በAppSec ውስጥ ራስ-ሰር ማስተካከያ ማለት በእጅ ጣልቃ ገብነት ሳይኖር በልማት የስራ ፍሰት ውስጥ ያሉ ተጋላጭነቶችን በቀጥታ የመለየት እና የማረም ሂደት ነው። ለዘመናዊ የሶፍትዌር ቡድኖች፣ ይህ ቀጣዩ እርምጃ ግልጽ ይመስላል። የኋላ መዝገቦች ማደግ ቀጥለዋል፣ የመልቀቂያ ዑደቶች እየቀነሱ ይሄዳሉ፣ እና ጥቂት ድርጅቶች እያንዳንዱን ለማሰራጨት አቅም የላቸውም SAST የማግኘት፣ የጥገኝነት ችግር፣ ሚስጥራዊ መፍሰስ፣ ወይም IaC የተሳሳተ ውቅር ወደ ሙሉ በሙሉ በእጅ ማስተካከያ ወረፋ።
ሆኖም ግን፣ አንድ ነገር አለ። ቡድኖች ይህን ማድረግ ይፈልጋሉ ተጋላጭነቶችን ማስተካከል በፍጥነት፣ ነገር ግን በጸጥታ ወደ ኋላ የሚመለስ፣ ጥገኝነትን የሚሰብር ወይም አለመረጋጋትን የሚፈጥር አውቶሜሽን አይፈልጉም። CI/CDያ ውጥረት አሁን በመተግበሪያ ደህንነት ውስጥ ካሉት ማዕከላዊ ችግሮች አንዱ ነው። OWASP በግልጽ ያስተናግዳል CI/CD የራሱ ዋና ዋና የአደጋ ምድቦች ያሉት የደህንነት ጎራ ሆኖ፣ የNIST ደህንነቱ የተጠበቀ የሶፍትዌር ልማት ማዕቀፍ ደህንነቱ የተጠበቀ የልማት ልምዶች ከሚከተሉት ጋር መዋሃድ እንዳለባቸው ግልፅ ያደርጋል SDLC በመጨረሻው ላይ ከመተኮስ ይልቅ።
ለዛ ነው ራስ-ማስተካከል የምርት ባህሪ ብቻ አይደለም። የአሠራር ሞዴል ነው። በጥሩ ሁኔታ ከተሰራ፣ ጫጫታ፣ አደጋ እና የተሰበሩ ግንባታዎችን ይፈጥራል። በጥሩ ሁኔታ ከተሰራ፣ በመለየት እና በማስተካከል መካከል ያለውን ክፍተት ይዘጋዋል፣ ለመጠገን የሚፈጀውን ጊዜ ይቀንሳል፣ እና ደህንነት የDevOpsን ፍጥነት እንዲመጣጠን ይረዳል። በዚህ መመሪያ ውስጥ፣ ራስ-ሰር ጥገና ምን ማለት እንደሆነ እንመለከታለን። አፕሴክ፣ በሚከሽፍበት ቦታ፣ ደህንነቱ የተጠበቀ አውቶማቲክ ማስተካከያ ምን መምሰል እንዳለበት እና ገንቢዎች በእውነቱ በሚያምኑበት መንገድ እንዴት ተግባራዊ ማድረግ እንደሚቻል።
በAppSec ውስጥ ራስ-ሰር ማስተካከያ ምንድን ነው?
በመሠረታዊ ደረጃ ፣ ራስ-ማስተካከል ሶፍትዌሩ የደህንነት ችግርን ከመለየት ያለፈ ነገር ያደርጋል ማለት ነው። ማስተካከያ ሀሳብ ያቀርባል፣ ይፈጥራል ወይም ይተገብራል። በሌላ አነጋገር፣ መሳሪያው ከ"ችግሩ ይሄ ነው" ወደ "መፍትሄው ይሄ ነው" ይሸጋገራል።
ይህ ቀላል ይመስላል፣ ግን በተግባር ግን በርካታ በጣም የተለያዩ የስራ ፍሰቶችን ይሸፍናል።
In SAST, ራስ-ሰር ማስተካከያ በተለምዶ ማለት እንደ SQL ኢንጀክሽን፣ የጣቢያ አቋራጭ ስክሪፕት፣ ደህንነቱ ያልተጠበቀ የሴሪያላይዜሽን ቅጦች፣ ደካማ የግቤት ማረጋገጫ ወይም ደህንነቱ ያልተጠበቀ የማረጋገጫ አመክንዮ ላሉ ተጋላጭነቶች የኮድ-ደረጃ ለውጦችን ማመንጨት ማለት ነው። SCA፣ ብዙውን ጊዜ የጥገኝነት ማሻሻያዎችን መምከር ወይም መተግበር፣ ደህንነታቸው የተጠበቀ ስሪቶችን መሰካት ወይም መፍጠር ማለት ነው። pull requests ፓኬጆችን ወደ የተጣሩ ልቀቶች ያዛውራል። የሚስጥር ደህንነት, ራስ-ሰር ማስተካከያ ማለት የምስክር ወረቀቶችን መሰረዝ እና ማሽከርከር ማለት ነው፣ ምልክት ማድረግ ብቻ ሳይሆን። IaC, ይህ ማለት ደህንነታቸው ያልተጠበቁ የTerraform፣ Kubernetes ወይም የደመና ውቅር ቅጦችን ወደ ደህንነታቸው የተጠበቀ ነባሪዎች እንደገና መጻፍ ማለት ሊሆን ይችላል።
ዋናው ልዩነት ይህ ነው፡ ራስ-ሰር ማስተካከያ እንደ ፍንጭ አንድ አይነት ነገር አይደለም። ብዙ የደህንነት መሳሪያዎች አጠቃላይ ማስተካከያ ሊጠቁሙ ይችላሉ። ጥቂቶች ለገንቢ ዝግጁ የሆነ ለውጥ ሊያመጡ ይችላሉ። ጥቂቶች አሁንም ያንን ማስተካከያ በትክክለኛው የማድረሻ ሂደት ውስጥ ማስኬድ፣ ማረጋገጥ እና በምንጭ ቁጥጥር ላይ ሊገመገም የሚችል ለውጥ አድርገው ለገንቢው ማቅረብ ይችላሉ።
ያ ልዩነት አስፈላጊ ነው ምክንያቱም ዘመናዊ የምህንድስና ቡድኖች በፒዲኤፍ እና በቲኬቶች አይሰሩም። የሚሰሩት በ pull requests፣ ፖሊሲዎች፣ ቼኮች፣ እና pipelines.
ባህላዊ ሕክምና ለምን አይስፋፋም
የራስ-ሰር ጥገና ጉዳይ የሚጀምረው በሚያሳዝን እውነታ ነው፡ ባህላዊ የማስተካከያ ሂደቶች ወደ ዘመናዊ የሶፍትዌር አቅርቦት አይሸጋገሩም።
አብዛኛዎቹ ድርጅቶች ቀድሞውኑ በቂ ቅኝት አላቸው። በቂ ጥራት የላቸውም። የማይለዋወጥ ትንተና፣ የጥገኝነት ቅኝት፣ ሚስጥራዊ ማወቂያ እና የመሠረተ ልማት ፍተሻዎች ያለማቋረጥ ግኝቶችን ያመነጫሉ። ይህ በእንዲህ እንዳለ፣ የምህንድስና ቡድኖች ባህሪያትን ለመላክ፣ የሊድ ጊዜን ዝቅተኛ ለማድረግ እና ምርትን ከማወክ ለመቆጠብ ጫና ውስጥ ናቸው።
ውጤቱም በግኝት እና በተግባር መካከል ክፍተት ነው።
በመጀመሪያ፣ ቀላል የማንቂያ መጠን አለ። የAppSec ፕሮግራም በበሰለ ቁጥር የሚያመነጨው ግኝቶች ቁጥር ይጨምራል። ይህ ሁልጊዜ ደህንነትን አያሻሽልም። በብዙ አካባቢዎች፣ በቀላሉ የመጠባበቂያ ክምችት ይፈጥራል። የXygeni የምርት ቁሳቁሶች ይህንን እንደ ጫጫታ እና ቅድሚያ መስጠት ችግር አድርገው ይመለከቱታል፣ እና ያ ፍሬም ሰፋ ካለው የኢንዱስትሪ እውነታ ጋር የሚጣጣም ነው፡ ቅድሚያ መስጠት፣ መለየት ብቻ ሳይሆን፣ ብዙ ፕሮግራሞች የሚቸገሩበት ነው።
ሁለተኛ፣ በእጅ የሚደረግ ማስተካከያ በዲዛይን ቀርፋፋ ነው። አንድ ገንቢ ችግሩን ማንበብ፣ የስካነር ውጤቱን መተርጎም፣ አስፈላጊ ከሆነ ችግሩን እንደገና ማባዛት፣ ማስተካከያ መንደፍ፣ መተግበር፣ ሙከራዎችን ማስኬድ፣ pull requestእና ግምገማውን ይጠብቁ። ይህ ለአንድ ወሳኝ ጉዳይ ተቀባይነት ሊኖረው ይችላል። በመቶዎች ለሚቆጠሩ መካከለኛ-ከባድ ግኝቶች፣ ተደጋጋሚ የጥገኝነት ማሻሻያዎች ወይም በበርካታ ማከማቻዎች ላይ ለሚደረጉ ተደጋጋሚ ሚስጥራዊ ፍንጣቂዎች ተቀባይነት የለውም።
ሦስተኛ፣ ደህንነት እና ምህንድስና ብዙውን ጊዜ ለተለያዩ ውጤቶች እየተመቻቹ ነው። ደህንነት አደጋን ለመቀነስ ይፈልጋል። ኢንጂነሪንግ ለውጥ ደህንነቱ በተጠበቀ ሁኔታ እንዲመጣ ይፈልጋል። የግኝቶቹ ፍሰት አነስተኛ ሲሆን ያ ልዩነት ማስተዳደር የሚቻል ነው። ቡድኖች በችግሮች ሲጥለቀለቁ እና የተረጋገጡ ግኝቶችን ወደ ደህንነቱ የተጠበቀ፣ ዝቅተኛ ግጭት የሚቀይሩ መፍትሄዎችን ለመቀየር የሚያስችል ዘዴ ከሌለ ጎጂ ይሆናል።
አውቶሜሽን አስፈላጊ መስሎ መታየት የጀመረው እዚህ ጋር ነው። ሆኖም ግን፣ አስፈላጊነት ብቻውን አውቶሜሽን ደህንነቱ የተጠበቀ አያደርገውም።
በኔቭ አውቶፊክስ ላይ ያለው ችግር
ሁሉም ራስ-ሰር ማስተካከያ ጥሩ ራስ-ሰር ማስተካከያ አይደለም። እንደ እውነቱ ከሆነ፣ ገንቢዎች ለደህንነት አውቶሜሽን የሚኖራቸው ብዙዎቹ ተቃውሞዎች በራስ-ሰር ማስተካከያ ላይ የሚነሱ ተቃውሞዎች አይደሉም። ለመጥፎ አውቶሜሽን የሚነሱ ተቃውሞዎች ናቸው።
አንድ ተራ የራስ-ሰር ጥገና ሞተር በተለምዶ ከአራት ችግሮች ውስጥ አንዱን ይይዛል።
የመጀመሪያው እያንዳንዱን ችግር በእኩል ሊስተካከል የሚችል አድርጎ ማየቱ ነው። ስካነር ተጋላጭ የሆነ ጥገኝነት ያያል እና በቀላሉ የሚቀጥለውን የተስተካከለ ስሪት ያቀርባል። የኮድ ሞተር ደህንነቱ ያልተጠበቀ ንድፍ ያያል እና በታሸገ ምትክ ይለዋወጣል። ይህ ለአንዳንድ ቀላል ጉዳዮች ላይ ሊሠራ ይችላል። የኮድ ቤዝ፣ አርክቴክቸር፣ የሩጫ ጊዜ እና የጥገኝነት ግራፍ ሁሉም አስፈላጊ በሆኑባቸው በእውነተኛ ስርዓቶች ውስጥ በፍጥነት ይወድቃል።
ሁለተኛው የአፈጻጸም አውድን ችላ ማለት ነው። ለብቻው ትክክል የሚመስል ማስተካከያ ለእውነተኛ የኮድ ዱካዎች ሲተገበር ተዛማጅነት የሌለው፣ በቂ ያልሆነ ወይም አደገኛ ሊሆን ይችላል። ይህ የብዝበዛ ምልክቶች በጣም አስፈላጊ ከሆኑት ምክንያቶች አንዱ ነው። የFIRST EPSS አስቀድሞ አለcisምክንያቱም ከባድነት ብቻውን አንድ ተጋላጭነት በቅርብ ጊዜ ውስጥ ጥቅም ላይ ሊውል የሚችል መሆኑን ወይም አለመሆኑን የሚያሳይ አስተማማኝ አመላካች አይደለም። EPSS ለCVEዎች የብዝበዛ እንቅስቃሴ ዕለታዊ የዕድል ግምት ይሰጣል፣ ይህም ቡድኖች ሊጠቁ በሚችሉት ላይ የተወሰነ የማገገሚያ አቅም ላይ እንዲያተኩሩ ይረዳል።
ሦስተኛው ደግሞ ምንም የማያውቅ ራስ-ሰር ማስተካከያ የለውጥ አደጋን ችላ ማለት ነው። ይህ በተለይ አደገኛ ነው በ SCAየጥገኝነት ማሻሻያ CVEን ሊያስወግድ እና አሁንም የኤፒአይ ተኳሃኝ አለመሆንን፣ የተወገዱ ዘዴዎችን፣ የተሰየሙ ክፍሎችን፣ የተቀየሩ ውሎችን ወይም ስውር የአሂድ ጊዜ ባህሪ ለውጦችን ሊያመጣ ይችላል።
አራተኛው ከመጠን በላይ አውቶማቲክ ነው። አንድ መሳሪያ ሲከፍት ዝቅተኛ ዋጋ ያለው ጎርፍ ይከሰታል pull requestsብዙዎቹ ሙከራዎችን የማይወዱ ወይም የተዋሃዱ ግጭቶችን የሚፈጥሩ ሲሆኑ ገንቢዎች ችላ ማለትን ይማራሉ። ያ የማስተካከያ ማጣደፍ አይደለም። ያ የማስተካከያ አይፈለጌ መልእክት ነው።
እንግዲህ ትክክለኛው ጥያቄ ቡድኖች የማገገሚያ ሂደቱን በራስ-ሰር ማከናወን አለባቸው ወይ የሚለው አይደለም። ትክክለኛው ጥያቄ የቀዶ ጥገና ህመምን ሳይጨምር አደጋን የሚቀንሰው ምን አይነት አውቶሜሽን ነው።
ሰበር ለውጦች እውነተኛው የመተማመን ችግር ናቸው
ገንቢዎች በራስ-ሰር ጥገና እንደማያምኑ ሲናገሩ፣ ብዙውን ጊዜ አንድ በጣም የተለየ ነገር ማለታቸው ነው፡ የሆነ ነገር እንዳይሰበር አያምኑም።
ያ የመተማመን ችግር በጥገኝነት ማስተካከያ ውስጥ በጣም የሚታይ ነው።
ተጋላጭ የሆነ ፓኬጅ የተስተካከለ ስሪት ሊኖረው ይችላል፣ ነገር ግን ይህ ማለት ማሻሻያው ደህንነቱ የተጠበቀ ነው ማለት አይደለም። የተጠገነው ልቀት መተግበሪያዎ የሚጠቀምበትን ዘዴ ሊያስወግድ ይችላል። ኤፒአይን እንደገና ሊሰይም ይችላል። የአይነት ውልን ሊያጠናክር ይችላል። የዩኒት ፈተናዎችን በሚያልፍ መንገድ ባህሪን ሊለውጥ ይችላል ነገር ግን የምርት ሪግሬሽንን ያስከትላል። በብዙ ቡድኖች ውስጥ፣ የማስተካከያ ትክክለኛው ወጪ ፓቹን መተግበር አይደለም። የፍንዳታ ራዲየስን እየመረመረ ነው።
በጃቫ ውስጥ አንድ ቀላል ምሳሌ እንመልከት። የኮድቤዝ የሚወሰነው በስሪት 1.x ውስጥ የተለመደ ዘዴ ባለበት ቤተ-መጽሐፍት ላይ ነው ነገር ግን በስሪት 2.x ውስጥ ይወገዳል።
// Before upgrade
MyService service = new MyService();
service.foo();
ከማሻሻያው በኋላ፣ foo() ከእንግዲህ የለም። ተጋላጭነቱ ሊጠፋ ይችላል፣ ግን ግንባታው ተሰብሯል።
ለዚህም ነው “ወደ ቋሚው ስሪት ብቻ ማዘመን” የምህንድስና ስትራቴጂ ያልሆነው። ቁማር ነው።
የኦዋስፕ CI/CD መመሪያው እዚህ ጋር ጠቃሚ ነው ምክንያቱም ዘመናዊ አቅርቦት pipelineዎች የማፋጠን ዘዴዎች እና የጥቃት ገጽታዎች ናቸው። ያልተረጋጉ ለውጦችን የሚፈጥሩ ወይም ቁጥጥር የማይደረግባቸው የደህንነት ቁጥጥሮች pipeline ባህሪ አንድን ችግር ሌላ ችግር በመፍጠር መፍታት። CI/CD መከላከያዎች የፍሰት ቁጥጥር፣ ማረጋገጫ እና የፖሊሲ ማስፈጸሚያ ያስፈልጋቸዋል፣ ፈጣን የለውጥ መርፌ ብቻ አይደለም።
ደህንነቱ የተጠበቀ ራስ-ሰር ማስተካከያ ያንን እውነታ ማክበር አለበት። አንድ ተጋላጭነት ሊስተካከል የሚችል መሆኑን ብቻ ሳይሆን፣ ለመከላከል የታሰበውን የሶፍትዌር የህይወት ዑደት ሳያበላሽ ጥገናው ሊጀመር ይችል እንደሆነ መረዳት አለበት።
ደህንነቱ የተጠበቀ ራስ-ሰር ማስተካከያ ምን መምሰል አለበት
ደህንነቱ የተጠበቀ ራስ-ሰር ጥገና "ራስ-ሰር የለውጥ ማመንጨት" አይደለም። ደህንነቱ የተጠበቀ ራስ-ሰር ማስተካከያ ቁጥጥር የሚደረግበት አውቶማቲክ ማስተካከያ.
አምስት ነገሮችን ማለት ነው።
በመጀመሪያ፣ ጥገናዎች አውድ ማወቅ አለባቸው። በዙሪያው ያለውን ኮድ፣ የማዕቀፍ ስምምነቶችን፣ የውሂብ ፍሰትን ወይም የጥገኝነት ባህሪን ችላ የሚል ደህንነቱ የተጠበቀ ሀሳብ በቂ አይደለም። ጥገናው ከመተግበሪያው ጋር የሚስማማ መሆን አለበት፣ ከተጋላጭነት ክፍል ብቻ ሳይሆን።
ሁለተኛ፣ ጥገናዎች አደጋን የሚያውቁ መሆን አለባቸው። የማስተካከያ ስጋት ትንተና አስፈላጊ የሆነው እዚህ ላይ ነው። ጥሩ የራስ-ሰር ማስተካከያ ስርዓት ለውጥ ከማቅረቡ በፊት መሰረታዊ የምህንድስና ጥያቄን መመለስ መቻል አለበት፡ ይህ ማስተካከያ ምን አይነት እድል ሊያመጣ ይችላል? ሰበር ለውጦች?
ሶስተኛ፣ ጥገናዎች ቅድሚያ ሊሰጣቸው ይገባል። ምርጥ የራስ-ሰር ማስተካከያ ፕሮግራሞች ሁሉንም ነገር በአንድ ጊዜ ለማስተካከል አይሞክሩም። ማስተካከያውን ከብዝበዛ፣ ተደራሽነት እና ከአሠራር ተጽእኖ ጋር ያዛምዳሉ። ይህ የጎለመሱ የAppSec ፕሮግራሞች እንዴት በስፋት እየተሻሻሉ እንደሆነ ያዛምዳል። CISየA የታወቁ የተበዘበዙ ተጋላጭነቶች ካታሎግ አስቀድሞ አለcisድርጅቶች የብዝበዛ ማስረጃዎችን በማረም ሂደት ውስጥ እንዲያካትቱ ለመርዳትcisionዎችን፣ የክብደት መለኪያ ብቻ አይደለም።
አራተኛ፣ ራስ-ሰር ማስተካከያ በእውነተኛ የማድረሻ የስራ ፍሰቶች ውስጥ ማስኬድ አለበት። የማገገሚያ ሞተሩ መስራት ካልቻለ pull requestsቼኮች፣ ፖሊሲዎች እና ፈተናዎች፣ ዘመናዊ ቡድኖች ሶፍትዌርን እንዴት እንደሚያቀርቡ ጋር አይጣጣምም።
አምስተኛ፣ ገንቢዎች በቁጥጥር ስር መቆየት አለባቸው። በገንቢዎች የጸደቁ ለውጦች የራስ-ሰር ጥገና ድክመት አይደሉም። እነዚህ ዘዴዎች አውቶማቲክን በምርት ምህንድስና አካባቢዎች አስተማማኝ የሚያደርጉ ዘዴዎች ናቸው።
በተለየ መንገድ ሲቀመጥ፣ ደህንነቱ የተጠበቀ ማስተካከያ ቁጥጥርን ይጠይቃል፣ አውቶማቲክ ብቻ አይደለም።
ኔይቭ አውቶፊክስ ከደህንነቱ የተጠበቀ አውቶፊክስ ጋር ሲነጻጸር
ከዚህ በታች ሥራን የሚፈጥረው አውቶሜሽን እና የሚያስወግደው አውቶሜሽን መካከል ያለው ተግባራዊ ልዩነት ነው።
| ገጽታ | ኔይቭ ራስ-ሰር ማስተካከያ | ደህንነቱ የተጠበቀ ራስ-ሰር ማስተካከያ |
|---|---|---|
| የማስተካከያ ስትራቴጂ | ተጋላጭነት እንደተገኘ ወዲያውኑ አጠቃላይ ጥገናዎችን ወይም ማሻሻያዎችን ይተገብራል | በኮድ፣ በጥገኝነት ባህሪ እና የስራ ፍሰት ማረጋገጫ ላይ በመመስረት አውድ-ተኮር ጥገናዎችን ያመነጫል |
| የጥገኝነት ዝማኔዎች | የለውጥ ተጽዕኖ ትንተና ሳይኖር የሚቀጥለውን የተስተካከለ ስሪት ይመክራል | የማሻሻያ መንገዶችን ይገመግማል እና ማስተካከያ ከማድረጉ በፊት ለውጦችን ይፈትሻል |
| ቅድሚያ | በከባድነት ብቻ ነው የሚሰራው | ከባድነትን ከብዝበዛ፣ ተደራሽነት እና የአሠራር ተጽዕኖ ጋር ያጣምራል |
| Pipeline ደህንነት | ግንባታዎችን ወይም ሙከራዎችን የማያሳኩ የህዝብ ግንኙነት ግንኙነቶችን ሊከፍት ይችላል | ጥገናዎችን በ በኩል ያረጋግጣል CI/CD በሮች መፈተሽ እና መገምገም |
| የገንቢ ሚና | ገንቢዎች አውቶማቲክ ውድቀትን ያጸዳሉ | ገንቢዎች ደህንነታቸው የተጠበቀ እና ለመዋሃድ ዝግጁ የሆኑ የማስተካከያ ሀሳቦችን ይገመግማሉ |
| ውጤት | ተጨማሪ ጫጫታ፣ ተጨማሪ መመለሻዎች፣ ዝቅተኛ እምነት | ፈጣን ማስተካከያ፣ አነስተኛ ሪግሬሽን፣ ከፍተኛ ተቀባይነት |
ከዚህ ጠረጴዛ ላይ አንድ የምግብ አሰራር ከፈለጉ፣ የሚከተለው ነው፡ የራስ-ሰር ማስተካከያ ጥራት የሚወሰነው በአውዱ ጥራት እና በመቆጣጠሪያዎቹ ጥራት ነው።.
ራስ-ሰር ጥገና በዘመናዊ የገንቢዎች (DevSecOps) ውስጥ እንዴት እንደሚሰራ Pipeline
በአዋቂ አካባቢ፣ ራስ-ሰር ማስተካከያ አንድ እርምጃ ብቻ አይደለም። ከሚከተሉት ጋር የተዋሃደ የተዋቀረ የማስተካከያ የስራ ፍሰት ነው። CI/CD.
በእጅ ከመሥራት ይልቅ፣ የተቋረጡ ጥገናዎች፣ ዘመናዊ pipelineቀጣይነት ያለው ፍሰት ይከተላል፡
ራስ-ሰር ጥገና በዘመናዊ የገንቢዎች (DevSecOps) ውስጥ እንዴት እንደሚሰራ Pipeline
በአዋቂ አካባቢ፣ ራስ-ሰር ማስተካከያ አንድ እርምጃ ብቻ አይደለም። ከሚከተሉት ጋር የተዋሃደ የተዋቀረ የማስተካከያ የስራ ፍሰት ነው። CI/CD.
በእጅ ከመሥራት ይልቅ፣ የተቋረጡ ጥገናዎች፣ ዘመናዊ pipelineቀጣይነት ያለው ፍሰት ይከተላል፡
ደረጃ በደረጃ የራስ-ሰር ማስተካከያ የስራ ፍሰት
- ማግኘት
ማከማቻዎች፣ pull requests፣ ኮንቴይነሮች፣ ወይም IaC ቅርሶች የሚቃኙት በመጠቀም ነው SAST, SCA, ሚስጥሮች ወይም የመሠረተ ልማት ፍተሻዎች። - ቅድሚያ
ሁሉም ተጋላጭነቶች በእኩል አይታዩም። የራስ-ሰር ማስተካከያ ስርዓቶች የሚከተሉትን ቅድሚያ ይሰጣሉ፦- የተደራሽነት ትንተና
- እንደ EPSS ያሉ የብዝበዛ ምልክቶች
- የሚታወቁ የተበዘበዙ ተጋላጭነቶች (KEV)
- የማሰማራት አውድ
- የማሻሻያ ማመንጫ
ስርዓቱ በችግሩ አይነት ላይ በመመስረት የማስተካከያ እርምጃዎችን ያመነጫል፦- የኮድ ማስተካከያዎች ለ SAST ተጋላጭነት
- የጥገኝነት ማሻሻያዎች ለ SCA
- ሚስጥራዊ መሻር እና ማሽከርከር
- IaC የውቅር ማስተካከያዎች
- Pull Request ፍጥረት
ጥገናዎች በገንቢ-ተወላጅ የስራ ፍሰቶች ውስጥ የታሸጉ ናቸው፣ በተለምዶ እንደ pull requests ጋር:- የኮድ ልዩነቶች
- አውድ እና ምክንያት
- የተጠቆሙ ለውጦች
- ማረጋገጫ በ CI/CD
ከመዋሃድዎ በፊት፣ ጥገናዎች በራስ-ሰር በሚከተሉት መንገዶች ይረጋገጣሉ፦- የአሃድ እና የውህደት ሙከራዎች
- የግንባታ ቼኮች
- የደህንነት ፖሊሲዎች
- የገንቢ ማፅደቅ እና ማዋሃድ
ገንቢዎች ወደ ምርት ከመዋሃዳቸው በፊት ለውጦቹን ይገመግማሉ፣ ያጸድቃሉ ወይም ውድቅ ያደርጋሉ
በዚህም ምክንያት፣ ራስ-ሰር ማስተካከያ የእድገት የህይወት ዑደቱን አያልፍም። በውስጡ ይሰራል።
እንደ GitHub፣ GitLab እና Azure DevOps ካሉ መድረኮች ጋር ያለምንም እንከን ይዋሃዳል፣ ይህም ያንን ያረጋግጣል የተጋላጭነት ማስተካከያ የአቅርቦት ሂደት አካል ይሆናል፣ የተለየ ሂደት አይደለም።
ለተለያዩ የተጋላጭነት ክፍሎች ራስ-ሰር ጥገና
በራስ-ሰር ማስተካከያ ውይይት ውስጥ ከሚከሰቱት በጣም የተለመዱ ስህተቶች አንዱ ሁሉንም ጥገናዎች በተመሳሳይ መንገድ እንደሚያደርጉ አድርጎ ማየቱ ነው።
ለራስ-ሰር ማስተካከያ SAST
የኮድ-ደረጃ ራስ-ሰር ማስተካከያ ብዙ ሰዎች ጽንሰ-ሀሳቡን ለመጀመሪያ ጊዜ የሚያጋጥማቸው ቦታ ነው። ስካነር የSQL መርፌ፣ የተንጸባረቀ የXSS ማስመጫ ወይም ደህንነቱ ያልተጠበቀ የማረጋገጫ ንድፍ ያገኛል እና ደህንነቱ የተጠበቀ ምትክ ያቀርባል። ይህ ብዙውን ጊዜ በጣም ለመረዳት የሚቻል የራስ-ሰር ማስተካከያ አይነት ነው ምክንያቱም ጥገናው በምንጭ ኮድ ውስጥ ስለሚታይ እና እንደሌሎች ለውጦች ሊገመገም ይችላል።
የXygeni የምርት ቁሳቁሶች AI AutoFixን በዚህ ቦታ ላይ እንደ አውድ-ተኮር ማስተካከያ አድርጎ ያስቀምጣል ይህም ለገንቢዎች ዝግጁ የሆኑ ጥገናዎችን እና pull requests እንደ XSS እና SQL injection ላሉ ጉዳዮች። ከምርት ጥያቄው ባሻገር እንኳን መሰረታዊው መልእክት አስፈላጊ ነው፡ ጥሩ SAST ራስ-ሰር ማስተካከያ ኮድን የሚያውቅ መሆን አለበት፣ ደንብን የሚያውቅ ብቻ አይደለም።
ለራስ-ሰር ማስተካከያ SCA
የጥገኝነት ራስ-ሰር ጥገና በአሠራር ረገድ የበለጠ አስፈላጊ ነው ምክንያቱም ተጋላጭ ፓኬጆች ያለማቋረጥ ስለሚታዩ እና በእጅ የሚደረግ የጥገኝነት ጥገና ስለማይጨምር። ነገር ግን መተማመን ለማግኘት በጣም አስቸጋሪ የሆነው እዚህ ላይ ነው፣ ምክንያቱም የጥገኝነት ዝማኔዎች በትክክል የት ናቸው ሰበር ለውጦች በጣም የሚያሠቃይ ይሆናል።
የሚታመን SCA ስለዚህ የራስ-ሰር ማስተካከያ ችሎታ የተስተካከለ ስሪት ከማግኘት የበለጠ ነገር ማድረግ አለበት። የማሻሻያ ደህንነትን፣ የፍንዳታ ራዲየስን እና ተኳሃኝነትን መገምገም አለበት።
ለምስጢሮች ራስ-ሰር ማስተካከያ
የምስጢር ማስተካከያ የኮድ እንደገና መጻፍን በተመለከተ ብዙም አይጠቅምም፤ ይልቁንም ስለ መያዝ ነው። የቀጥታ ምስጢር ከተጋለጠ፣ ተስማሚው ምላሽ በሚቀጥለው ሳምንት አንድ ሰው እንዲያሽከረክረው የሚጠይቅ ትኬት አይደለም። ተስማሚው ምላሽ ወዲያውኑ መሻር፣ መተካት እና ግልጽ ክትትል ነው። ለዚህም ነው በምስጢር ደህንነት ውስጥ ራስ-ሰር ማስተካከያ ብዙውን ጊዜ ከኮድ ራስ-ሰር ማስተካከያ የተለየ የሚመስለው። ዋጋው ፍጥነት እና እርግጠኛነት ነው።
ለራስ-ሰር ማስተካከያ IaC
የመሠረተ ልማት የተሳሳቱ ውቅሮች ብዙውን ጊዜ በጣም ተደጋጋሚ ናቸው። ይህ ለአውቶሜሽን ጠንካራ እጩ ያደርጋቸዋል። ቡድኖች ማድረግ ከቻሉ standardለቴራፎርም፣ ለኩበርኔትስ፣ ለARM ወይም ለCloudFormation ደህንነታቸው የተጠበቀ ቅጦችን ይፍጠሩ፣ ከዚያ ራስ-ሰር ጥገና እነዚያን ቅጦች በጣም ቀደም ብሎ በ ውስጥ ተግባራዊ ማድረግ ይችላል። pipelineየNIST SSDF አፅንዖት ደህንነቱ የተጠበቀ ልምዶችን በእያንዳንዱ ውስጥ በማዋሃድ ላይ SDLC ትግበራው በቀጥታ እዚህ ጋር ይጣጣማል፡ ደህንነት በስራ ፍሰት ውስጥ ሲካተት የበለጠ ጠንካራ ነው፣ ወደ ኋላ ደረጃዎች አይዘገይም።
በራስ-ሰር ጥገና ግንባታዎችን እንዴት ማፍረስ እንደሚቻል
ይህ ከርዕሰ ጉዳዩ በስተጀርባ ያለው ዋና ተስፋ ነው፣ እና ቀጥተኛ ህክምና ይገባዋል።
በራስ-ሰር ጥገና ግንባታዎችን እንዳይሰበሩ፣ ቡድኖች ማረምን ልክ እንደሌላ የምርት-ተኮር ለውጥ እንደሚያረጋግጡ ማረጋገጥ አለባቸው። ይህ ማለት፡
- ለውጡን ከመተግበሩ በፊት ጥገኝነት እና የኮድ ተጽእኖን ይተንትኑ
- ማስተካከያውን በ ውስጥ ያረጋግጡ CI/CD ከፈተናዎች እና ፖሊሲዎች ጋር
- የፍንዳታ ራዲየስ ከፍተኛ በሆነበት አውቶማቲክ ወሰን ይገድቡ
- ለቁሳዊ ለውጦች የገንቢ ግምገማ ጠይቅ
- ለከፍተኛ ተጽዕኖ ማሳደጊያዎች ደረጃውን የጠበቀ መግቢያን ይጠቀሙ
ለዚህም ነው የማስተካከያ ስጋት ትንተና በጣም ጠቃሚ የሆነው። “ማስተካከያ አለ?” የሚለውን ጥያቄ ወደ “ይህ በጣም አስተማማኝ መፍትሄ ነው?” የሚለው ይለውጠዋል። ይህ በጣም የተሻለ የምህንድስና ጥያቄ ነው።
ብዙ የአውቶሜሽን ፕሮግራሞች የሚሳኩበት ቦታም ነው። ለትራንስፖርት አገልግሎት ያመቻቻሉ እና የለውጥ ደህንነትን ችላ ይላሉ። ገንቢዎች ይህንን ወዲያውኑ ያስተውላሉ።
በአንጻሩ፣ የታመነ የራስ-ሰር ማስተካከያ ስርዓት ጠንካራ የምህንድስና ቡድኖች አስቀድመው ለባህሪ ልማት የሚተገብሩበትን ተመሳሳይ የለውጥ-አስተዳደር ዲሲፕሊን ያከብራል፡- መገምገም፣ መፈተሽ፣ ማረጋገጥ፣ ማዋሃድ።
ራስ-ሰር ጥገናን ለመተግበር ምርጥ ልምዶች
የራስ-ሰር ማስተካከያ ፕሮግራም እየገነቡ ወይም እያሳደጉ ከሆነ፣ ግቡ አዲስ መሆን ሳይሆን ጉዲፈቻ መሆን አለበት። ቡድኖች የጽዳት ስራ ሳይፈጥሩ ጊዜን በተከታታይ ሲቆጥቡ ራስ-ሰር ማስተካከያ ይጠቀማሉ።
በፖሊሲ ይጀምሩ። በመጀመሪያ የትኞቹ የችግር ክፍሎች በራስ-ሰር ሊሠሩ እንደሚችሉ ይወስኑ። SAST በደንብ የተረዱ ዳግም መፃፍ ያላቸው ቅጦች፣ በተገለጹ የስሪት ክልሎች ውስጥ የጥገኝነት ዝማኔዎች ወይም ሚስጥራዊ የመሻር የስራ ፍሰቶች ብዙውን ጊዜ ጥሩ የመጀመሪያ እጩዎች ናቸው።
ከዚያም ወሰንን አጥብቡ። ሁሉንም ነገር በአንድ እትም በራስ-ሰር ለማድረግ አይሞክሩ። በመጀመሪያ በተለመዱት እና በከፍተኛ በራስ መተማመን ጉዳዮች ላይ ያተኩሩ። ይህ ብዙውን ጊዜ ሰፊ ግን ጫጫታ ያለው መፍትሄ ከመስጠት ይልቅ እምነትን የመገንባት ስትራቴጂ የተሻለ ነው።
ማስተካከያዎችን ከነባር የገንቢ የስራ ፍሰቶች ጋር ያዋህዱ። የምህንድስና ቡድኖችዎ የሚኖሩ ከሆነ pull requests እና የቅርንጫፍ ጥበቃዎች፣ ራስ-ሰር መጠገንም አለበት።
ውጤቶችን ይለኩ። ትክክለኛዎቹ መለኪያዎች “የተፈጠሩ የጥገናዎች ብዛት” ብቻ አይደሉም። እነሱም የውህደት መጠን፣ የሪግሬሽን መጠን፣ የተቆጠበ ጊዜ፣ የውሸት አዎንታዊ ቅነሳ እና ለማረም የሚፈጀው ጊዜ ናቸው።
በመጨረሻም፣ አስፈላጊ በሆነበት ቦታ የሰውን ተቀባይነት ንብርብር ያስቀምጡ። ደህንነቱ የተጠበቀ ራስ-ሰር ማስተካከያ የገንቢውን ፍርድ አያስወግድም። ተደጋጋሚ ስራዎችን በማስወገድ እና ትኩረትን በከፍተኛ ዋጋ ግምገማ ላይ በማተኮር ከፍ ያደርገዋል።
ከምርመራ እስከ ማስተካከያ፡ ዑደቱን መዝጋት
በአሮጌው የAppSec መሳሪያ መሳሪያዎች ውስጥ ካሉት ትላልቅ ድክመቶች አንዱ ሂደቱ በጣም ቀደም ብሎ ማብቃቱ ነው። አንድ ግኝት ይታያል። ቲኬት ይፈጠራል። ከዚያም ስርዓቱ ይጠብቃል።
ያ የተዘጋ ዑደት አይደለም። ያ እጅ መስጠት ነው።
ዘመናዊ የAppSec ፕሮግራም በተቻለ መጠን በእጅ በሚደረግ ዝግጅት ከማወቅ ወደ ቅድሚያ አሰጣጥ ወደ ማስተካከያ መሄድ መቻል አለበት። ይህ የራስ-ሰር ማስተካከያ እውነተኛ ተስፋ ነው። ማስተካከያውን ፈጣን ከማድረግ ባለፈ ማስተካከያው የት እንደሚካሄድ፣ እንዴት እንደሚጀመር እና ተደጋጋሚ ስራውን ማን ማድረግ እንዳለበት ይለውጣል።
ለዚህም ነው ርዕሰ ጉዳዩ ለንግድ አስፈላጊ የሆነው፣ በቴክኒካል ብቻ ሳይሆን። ገዢዎች ከአሁን በኋላ የመለየት ጥራትን ብቻ አይፈልጉም። ሊለካ የሚችል የተረፈ ገንዘብ መቀነስ እና ከችግር ግኝት እስከ የችግር መፍትሄ ፈጣን ሽግግር ይፈልጋሉ።
Xygeni ደህንነቱ የተጠበቀ ራስ-ሰር ጥገናን እንዴት እንደሚያነቃ
የXygeni ቁሳቁሶች የራስ-ሰር ጥገና አቅሙን በሦስት ገጽታዎች ዙሪያ ያስቀምጣሉ፡ አውድ፣ አውቶሜሽን እና የማድረስ ውህደት።
በኮዱ በኩል፣ Xygeni AI SAST AutoFix ለገንቢ ዝግጁ የሆኑ ጥገናዎችን ያመነጫል፣ አደገኛ ቅጦችን በአስተማማኝ አማራጮች ይተካዋል እና እነዚያን ጥገናዎች በሚከተለው መንገድ ያቀርባል pull requests ረቂቅ ምክሮችን ከመጠቀም ይልቅ። እንደ XSS ወይም SQL Injection ያሉ ተጋላጭነቶችን ወዲያውኑ ያስተካክላል እና በገንቢ የስራ ፍሰት ውስጥ በቀጥታ ደህንነቱ የተጠበቀ የኮድ ምርጥ ልምዶችን ይተገብራል።
ሆኖም ግን፣ በXygeni ውስጥ ራስ-ሰር ማስተካከያ ከዚ በላይ ይሄዳል SAST. እሱንም ያካትታል ሚስጥራዊ ራስ-ሰር ማስተካከያየተፈሱ ምስክርነቶችን የሚያውቅ እና አስቀድሞ የተገነባውን በመጠቀም በራስ-ሰር የሚሽራቸው playbooks እንደ AWS፣ GCP ወይም GitLab ባሉ መድረኮች ላይ። ይህ ወዲያውኑ ቁጥጥርን ያስችላል፣ በእጅ የሚደረጉ የምላሽ መዘግየቶችን ያስወግዳል እና የብቃት አላግባብ መጠቀምን አደጋ ይቀንሳል።
ከጥገኝነት ጎን፣ የዚጄኒ SCA በራስ-ሰር ያስተካክሉ ለተጋላጭ ጥገኞች ጥገናዎችን በመፍጠር እና በመጠን በመተግበር የጅምላ ራስ-ሰር ማስተካከያዎችን ያስችላል። ቡድኖች አውቶማቲክ ጥገናን ማስጀመር፣ መፍጠር ይችላሉ pull requests ከተሻሻሉ ስሪቶች ጋር፣ እና ማስተካከያዎችን በቀጥታ ወደ ውስጥ ያዋህዱ CI/CD pipelineአቅርቦትን ሳያስተጓጉል።
በተጨማሪም፣ እነዚህ ችሎታዎች ወደ መሠረተ ልማት እንደ ኮድ (IaC) ና pipeline የተሳሳቱ ውቅሮች እና አደገኛ የመሠረተ ልማት ቅጦች በተመሳሳይ አውቶማቲክ የስራ ፍሰት አካል እንዲስተካከሉ ማረጋገጥ።
ስትራቴጂካዊ ነጥቡ ይህ ነው። ደህንነቱ የተጠበቀ ራስ-ሰር ጥገና በተናጥል አይሰራም። ኮድ (SAST), ጥገኝነቶች (SCA)፣ ሚስጥሮች እና መሠረተ ልማት (IaC)በመላው የሶፍትዌር አቅርቦት ሰንሰለት ውስጥ ወጥ የሆነ ማስተካከያ መኖሩን ያረጋግጣል። ከዚህም በላይ፣ ከብዝበዛ-ተኮር ቅድሚያ አሰጣጥ፣ የጥገኝነት ግራፍ ትንተና እና CI/CD ማረጋገጫ፣ ስለዚህ ጥገናዎች በራስ-ሰር ብቻ ሳይሆን ደህንነታቸው የተጠበቀ፣ ተዛማጅነት ያላቸው እና ለምርት ዝግጁ የሆኑ ናቸው።
ፈጣን መልስ፡ በራስ-ሰር ጥገና አማካኝነት ተጋላጭነቶችን ደህንነቱ በተጠበቀ ሁኔታ እንዴት ማስተካከል ይችላሉ?
በራስ-ሰር ጥገና አማካኝነት ተጋላጭነቶችን ደህንነቱ በተጠበቀ ሁኔታ ለማስተካከል፣ ቡድኖች አውድ-ተኮር ጥገናዎች፣ በብዝበዛ ላይ የተመሠረተ ቅድሚያ መስጠት፣ የማስተካከያ ስጋት ትንተና፣ CI/CD ከመዋሃድ በፊት ማረጋገጫ እና የገንቢ ማጽደቅ።
ያ አጭር መልሱ ነው።
ከዚያ ያነሰ ማንኛውም ነገር አሁንም አውቶሜሽን ሊሆን ይችላል፣ ነገር ግን ይህ የአውቶሜሽን ገንቢዎች በምርት ላይ እምነት የሚጥሉበት አይነት አይደለም።
በየጥ
በAppSec ውስጥ ራስ-ሰር ማስተካከያ ምንድን ነው?
በAppSec ውስጥ ራስ-ሰር ማስተካከያ እንደ የኮድ ጉድለቶች፣ ተጋላጭ ጥገኝነቶች፣ የተጋለጡ ምስጢሮች ወይም የመሠረተ ልማት የተሳሳተ ውቅሮች ላሉ የደህንነት ጉዳዮች በራስ-ሰር የሚፈጠር እና የማስተካከያ ለውጦችን ማድረስ ነው።
የራስ-ሰር የብሬክ ግንባታዎችን ማስተካከል ይቻላል?
አዎ። የጥገኝነት ማሻሻያዎች ተኳሃኝ ያልሆኑ ለውጦችን ሲያመጡ፣ ጥገናዎች የመተግበሪያ አውድን ችላ ሲሉ ወይም ለውጦች ያለ ማረጋገጫ ሲተገበሩ ራስ-ሰር ጥገና ግንባታዎችን ሊሰብር ይችላል።
ሪግሬሽን ሳይፈጥሩ ተጋላጭነቶችን በራስ-ሰር እንዴት ማስተካከል ይቻላል?
በተቆጣጠረ የስራ ፍሰት ውስጥ ራስ-ሰር ጥገናን ይጠቀሙ፡- በብዝበዛ እና ተደራሽነት ቅድሚያ ይስጡ፣ የማስተካከያ አደጋን ይተንትኑ፣ በ ውስጥ ያሉትን ለውጦች ያረጋግጡ CI/CDእና የገንቢ ማጽደቂያ ደረጃን ይጠብቁ።
ደህንነቱ የተጠበቀ የራስ-ሰር ጥገናን ከቀላል ራስ-ሰር ጥገና የሚለየው ምንድን ነው?
ደህንነቱ የተጠበቀ ራስ-ሰር ማስተካከያ አውድ-ማወቅ፣ አደጋን ማወቅ እና pipeline-አውቆ። ኔቭ ራስ-ሰር ማስተካከያ ተኳሃኝነትን፣ የሩጫ ጊዜ ተጽእኖን ወይም የምህንድስና የስራ ፍሰትን ሳይረዳ ለውጦችን በቀላሉ ያቀርባል ወይም ይተገብራል።
የ AI ራስ-ሰር ጥገና አስተማማኝ ነው?
ሊሆን ይችላል፣ ነገር ግን አስተማማኝነት የሚወሰነው በማረጋገጫ እና በአስተዳደር ላይ ነው። ጋርትነር በ AI ላይ የተመሰረቱ ድርጅቶችን በግልጽ ይመክራል code security ረዳቶች ባህላዊውን AST እና የኮድ ግምገማ እንደ ሚዛን መቆጣጠሪያዎች መጠቀማቸውን ቀጥለዋል፣ ምክንያቱም የAI አመቻቾች ከአፈጻጸም፣ አስተማማኝነት እና የኮድ ጥራት ጋር የተያያዙ ጉዳዮችን ከመጠን በላይ ማስተካከል ወይም ሊያመልጡ ይችላሉ።
የመጨረሻ Takeaway
ራስ-ሰር ማስተካከያ በAppSec ውስጥ አዲስ ነገር አይደለም። የሰራተኞችን ቁጥር ሳያሳድግ ወይም አቅርቦትን ሳያዘገይ የተረፈውን ገንዘብ መቀነስ ለሚፈልጉ ቡድኖች ተግባራዊ መስፈርት እየሆነ መጥቷል።
ዋናው ፈተና ማስተካከያዎችን በራስ-ሰር ማድረግ አለመቻል አይደለም። አውቶሜሽን ሶፍትዌሩ በትክክል የሚገነባበትን እና የሚላክበትን መንገድ የሚያከብር መሆኑ ነው።
የራስ-ሰር ማስተካከያ ስትራቴጂዎ አውድ፣ ቅድሚያ መስጠትን እና ማረጋገጫን ችላ የሚል ከሆነ፣ ከዋጋው የበለጠ ግጭት ይፈጥራል። በገንቢ የስራ ፍሰቶች፣ የማስተካከያ አደጋ እና CI/CD የመቆጣጠሪያ ነጥቦችን በመጠቀም የደህንነት ውጤቶችን እና የምህንድስና ፍጥነትን በእጅጉ ሊያሻሽል ይችላል።
ያ ነው standard ሊታሰብበት የሚገባ።
ስለደራሲው
ተባባሪ መስራች እና CTO
ፋጢማ Said ለAppSec፣ DevSecOps እና ለገንቢ-መጀመሪያ ይዘት ላይ ልዩ ባለሙያ software supply chain securityውስብስብ የደህንነት ምልክቶችን ወደ ግልጽ፣ ተግባራዊ መመሪያ ትለውጣለች፣ ይህም ቡድኖች በፍጥነት ቅድሚያ እንዲሰጡ፣ ጫጫታ እንዲቀንሱ እና ደህንነቱ የተጠበቀ ኮድ እንዲያደርሱ ይረዳቸዋል።
