የፍለጋ ፕሮግራሞች ይዘትን ለማጣቀስ የተገነቡ ናቸው። ሆኖም ግን፣ አጥቂዎች ስህተቶችዎን ለማጣቀስ ይጠቀሙባቸዋል። ጥያቄው አሊንቴክስት፡login የፋይል አይነት:ሎግ ምንም ጉዳት የሌለው ሊመስል ይችላል። እንደ እውነቱ ከሆነ፣ የማረጋገጫ ፍሰቶችን፣ የምስክር ወረቀቶችን፣ ቶከኖችን እና የውስጥ መሠረተ ልማት መረጃዎችን የያዙ የተጋለጡ የምዝግብ ማስታወሻ ፋይሎችን ለማግኘት በጣም ቀላሉ መንገዶች አንዱ ነው።
ጉግል እነዚያን ምዝግብ ማስታወሻዎች ማየት ከቻለ፣ አጥቂዎችም እንዲሁ ማየት ይችላሉ። አንዴ ከተጠቆመ በኋላ መጋለጥ የማይቀር ይሆናል። ከዚህም በላይ፣ ምስክርነቶች በይፋ ተደራሽ በሆነ ፋይል ውስጥ ሲታዩ፣ ጥሰቱ ቀድሞውኑ በእንቅስቃሴ ላይ ነው።
1. አሊንቴክስት ለምን?login የፋይል አይነት:log ከሚታየው በላይ አደገኛ ነው
የጉግል ዶርክ የፍለጋ መጠይቅ በፍለጋ ፕሮግራሞች የተጠቆመ ስሱ ወይም የተሳሳተ ውቅር ያለው ይዘት ለማግኘት የላቀ ኦፕሬተሮችን የሚጠቀም የፍለጋ መጠይቅ ነው። ጉግልን አይበዘብዝም። በምትኩ፣ የእርስዎን ተጋላጭነት ይበዘብዛል።
ይህ መጠይቅ ሁለት ኦፕሬተሮችን ያጣምራል፡
- አሊንቴክስት፡ ሁሉም ቃላት በአካል ጽሑፍ ውስጥ የሚታዩባቸውን ገጾች ይመልሳል
- የፋይል አይነት:ሎግ ውጤቶችን የሚገድበው ለ
.logፋይሎች
ስለሆነም
ማለት፡ “ቃሉን የያዙ የምዝግብ ማስታወሻ ፋይሎችን አሳየኝ login. "
በመጀመሪያ ሲታይ፣ ያ ቀላል ይመስላል። ሆኖም፣ በተግባር ግን፣ ብዙውን ጊዜ የሚመለሰው፦
- በይፋ የተጋለጡ የድር አገልጋይ ምዝግብ ማስታወሻዎች
- CI/CD እንደ ቅርሶች የተሰቀሉ ምዝግብ ማስታወሻዎች
- የስህተት ምዝግብ ማስታወሻዎችን በድንገት ማረም commitወደ ማከማቻዎች ተልኳል
- የመተግበሪያ ምዝግብ ማስታወሻዎች ከቀላል ጽሑፍ ማስረጃዎች ጋር
ይህ የፍለጋ ፕሮግራም ስህተት አይደለም። በምትኩ፣ የውሂብ ተጋላጭነት ተጋላጭነት በተሳሳተ ውቅር ምክንያት የተፈጠረ። ጉግል በቀላሉ ለሕዝብ ተደራሽ የሆነውን መረጃ ጠቋሚ አድርጎታል።
2. አጥቂዎች በተጋለጡ የሎግ ፋይሎች ውስጥ በትክክል የሚያገኙት ነገር
አጥቂዎች ሲሮጡ አሊንቴክስት፡login የፋይል አይነት:ሎግበዘፈቀደ እያሰሱ አይደለም። የማረጋገጫ ዱካዎችን እየፈለጉ ነው።
2.1 ግልጽ የጽሑፍ ማስረጃዎች
ሎግስ ብዙውን ጊዜ የሚከተሉትን ግቤቶች ይይዛሉ:
or
ወይም የSMTP ምስክርነቶችን እንኳን፦
የምዝግብ ማስታወሻ ማረጋገጫ ክፍያዎች የምርት ምስክርነቶችን ለማፍረስ በጣም ፈጣኑ መንገዶች አንዱ ነው። በዚህም ምክንያት፣ አንድ የተጋለጠ የምዝግብ ማስታወሻ ፋይል መላውን የመዳረሻ መቆጣጠሪያ ሞዴልዎን ዋጋ ሊያሳጣው ይችላል።
2.2 የክፍለ ጊዜ ማስመሰያዎች እና JWTዎች
የይለፍ ቃሎች ባይመዘገቡም እንኳ ቶከኖች ብዙውን ጊዜ ይመዘገባሉ።
ለምሳሌ:
የሚሰራ የJWT ወይም የክፍለ ጊዜ ኩኪ በ .log ፋይሉ የሚከተሉትን ማንቃት ይችላል፦
- የክፍለ-ጊዜ ጠለፋ
- የልዩነት መስፋፋት
- በውስጣዊ ስርዓቶች ውስጥ የጎን እንቅስቃሴ
በሌላ አነጋገር፣ በምዝግብ ማስታወሻዎች ውስጥ ያሉ ቶከኖች የማረሚያ ውጤትን ወደ ማረጋገጫ ማለፊያ ቬክተር ይለውጣሉ።
2.3 CI/CD ቅርሶች
የግንባታ ምዝግቦች በተለይ አደገኛ ናቸው። እንዲያውም CI/CD ስርዓቶች ብዙውን ጊዜ በግንባታ ደረጃዎች ወቅት የአካባቢ ተለዋዋጮችን ያትማሉ።
አጥቂዎች ብዙውን ጊዜ የሚከተሉትን ያገኛሉ:
እንደሚከተሉት ያሉ መስመሮችን የያዘ፡
If CI/CD ቅርሶች ይፋዊ ናቸው፣ ከዚያም ምስጢሮች ይፋዊ ናቸው። የጉግል ዶርክ ግኝትን በቀላሉ ያፋጥናል።
2.4 የደመና እና የመሠረተ ልማት ውሂብ
የተጋለጡ ምዝግቦች ብዙውን ጊዜ የሚከተሉትን ያሳያሉ:
- የAWS መዳረሻ ቁልፎች
- የ Azure ማከማቻ ግንኙነት ሕብረቁምፊዎች
- የውስጥ አገልግሎት ዩአርኤሎች
- የውሂብ ጎታ ምስክርነቶች
- የሬድስ የመጨረሻ ነጥቦች
ምንም እንኳን ምስክርነቶች በኋላ ላይ ቢዞሩም፣ አጥቂው አሁን የሚከተሉትን አለው፦
- የመሠረተ ልማት ካርታ ስራ
- ስምምነቶች
- ለወደፊት ጥቃቶች የመረጃ ቋት ኢላማ ማድረግ
ስለዚህ፣ የተጋለጡ ምዝግብ ማስታወሻዎች መዳረሻም ሆነ ስካነሪ ይሰጣሉ።
3. እነዚህ ምዝግብ ማስታወሻዎች በመጀመሪያ ደረጃ ይፋዊ የሚሆኑት እንዴት ነው?
ሎጎች በGoogle ላይ በአስማት አይታዩም። በይፋ ሊደረስባቸው የሚችሉ ስለነበሩ መረጃ ጠቋሚ ይሆናሉ።
3.1 የተሳሳተ የተዋቀሩ የድር አገልጋዮች
የተለመዱ ቅጦች የሚከተሉትን ያካትታሉ:
/logs/ያለ ማረጋገጫ ተደራሽ የሆኑ ማውጫዎች- የማውጫ ዝርዝር ነቅቷል
- ጥሬ አገልግሎት የሚሰጡ ንኪንክስ ወይም አፓቼ
.logፋይሎች
አንድ ሎግ በHTTP በኩል ሊደረስበት የሚችል ከሆነ፣ መረጃ ጠቋሚ ሊደረግበት ይችላል።
3.2 CI/CD የቅርስ መጋለጥ
የተለመዱ ስህተቶች፡-
- የህዝብ ቅርሶች በ GitHub እርምጃዎች
- ምዝግብ ማስታወሻዎች ወደ ክፍት የS3 ባልዲዎች ተሰቅለዋል
- Pipeline ያለ ማረጋገጫ ተደራሽ የሆኑ ዱካዎች
A pipeline ምዝግብ ማስታወሻዎችን በሕዝብ ባልዲ ውስጥ የሚያከማች ሲሆን ምስጢሩን ውጤታማ በሆነ መንገድ ያሳትማል።
3.3 በምርት ውስጥ የስህተት ማረም ሁነታ
የፍሬም ነባሪዎች አደገኛ ሊሆኑ ይችላሉ፡
በተጨማሪም፣ ከልክ ያለፈ የጥያቄ ምዝግብ ማስታወሻ ሊታተም ይችላል፦
- ራስጌዎች
- ማስመሰያዎች
- ሙሉ የጥያቄ አካላት
የስህተት መዝገብ ማምረት መተግበሪያዎን ወደ የምስክርነት ላኪ ይለውጠዋል።
3.4 የዶክ እና ኮንቴይነር ሎጎች
ኮንቴይነር የተገጠመላቸው አካባቢዎች አዳዲስ የመጋለጥ መንገዶችን ያስተዋውቃሉ፡
- በተጋሩ ጥራዞች ውስጥ የተጫኑ ምዝግብ ማስታወሻዎች
- ምዝግብ ማስታወሻዎችን ወደ ያልተጠበቁ የመጨረሻ ነጥቦች የሚልክ የጎን መኪናዎች
- ምዝግብ ማስታወሻ dashboardከሕዝብ ተደራሽነት ጋር
የኮንቴይነር ምዝግብ ማስታወሻዎች በHTTP ወይም በክፍት ማከማቻ በኩል ከተጋለጡ፣ ሊፈለጉ ይችላሉ። በመጨረሻም፣ በመረጃ ጠቋሚ ይለጠፋሉ።
4. ተጨባጭ የጥቃት ፍሰት፡ ከዶርክ እስከ ጥሰቱ
የተለመደው የጥቃት ሰንሰለት እንደዚህ ይመስላል፡
አጥቂው ይሮጣል፦
- የተጋለጡ ግኝቶች
.logፋይል - ተዋጽኦዎች:
- የJWT ቶከን
- መሰረታዊ የፈቃድ ራስጌ
- የውሂብ ጎታ ግንኙነት ሕብረቁምፊ
በሚከተሉት ላይ የማረጋገጫ ሙከራዎች
- የኤፒአይ የመጨረሻ ነጥቦች
- የአስተዳዳሪ ፓነሎች
- ውስጣዊ አገልግሎቶች
ማረጋገጫው ከተሳካ፣ አጥቂው የሚከተሉትን ማድረግ ይችላል፦
- መብቶችን ከፍ አድርግ
- ወደ ጎን ያንቀሳቅሱ
- መዳረሻ CI/CD
- የአቅርቦት ሰንሰለቱን ማስማማት
እንደ የፍለጋ መጠይቅ የተጀመረው ነገር፡
- የክፍለ-ጊዜ ጠለፋ
- ውስጣዊ የምስክርነት ሙሌት
- Pipeline ያሳኩ
- የቅርስ መመረዝ
ሁሉም ከሕዝብ መረጃ ጠቋሚ ካለው የሎግ ፋይል የተወሰዱ ናቸው።
5. "በጣም ብዙ" መዝገብ ማድረግ የAppSec ችግር የሆነው ለምንድን ነው?
ምዝግብ ማስታወሻ ገለልተኛ አይደለም። በምትኩ፣ ይፈጥራል ሁለተኛ ደረጃ የውሂብ ማከማቻ.
ሚስጥራዊ መረጃዎችን ከመዘገቡ፣ የምስጢሮችዎን ሁለተኛ ቅጂ በተሳካ ሁኔታ ይፈጥራሉ።
ሆኖም ግን፣ ሎጎች ብዙውን ጊዜ ከአደጋ ሞዴሊንግ አይካተቱም። በSTRIDE ስር፣ ይህ በግልጽ የሚከተሉትን ያሳያል፦
ይፋ የማድረግ መረጃ
ስለዚህ፣ ደህንነቱ የተጠበቀ SDLC ልማዶች ሎጎችን እንደሚከተለው ማስተናገድ አለባቸው፡
- ከደህንነት ጋር የተያያዙ ቅርሶች
- ሚስጥራዊ ንብረቶች
- ጥበቃ የሚያስፈልጋቸው የመሠረተ ልማት ክፍሎች
የስጋት ሞዴልዎ ምዝግብ ማስታወሻዎችን ችላ የሚል ከሆነ፣ ያልተሟላ ነው።
6. በመዝገብ ፋይሎች ውስጥ የምስክርነት መፍሰስን እንዴት መከላከል እንደሚቻል
6.1 የምዝግብ ማስታወሻ ምስጢሮችን አቁም
በጭራሽ አትመዝግብ፦
- የይለፍ ቃላት
- ማስመሰያዎች
- የኤፒአይ ቁልፎች
- የክፍለ ጊዜ መታወቂያዎች
- የፈቃድ ራስጌዎች
በማረም ሁነታ እንኳን።
በተቻለ መጠን አውቶማቲክ ማስተካከያዎችን ይተግብሩ።
6.2 የተዋቀረ እና ደህንነቱ የተጠበቀ የምዝግብ ማስታወሻ
ጭምብል እና ማጣሪያ ያለው የተዋቀረ ሎግ ይጠቀሙ።
ምሳሌ (Node.js):
ምሳሌ (ፓይቶን):
ዋናው መርህ ቀላል ነው፡ ምስጢሮች ወደ የእንጨት ማጠቢያ ገንዳው መድረስ የለባቸውም።
6.3 የሎክ ዳውን ሎክ ...
የደህንነት መቆጣጠሪያዎች የሚከተሉትን ማካተት አለባቸው:
- የማውጫ ዝርዝርን አሰናክል
- ጠብቅ
/logs/ማረጋገጫ ያላቸው መንገዶች - የባልዲ መዳረሻን ይገድቡ
- የማቆያ መመሪያዎችን ይተግብሩ
- ምዝግብ ማስታወሻዎችን በእረፍት ጊዜ ያመስጥሩ
ምዝግብ ማስታወሻዎች በ HTTP በኩል በይፋ ሊደረስባቸው ፈጽሞ አይችሉም።
6.4 CI/CD Guardrails
በእጅ የሚሰጡ ግምገማዎች በቂ አይደሉም። በምትኩ፣ አውቶማቲክ መቆጣጠሪያዎችን ይተግብሩ፦
- ቅርሶች ከመታተማቸው በፊት የምዝግብ ማስታወሻዎችን በድብቅ መቃኘት
- ቶከኖች ከተገኙ የውድቀት ግንባታዎች
- ማስረጃዎችን የያዙ የቅሪተ አካል ሰቀላዎችን ይከላከሉ
- ለአርቴፊሻል ቅርሶች የሃሽ ማረጋገጫ
CI/CD ኢንዴክስ ከመደረጉ በፊት ተጋላጭነትን ማገድ አለበት።
7. Xygeni አሊንቴክስትን እንዴት ይከላከላል?login የፋይል አይነት:ሎግ ክስተቶች
ችግሩ የጉግል ዶርክ አይደለም። ችግሩ ተጋላጭነት ነው። ስለዚህ፣ ከመረጃ ጠቋሚው በፊት መከላከል መከሰት አለበት።
7.1 በምዝግብ ማስታወሻዎች እና ቅርሶች ውስጥ ሚስጥራዊ ፈልጎ ማግኘት
የኤክሲጂኒ ቅኝቶች፡
- የመተግበሪያ ምዝግብ ማስታወሻዎች
- CI/CD የሥራ ዱካዎች
- ቅርሶችን ይገንቡ
- የዶከር ንብርብሮች
- ተከታታይ ውጤቶች
የምስክር ወረቀቶች፣ ቶከኖች ወይም ሚስጥራዊ እሴቶች በ ውስጥ ከታዩ .log ፋይሎች፣ Xygeni ወዲያውኑ ይጠቁማቸዋል።
7.2 CI/CD Guardrails የዚያ ብሎክ መጋለጥ
በእጅ ግምገማዎች ላይ ከመተማመን ይልቅ፣ ዢጌኒ በደህንነት ላይ ያስፈጽማል pipeline ደረጃ:
ይህ
- ምስጢሮች በምዝግብ ማስታወሻዎች ውስጥ ሲታዩ ይከሽፋል
- የቅርስ ህትመትን ያግዳል
- በአጋጣሚ ለሕዝብ መጋለጥን ይከላከላል
- ወደ ዋናው ክፍል ከመድረሱ በፊት ደህንነታቸው ያልተጠበቁ ውህዶችን ያቆማል
የCI ስራ ቶከን ቢያትም፣ pipeline አልተሳካም ፡፡
ማውጫ የለም።
ምንም መጋለጥ የለም።
ምንም ክስተት የለም።
7.3 ጉግል ከማየቱ በፊት የ Shift-Get ጥበቃ
የጊዜ ጉዳይ።
ለሚከተለው ምላሽ ከመስጠት ይልቅ፦
Xygeni ችግሩን ያቆማል፡
- At commit ጊዜ
- ወቅት pull request ማረጋገጫ
- ወቅት pipeline ማስፈጸሚያ
- የቅርስ ህትመት ከመደረጉ በፊት
ምዝግብ ማስታወሻው ይፋዊ ካልሆነ፣ ጉግል በጭራሽ አያሳውቀውም።
የመጨረሻ ውሳኔ፡ ጉግል መረጃ ጠቋሚ ማድረግ ከቻለ አጥቂዎች አስቀድመው አድርገዋል
ሎጎች ምንም ጉዳት የላቸውም። እንደ እውነቱ ከሆነ፣ አልፎ አልፎ ጊዜያዊ አይደሉም። በነባሪነት፣ የግል አይደሉም። ስለዚህ፣ እያንዳንዱ የሎግ ፋይል እንደ ደህንነት ተዛማጅ ንብረት መታየት አለበት፣ የማረሚያ ውጤት ብቻ አይደለም።
ሚስጥራዊ መረጃ ከደረሰ .log ፋይል እና ለሕዝብ ተደራሽ ይሆናል፣ ወዲያውኑ ወደ ጥቃት ወለል ይለወጣል። ከዚህም በላይ፣ በፍለጋ ፕሮግራም አንዴ ከተጠቆመ፣ ተጋላጭነቱ ከእርስዎ ቁጥጥር በላይ ይሆናል።
መፍትሄው መዝገብ ማስቆም አይደለም። ይልቁንም በኃላፊነት መመዝገብ እና በማከማቸት እና በማከፋፈል ዙሪያ ጥብቅ ቁጥጥር ማድረግ ነው። በሌላ አነጋገር፣ ደህንነት ከመተግበሪያው እራሱ አልፎ ወደ ታዛቢነት ንብርብር መሸጋገር አለበት።
በምትኩ
- የመዝገብ ምስጢሮችን አቁም
- የምዝግብ ማስታወሻ ማከማቻን ቆልፍ
- ተግባራዊ ማድረግ pipeline guardrails
- በራስ-ሰር ማወቂያ እና የፖሊሲ አፈፃፀም
በመጨረሻም, መከላከል በጊዜ ሂደት ላይ የተመሰረተ ነው። ምክንያቱም አንድ ጊዜ አሊንቴክስት፡login የፋይል አይነት:ሎግ ጎራዎን ይመልሳል፣ ክስተቱ አስቀድሞ ተጀምሯል።
