ዘመናዊ የመተግበሪያ ደህንነት ከአሁን በኋላ ስለተገለሉ መሳሪያዎች አይደለም። ዛሬ፣ ቡድኖች የተበታተኑ ምልክቶችን፣ ማለቂያ የሌላቸውን ማንቂያዎች እና በአካባቢያቸው ውስጥ በትክክል ስለሚሰራው ነገር የተወሰነ ግልጽነት ያስተናግዳሉ። ይህ ፈተና ብዙ ድርጅቶች እንዴት እንደሚሰሩ እንደገና እንዲያስቡ አድርጓቸዋል። የመተግበሪያ መቆጣጠሪያ ሞተርአንድ የመተግበሪያ ደንበኛ መያዣ, እና Application Security Posture Management (ASPM) እውነተኛ የአፈፃፀም ቁጥጥርን ለማቅረብ አንድ ላይ ይጣጣማሉ።
ASPM በኮዱ ውስጥ ያለውን አደጋ ለመረዳት የተዋሃደ መንገድ ይሰጣል፣ pipelines፣ እና የሩጫ ጊዜ። ሆኖም፣ አኳኋን ብቻውን በቂ አይደለም። በዚያ አኳኋን ላይ እርምጃ ለመውሰድ፣ ቡድኖች እውነተኛ የአፈጻጸም ቁጥጥር ያስፈልጋቸዋል። የመተግበሪያ መቆጣጠሪያ ሞተር ወሳኝ የሚሆነው እዚህ ላይ ነው፣ እና እንደ የመተግበሪያ ደንበኛ መያዣ ያሉ ባህላዊ ሞዴሎች ገደባቸውን ማሳየት የሚጀምሩት።
እንዴት ASPM የመተግበሪያ ቁጥጥር መነሻ ነጥብ ነው
ASPM ለሚለው መሠረታዊ ጥያቄ መልስ ይሰጣል፡- በሁሉም መተግበሪያዎች ላይ ያለኝ እውነተኛ የደህንነት አቋም ምንድን ነው?.
ይህንን የሚያደርገው ከምንጭ ኮድ፣ ጥገኝነቶች፣ CI/CD pipelineዎች፣ መሠረተ ልማት እና የአፈጻጸም ባህሪ። በዚህም ምክንያት ቡድኖች ምን እንዳለ፣ አካላት እንዴት እንደሚገናኙ እና አደጋ የት እንደሚያተኩር ታይነትን ያገኛሉ።
ሆኖም ግን፣ ያለ እርምጃ ታይነት በፍጥነት ግጭት ይፈጥራል። ስለዚህ ASPM አቋምን ከአፈጻጸም ጋር ማገናኘት አለበት። በሌላ አነጋገር፣ አደጋው አንዴ ከተረዳ በኋላ፣ መድረኩ ምን መፈፀም እንዳለበት እና ምን መፈፀም እንደሌለበት ለመወሰን መርዳት አለበት።
የመተግበሪያ መቆጣጠሪያው በትክክል የሚገጥመው እዚህ ነው ASPM.
ምንድን ASPM የደህንነት መሳሪያዎች የማይችሏቸውን ነጥቦች ይፈታል
አብዛኛዎቹ የደህንነት መሳሪያዎች ጠባብ ጥያቄዎችን ለመመለስ የተገነቡ ናቸው። የማይንቀሳቀሱ ስካነሮች ኮድን ይመለከታሉ። የጥገኝነት መሳሪያዎች ቤተ-መጻሕፍትን ይተነትናሉ። የአሂድ ጊዜ መፍትሄዎች የአፈጻጸም ክስተቶችን ይመለከታሉ። እያንዳንዱ በተናጥል ይሰራል።
እንደተገለጸው በ የNIST ስጋት አስተዳደር ማዕቀፍ, ውጤታማ የደህንነት ደcisአዮኖች የማያቋርጥ አውድ ያስፈልጋቸዋል፣ የተናጠል መቆጣጠሪያዎችን አይፈልጉም። ይህ ገደብ የነጥብ መሳሪያዎች እውነተኛ የመተግበሪያ ስጋትን ለመግለጽ ለምን እንደሚቸገሩ ያብራራል።
ሆኖም ግን፣ ዘመናዊ የአጠቃቀም አደጋ በተናጠል የለም። በምትኩ፣ በኮድ ለውጦች፣ ጥገኝነቶች፣ pipelines፣ እና የሩጫ ጊዜ ባህሪ። በዚህም ምክንያት፣ የነጥብ መሳሪያዎች ብዙውን ጊዜ እውነተኛ ተጋላጭነትን ሳያብራሩ ማንቂያዎችን ያመነጫሉ።
እዚህ ነው ASPM ሞዴሉን ይለውጣል.
ASPM በመላው የመተግበሪያ የህይወት ዑደት ውስጥ ምልክቶችን ያዛምዳል። አንድ ቅኝት ወይም ክስተት ከመገምገም ይልቅ፣ ምን እንዳለ፣ ክፍሎች እንዴት እንደሚዛመዱ እና አደጋ በጊዜ ሂደት እንዴት እንደሚለዋወጥ ቀጣይነት ያለው እይታ ይገነባል። በዚህም ምክንያት፣ ቡድኖች ምን እንደተከሰተ ብቻ ሳይሆን ለምን እንደተከሰተ እና በእርግጥ አስፈላጊ መሆኑን መረዳት ይችላሉ።
ያለ ASPMየቁጥጥር ዘዴዎች ያለ አውድ ይሰራሉ። ለውጥ ሙሉ በሙሉ የሚጠበቅ ቢሆንም ለብቻው አደገኛ ሊመስል ይችላል። በተመሳሳይ ጊዜ፣ አነስተኛ ማሻሻያ የተቋቋሙ ቅጦችን የሚጥስ ከሆነ እውነተኛ አደጋን ሊያስከትል ይችላል። ስለዚህ፣ አኳኋን ትርጉም ያለው ቁጥጥር መሠረት ይሆናል።
በአጭሩ, ASPM የተበታተነ የደህንነት መረጃን ወደ የተዋቀረ ግንዛቤ ይቀይረዋል። የተበታተኑ ማንቂያዎችን የቁጥጥር ዘዴዎች ሊተገበሩባቸው በሚችሉት የመተግበሪያ ስጋት ግንዛቤ ይተካል።
የመተግበሪያ መቆጣጠሪያ ሞተር ምንድን ነው?
An የመተግበሪያ መቆጣጠሪያ ሞተር የትኞቹ አፕሊኬሽኖች፣ ሂደቶች ወይም ክፍሎች በአካባቢ ውስጥ እንዲተገበሩ እንደሚፈቀድ የሚወስን ዘዴ ነው። ከተፈፀመ በኋላ ምላሽ ከመስጠት ይልቅ፣ ከመጀመሪያው ጀምሮ ያልተፈለገ አፈፃፀምን በመከላከል ላይ ያተኩራል፣ ይህም የአፕሊኬሽን መቆጣጠሪያ ሞተሩን የፕሮጀክት ደህንነት ቁልፍ አካል ያደርገዋል።
በባህላዊ መልኩ፣ የመተግበሪያ መቆጣጠሪያ ሞተሮች በቋሚ የተፈቀዱ ዝርዝሮች ላይ ይተማመኑ ነበር። ሁለትዮሽ ወይም ሂደት በግልጽ ካልፀደቀ፣ አፈፃፀሙ ታግዷል። መጀመሪያ ላይ ይህ አካሄድ በተረጋጉ እና ሊገመቱ በሚችሉ ስርዓቶች ላይ ያለውን አደጋ ቀንሷል።
ሆኖም ግን፣ ዘመናዊ የሶፍትዌር አካባቢዎች ያለማቋረጥ ይለዋወጣሉ። ጥገኛነቶች በራስ-ሰር ይዘምናሉ፣ ግንባታዎች ተደጋጋሚ ናቸው፣ እና የስራ ጫናዎች ለአጭር ጊዜ ይቆያሉ። በዚህም ምክንያት፣ የማይንቀሳቀሱ ደንቦች ጠቀሜታቸውን በፍጥነት ያጣሉ።
እንደ ጸረ-ቫይረስ መፍትሄዎች፣ ክላሲክ የEDR መሳሪያዎች ወይም በሚታወቁ ስጋቶች ወይም በአውታረ መረብ ትራፊክ ላይ የሚያተኩሩ ፋየርዎሎች ሳይሆን፣ የመተግበሪያ መቆጣጠሪያ ሞተር በተለየ ደረጃ ይሰራል። አፈፃፀሙ መከሰት አለበት ወይ የሚለውን ይወስናል። ስለዚህ፣ ከክስተቱ በኋላ ከመለየት ይልቅ በመከላከል ረገድ ሚና ይጫወታል።
የማመልከቻ ደንበኛ ኮንቴይነር ምንድን ነው?
An የመተግበሪያ ደንበኛ መያዣ ለደንበኛ መተግበሪያዎች የሚተዳደር የሩጫ ጊዜ አካባቢን ይሰጣል። እንደ የህይወት ዑደት አስተዳደር፣ ውቅር እና የደህንነት አውድ ያሉ ስጋቶችን ያስተናግዳል።
በቀላል አነጋገር፣ ኮንቴይነሩ አፕሊኬሽኑን ጠቅልሎ የጋራ አገልግሎቶችን ያቀርባል ስለዚህ ገንቢዎች በእጅ መገንባት አያስፈልጋቸውም። ይህ ሞዴል በ... ተወዳጅነትን አትርፏል። enterprise ወጥነት እና ወጥነት ባለባቸው አካባቢዎች standardማደራጀት አስፈላጊ ነበር።
ዛሬ፣ የመተግበሪያ ደንበኛ ኮንቴይነሮች አሁንም በተወሰኑ ጉዳዮች ላይ ጠቃሚ ናቸው enterprise እና የቆዩ ሁኔታዎች። ሆኖም ግን፣ አንድ መተግበሪያ እንዴት እንደሚሄድ ላይ ያተኩራሉ፣ ማስኬድ እንዳለበት ወይም እንደሌለበት ላይ ያተኩራሉ። አፕሊኬሽኑ እና ክፍሎቹ ቀድሞውኑ እምነት የሚጣልባቸው ናቸው ብለው ያስባሉ፣ እና የአቅርቦት ሰንሰለት አደጋ ወይም ያልተጠበቁ ለውጦች ታይነት የላቸውም።
የመተግበሪያ መቆጣጠሪያ ሞተር ከመተግበሪያ ደንበኛ ኮንቴይነር ጋር ሲነጻጸር
ስሞቹ ተመሳሳይ ቢመስሉም፣ እነዚህ አቀራረቦች በጣም የተለያዩ ዓላማዎችን ያገለግላሉ።
| ገጽታ | የመተግበሪያ መቆጣጠሪያ ሞተር | የመተግበሪያ ደንበኛ ኮንቴይነር |
|---|---|---|
| የመጀመሪያ ዓላማ | ምን ሊተገበር እንደሚችል ይወስኑ | የሚተዳደር የሩጫ ጊዜ ያቅርቡ |
| የቁጥጥር ቅጽበት | ከመተግበሩ በፊት እና በሚተገበርበት ጊዜ | በአፈፃፀም ወቅት |
| ለማየት መቻል | በአሮጌ ሞዴሎች የተገደበ | የማስኬጃ ጊዜ ብቻ |
| ማስፈጸም | በፖሊሲ ላይ የተመሰረተ የአፈጻጸም ቁጥጥር | የመድረክ ደረጃ አፈፃፀም |
| የአቅርቦት ሰንሰለት ግንዛቤ | ብዙ ጊዜ ይጎድላል | ለእሱ የተነደፈ አይደለም |
ባጭሩ፣ የመተግበሪያ ደንበኛ መያዣ አፈፃፀምን ያስተዳድራል ቡድኖች እምነት ከተቀበሉ በኋላ። የመተግበሪያ መቆጣጠሪያ ሞተር አፈፃፀሙ እምነት ሊጣልበት የሚገባ መሆኑን ይወስናልሆኖም ግን፣ ያለ አኳኋን አውድ፣ ብዙ ሞተሮች በጭፍን መስራት ና እውነተኛ አደጋን አምልጥ.
የቆየ የመተግበሪያ ቁጥጥር ያለመሳካቱ ለምን ይሳካል? ASPM
የቆዩ የትግበራ መቆጣጠሪያ ሞተሮች ዒላማ ተደርጓል ሶፍትዌር የሚገኝባቸው አካባቢዎች ቀስ በቀስ ተለወጠ. እነሱ ግምት ሊገመቱ የሚችሉ የአፈፃፀም መንገዶች እና ተይዟል ሙሉ በሙሉ እንደተረዱት አፕሊኬሽኖች።
ዛሬ ያ ሞዴል፣ መፈራረስ.
ጥገኝነቶች ግባ ፕሮጀክቶችን ከሕዝብ መዝገቦች በራስ-ሰር ያዘጋጃል።
ቡድኖች ግፊት ኮዱ በቀን ብዙ ጊዜ ይለወጣል።
መድረኮች ሩጫ ጊዜያዊ ኮንቴይነሮች ውስጥ አፕሊኬሽኖች።
አጥቂዎች ደብቅ የውስጥ ክፍሎች ቡድኖች ቀድሞውኑ እምነት ይጥላሉ።
አጭጮርዲንግ ቶ OWASP, ዘመናዊ የአቅርቦት ሰንሰለት ጥቃቶች ብዙውን ጊዜ የታመኑ ክፍሎችን አላግባብ ይጠቀማሉ፣ ይህም የማይንቀሳቀስ የአፈፃፀም ቁጥጥር በራሱ በቂ አይደለም። በዚህ አውድ፣ የተፈቀዱ ዝርዝሮች እና ቋሚ ደንቦች አደጋ በትክክል እንዴት ወደ አፕሊኬሽኖች እንደሚገባ በትክክል አይገልጹም።
በዚህም ምክንያት፣ የማይንቀሳቀሱ የተፈቀዱ ዝርዝሮች ወዲያውኑ ማለት ይቻላል ጠቀሜታውን ያጣሉበተጨማሪም፣ የቆየ ቁጥጥር የአቀማመጥ ግንዛቤ የለውም. እሱ ማስረዳት አልቻለም ለውጥ ለምን ተከሰተ ወይም ያ ለውጥ ይሁን አይሁን እውነተኛ አደጋን ያመጣል.
ስለዚህ፣ የመተግበሪያ ቁጥጥር ያለ ASPM ከልክ በላይ ገዳቢ ወይም አደገኛ ፍቃደኛ ይሆናል.
ዘመናዊ የትግበራ መቆጣጠሪያ በውስጥ ASPM፦ ከአቋም እስከ ማስፈጸሚያ
ዘመናዊ የትግበራ ቁጥጥር በተሻለ ሁኔታ ይሰራል እንደ ASPMእንደ ገለልተኛ ዘዴ አይደለም።
ቡድኖች በቋሚ ደንቦች ላይ ብቻ ከመተማመን ይልቅ፣ የመሠረት መቆጣጠሪያ ደcisions እንደ የአቀማመጥ ምልክቶች ባሉበት ሁኔታ ላይ፦
- ቡድኖች መተግበሪያውን እንዴት እንደገነቡ
- የትኞቹ የጥገኝነት ቡድኖች አስተዋውቀዋል ወይም ተሻሽለዋል
- ባህሪ ይሁን አይሁን ያፈነገጠ ከቀደምት ስሪቶች
- የአፈጻጸም ቅጦች ይሁኑ ባልተጠበቀ ሁኔታ ቀይር
በዚህም ምክንያት የትግበራ ቁጥጥር ያለማቋረጥ ይሰራል"ይህ ይሂድ?" የሚለውን ብቻ ከመጠየቅ ይልቅ ስርዓቶች ይጠይቁ "ይህ አፈፃፀም ከታዋቂው አቀማመጥ እና ታሪክ ጋር ይጣጣማል?"
በዚህ ሞዴል፣ የመተግበሪያ መቆጣጠሪያ ሞተር እንደ የማስፈጸሚያ ንብርብር ሆኖ ያገለግላል የሚነዳው ASPM ማስተዋል.
የትግበራ ቁጥጥር እንዴት እንደሚደረግcisአዮኖች ከ ጋር ይቀያየራሉ ASPM የአውድ
የትግበራ ቁጥጥርcisions በከፍተኛ ሁኔታ ለውጥ ቡድኖች የአቀማመጥ ሁኔታን ሲተገብሩ።
ያለ ASPM, የትግበራ መቆጣጠሪያ ሞተሮች እምነት ይጣልበታል በስታቲስቲክስ ህጎች ላይ። ሁለትዮሽ ያልፋል ወይም ይወድቃልሂደት ከደንብ ጋር ይጣጣማል ወይም አይዛመድምበዚህም ምክንያት፣cisions ሁለትዮሽ ሆነው ይቆዩ እና ዓላማውን ችላ ይበሉ.
ጋር ASPM አውድ፣ ቁጥጥር ሁኔታዊ ይሆናል.
ለምሳሌ፣ ቡድኖች ፍቀድ ከቅርብ ጊዜ የልማት እንቅስቃሴ ጋር ሲጣጣም አዲስ ጥገኝነት። ሆኖም ግን፣ ቡድኖች አግድ በተረጋጋ አፕሊኬሽን ውስጥ ባልተጠበቀ ሁኔታ ሲታይ ተመሳሳይ ጥገኝነት። በዚህ መንገድ፣ ቁጥጥር ያድርጉ ከአውድ ጋር ይጣጣማል የተስተካከሉ ግምቶችን ከማስፈጸም ይልቅ።
በተመሳሳይ፣ የአፈጻጸም ባህሪው መደበኛ ይመስላል በአንድ መተግበሪያ ውስጥ የምልክት ስጋት በሌላ ውስጥ። ASPM ታሪካዊ እና ተዛማጅ ሁኔታዎችን ያቀርባል, ይህም የመቆጣጠሪያ ዘዴዎችን ለመለየት ይረዳል በሚጠበቀው የዝግመተ ለውጥ እና በአጠራጣሪ መዛባት መካከል።
"ይህ ከህግ ጋር ይጣጣማል?" ብሎ ከመጠየቅ ይልቅ የመተግበሪያ ቁጥጥር ጥያቄ "ይህ እኛ የምናውቀውን ከግምት ውስጥ በማስገባት ትርጉም ይሰጣልን?" በዚህም ምክንያት፣ የበለጠ ትክክለኛ እና ብዙም ረብሻ የማይፈጥር ይሆናል.
Xygeni እንዴት እንደሚገናኝ ASPM፣ የማመልከቻ ቁጥጥር እና ማስፈጸሚያ
የዚጄኒ አቀራረቦች የትግበራ ቁጥጥር እንደ ተፈጥሯዊ ማራዘሚያ ASPM.
በመጀመሪያ፣ Xygeni አፕሊኬሽኖችን፣ ጥገኞችን በማዛመድ አኳኋን ይገነባል፣ pipelines፣ እና የአፈጻጸም ምልክቶች። ይህ ምን እንዳለ እና አካላት እንዴት እንደሚገናኙ ግልጽ የሆነ እይታ ይፈጥራል።
ቀጥሎ፣ Xygeni ያንን አቀማመጥ በመጠቀም የመተግበሪያ ቁጥጥርን ይተገብራል። ከማይንቀሳቀሱ የተፈቀዱ ዝርዝሮች ይልቅ፣ decisአዮኖች የግንባታ አውድ፣ የጥገኝነት አመጣጥ እና የባህሪ ታሪክን ግምት ውስጥ ያስገባሉ።
አስፈላጊው ነገር፣ ይህ አካሄድ ከባድ የሩጫ ጊዜ ወኪሎችን አይመርጥም። የመተግበሪያ ቁጥጥር አመክንዮ በቀጥታ ከሚከተሉት ጋር የተዋሃደ ነው። CI/CD pipelineኤስ እና የደህንነት የስራ ፍሰቶችበዚህም ምክንያት፣ ተፈጻሚነት ቀደም ብሎ፣ በተከታታይ እና ያለአፈጻጸም ተጽዕኖ ይከሰታል።
በመጨረሻም፣ አቀማመጥ፣ ቁጥጥር እና ማስፈጸሚያ የተዘጋ ዑደት ይፈጥራሉ፡
- ASPM እውነተኛ አደጋን ይለያል
- የትግበራ ቁጥጥር ምን መከናወን እንዳለበት ይወስናል
- ማስፈጸሚያ ተፈጻሚ የሚሆነው እ.ኤ.አ.cisአዮኖች በራስ-ሰር
በሌላ አነጋገር፣ ዢጌኒ በጭፍን አይከለክልም። አደጋውን ስለሚረዳ ተግባራዊ ያደርጋል።
ለምሳሌ፣ በንቃት ልማት ወቅት የተጀመረ አዲስ ጥገኝነት ከቅርብ ጊዜ የግንባታ እንቅስቃሴ እና ከታሪካዊ ቅጦች ጋር የሚጣጣም ከሆነ ሊፈቀድ ይችላል። ሆኖም፣ በተረጋጋ አገልግሎት ውስጥ በድንገት የሚታየው ተመሳሳይ ጥገኝነት በራስ-ሰር ሊታገድ ይችላል። በዚህ መንገድ፣ የመተግበሪያ ቁጥጥር ዴcisአዮኖች የሚነዱት በተቀመጡ ግምቶች ሳይሆን በአቀማመጥ አውድ ነው።
ስለ አፕሊኬሽን መቆጣጠሪያ ሞተሮች የተለመዱ የተሳሳቱ አመለካከቶች
ብዙ ቡድኖች አሁንም የመተግበሪያ ቁጥጥር ሁለትዮሽ (binaries) ማገድ ብቻ እንደሆነ ያስባሉ። ሆኖም ግን፣ ዘመናዊ የመተግበሪያ ቁጥጥር ሰፊ ነው።
የተለመዱ የተሳሳቱ አመለካከቶች የሚከተሉትን ያካትታሉ:
- የመተግበሪያ ቁጥጥር የተጋላጭነት ቅኝትን ይተካል
- የማይንቀሳቀሱ የተፈቀዱ ዝርዝሮች በቂ ናቸው
- ቁጥጥር የሚለካው በስራ ሰዓት ብቻ ነው
እንደ እውነቱ ከሆነ፣ ውጤታማ የአጠቃቀም ቁጥጥር በጊዜ ሂደት በአቀማመጥ፣ በአውድ እና በባህሪ ላይ የተመሰረተ ነው። ASPM, ቁጥጥር ያልተሟላ ሆኖ ይቆያል።
የመጨረሻ ሐሳብ
የመተግበሪያ ደንበኛ ኮንቴይነሮች አፕሊኬሽኖች በተከታታይ እንዲሰሩ ያግዛሉ። የትግበራ መቆጣጠሪያ ሞተሮች አፈፃፀሙ ጨርሶ መከሰት እንዳለበት መወሰን። ሆኖም ግን፣ በዘመናዊ ሁኔታዎች ውስጥ፣ ሁለቱም በተናጥል ይሰራሉ።
ASPM አውዱን ያቀርባል። የመተግበሪያ ቁጥጥር የዴውን ያቀርባል።cision። ማስፈጸሚያ እርምጃውን ይሰጣል።
እንደ Xygeni ያሉ መድረኮች አቀማመጣቸውን፣ ቁጥጥርን እና አፈፃፀምን በማገናኘት ቡድኖች ምን እንደሚፈጽም፣ ለምን እንደሚፈጽም እና ጨርሶ መፈጸም እንዳለበት እንዲቆጣጠሩ ያስችላቸዋል። በዘመናዊ አካባቢዎች፣ ቁጥጥር ከመፈጸሙ በፊት ምን ይከናወናል ከመቃኘት የበለጠ አስፈላጊ ነው ከተፈፀመ በኋላበተለይም ሶፍትዌሩ ያለማቋረጥ ሲለዋወጥ።
ስለደራሲው
ተፃፈ በ ፋጢማ Saidየይዘት ማርኬቲንግ አስተዳዳሪ በመተግበሪያ ደህንነት ላይ የተካነ የኤክሲጂኒ ሴኩሪቲ.
ፋቲማ በAppSec ላይ ለገንቢዎች ተስማሚ የሆነ፣ ለምርምር የተመሰረተ ይዘት ይፈጥራል፣ ASPMእና DevSecOps። ውስብስብ ቴክኒካዊ ፅንሰ ሀሳቦችን ወደ ግልጽ እና ተግባራዊ ግንዛቤዎች ትተረጉማለች፣ ይህም የሳይበር ደህንነት ፈጠራን ከንግድ ተጽዕኖ ጋር ያገናኛል።
