTP 呼び出し、データベースクエリなどの主要な関数を監視します。ユーザー入力が危険な方法でこれらの機密性の高い送信先に পৌঁいた場合、Zen は例外を発生させ、実行前にその操作を停止します。

Giteaの管理者にとって、これは重要です。なぜなら：

• Giteaは、Gitデータと添付ファイルのためにデータベース（SQLite/MySQL/MariaDB/PostgreSQL）とファイルシステム上のリポジトリ保存領域を利用しています。
• 単一のインジェクションやパストラバーサルの不具合でも、プライベートリポジトリを露出させたり、機密情報を大規模に漏えいさせたりする可能性があります。
• Giteaはインターネットに公開されていることが多く、ボットや既知の脅威アクターの標的になりやすいです。

Zenは、ユーザーのプラットフォームへのアクセス方法を変えることなく、Giteaが稼働するサーバーに追加の安全網を提供します。

ZenがGiteaを保護する仕組み

悪意のあるトラフィックの軽減

Zen には、ブルートフォース型の試行を遅延またはブロックし、アプリケーションロジックに到達する前にスキャンボットによるノイズを減らすのに役立つトラフィック制御機能が含まれています。

安全でないデータベース操作のブロック

Zen は実行時にデータベースクエリを検査し、SQL インジェクションや有害なクエリ操作のようなパターンを停止できます。これにより、データモデルと連携するカスタムコードやサードパーティ製モジュールから発生する問題を封じ込めるのに役立ちます。

不正なファイルシステムアクセスの防止

多くのアプリケーションは、設定、添付ファイル、そして一時ファイルをディスク上に保存します。Zen は機密性の高いファイル操作を監視し、許可されたディレクトリ外へのパス・トラバーサルや予期しないファイルの読み書きをブロックします。

安全でない送信リクエストと SSRF からの保護

多くのアプリケーションは、Webhook や API を通じて外部サービスと連携します。Zen は送信される HTTP 呼び出しをチェックし、信頼されていない入力から生成された安全でないリクエストをブロックできます。これにより、SSRF 攻撃を防ぎ、内部ネットワーク上のターゲットへのアクセスを制限します。

送信先ドメインの監視と制御

Zen は、サーバーが接続するすべてのドメインを表示します。データの送信先を制御するために、ドメインをブロックまたは許可できます。これは、カスタムモジュールからの予期しない呼び出しの検出、データ流出の防止、そしてチームが承認した連携に対して厳格な境界を保つのに役立ちます。

ローカルのみの検査

Zen は、リクエストデータを Aikido に送信することなく、サーバー上でローカルにセキュリティ判断を行います。これは、重要な業務データとプライバシーが優先されるデプロイ環境に適しています。

次のステップ

ベータ版は近日公開予定です。詳細は Aikido サポートまでお問い合わせください