Salak Security
Ver relatórioFalar com especialista
Soluções

Segurança de CI/CD, containers e nuvem

Uma action sem hash fixo é uma porta para o seu deploy. Auditamos o caminho do código até produção.

Avaliar meu sistemaVer relatório de exemplo

Quem controla o pipeline controla o que vai para produção. Workflows com permissões amplas, ações de terceiros sem versão fixa e segredos que aparecem em logs transformam um pull request em acesso à nuvem.

A auditoria cobre o pipeline, as imagens de container, a infraestrutura como código e as permissões na nuvem, e entrega um workflow pronto para repetir as verificações a cada PR.

O que testamos

8 verificações, cada uma com prova

Nenhum item é aprovado sem evidência: saída de ferramenta, requisição ou trecho de código.

  • Permissões do workflowToken com o mínimo necessário por job, sem write-all.
  • Ações fixadas por hashAções de terceiros referenciadas por commit, não por tag que pode mudar.
  • Gatilhos perigosospull_request_target e workflow_run executando código de forks com segredos.
  • SegredosSegredos em logs, em variáveis de ambiente e no histórico do repositório.
  • Imagens de containerUsuário root, imagem base desatualizada, pacotes vulneráveis.
  • Terraform e KubernetesBuckets públicos, grupos de segurança abertos, pods privilegiados.
  • IAM na nuvemPapéis amplos, chaves de longa duração e contas sem MFA.
  • Inventário de componentesSBOM no formato CycloneDX gerado a cada build.
Exemplo de achado

Assim chega cada falha no relatório

Severidade, categoria OWASP e CWE, o caminho que o dado percorre até vazar, o impacto no negócio e a correção recomendada. O exemplo é fictício; o formato é o que você recebe.

Ver o relatório completo →
AltaSEC-022 · exemploA08 · CWE-829

Workflow com pull_request_target executa código de forks com acesso aos segredos

  1. 01PR aberto de um fork
  2. 02Gatilho pull_request_target
  3. 03actions/checkout do código do PR
  4. 04Script do PR roda com AWS_SECRET_ACCESS_KEY
Impacto
Qualquer pessoa no GitHub abre um PR e lê os segredos de deploy da nuvem.
Correção recomendada
Trocar para pull_request, separar jobs que precisam de segredo e uma verificação do zizmor no CI que bloqueia o padrão.
Como funciona

Quatro passos, nenhum sem evidência

Ver o método completo →
  1. 01

    Escopo e autorização

    Termo assinado com sistemas, ambientes e limites, antes de qualquer teste.

  2. 02

    Inventário e testes

    Rotas, dados sensíveis e testes em staging com cada perfil de usuário.

  3. 03

    Correção pelo seu time

    Cada falha com correção recomendada e teste de regressão.

  4. 04

    Verificação independente

    Quem não participou reproduz, confirma e assina.

Oferta recomendada

Auditoria Completa

A Auditoria Completa inclui CI/CD e containers. Para várias contas de nuvem e clusters, o plano Corporativo define o escopo com o seu time.

a partir de, por aplicaçãoR$ 22.300até 8 dias úteisVer a oferta
Perguntas

Sobre pipeline e nuvem

A correção é feita pelo seu time, com a correção recomendada e o teste de regressão que entregamos. Apoio na implementação é orçado à parte.

Cobre AWS e Google Cloud?

Sim: IAM, rede, armazenamento e serviços gerenciados, com leitura das configurações e do Terraform.

Precisam de acesso à conta da nuvem?

Um usuário de leitura (auditoria) é suficiente. Nenhuma alteração é feita na conta.

Vocês entregam o workflow de verificação?

Sim. Um workflow do GitHub Actions com as verificações da auditoria, pronto para rodar a cada pull request.

Guias relacionados
Guia · 5 minChecklist antes de publicar20 verificações de segurança para fazer antes do lançamento.Ler o guia →Guia · 7 minChave de API exposta no frontendQual chave pode ser pública, qual nunca pode, como achar no bundle e por que revogar.Ler o guia →
Contato comercial

Fale com um especialista em segurança

Agende uma conversa com o time. Sem formulário e sem espera: você escolhe o horário e chega com as suas dúvidas.

  • Escopo e preço antes de qualquer compromisso
  • Acordo de confidencialidade desde a primeira conversa
  • Atendimento em todo o Brasil
Conversa com especialistaTime de negócios · Salak Security
  1. 01Escolha um horário

    Direto na agenda do time de negócios, no dia que for melhor para você.

  2. 02Conte o que precisa avaliar

    Sistema, tecnologias, ambientes e o que mais preocupa hoje.

  3. 03Receba a proposta

    Escopo, prazo e preço em até um dia útil depois da conversa.

Escolher horário na agenda

Abre a agenda em uma nova aba.