🌐 Контроль сетевого трафика CI-runner'ов

У большинства команд нет никакой видимости того, что их CI-runner'ы делают в сети. Это серьёзная слепая зона.

Step Security выпустили GitHub Action, который логирует или блокирует исходящие соединения прямо во время билда.

Добавляется одним шагом в начало каждой джобы:

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      # Добавьте этот шаг ПЕРВЫМ в каждом job
      - uses: step-security/harden-runner@v2
        with:
          egress-policy: audit       # 'audit' только логирует, 'block' блокирует
          allowed-endpoints: >       # белый список разрешённых эндпоинтов
            registry.npmjs.org:443
            github.com:443
            objects.githubusercontent.com:443

      - uses: actions/checkout@v4
      - run: npm ci
      # Любое соединение с sfrclak.com теперь попадёт в логи безопасности

Два режима работы

В режиме audit Harden-Runner пишет в лог все исходящие соединения, ничего не блокируя. Это безопасный старт: билды не ломаются, но вы видите реальный сетевой профиль своего пайплайна.

Когда понимаете, какие соединения для вас нормальные, переключаетесь на block с белым списком. Любое неожиданное исходящее соединение сразу роняет билд.

Начните с audit, посмотрите на трафик неделю, потом переходите на block. Большинство легитимных билдов ходят в три-пять известных эндпоинтов, и белый список для них составляется за пять минут.

📍 Навигация: Вакансии • Задачи • Собесы

🐸 Библиотека devops'a

#арсенал_инженера