የሳይበር ስጋቶች ተብራርተዋል፡- የሂደት መመሪያ ዋና ዋና ዓይነቶች

አምስት የደህንነት መሐንዲሶችን “የሳይበር ስጋት” እንዲገልጹ ይጠይቁ እና አምስት የተለያዩ መልሶችን ያገኛሉ፣ እያንዳንዳቸው በሌሊት እንቅልፍ እንዲወስዱ ያደረጋቸውን የመጨረሻ ክስተት ይገልጻሉ። ችግሩ ይህ ነው። የስጋት ምድቦች ቀደም ሲል ቀላል ነበሩ፡- ማጭበርበሪያ፣ ማልዌር፣ የተሰረቀ የይለፍ ቃል። ዛሬ፣ የጥቃቱ ገጽ ገንቢዎችዎ የሚጽፉትን ኮድ፣ የሚያስመጡትን ክፍት ምንጭ ፓኬጆች፣ pipelineያንን ኮድ የሚገነቡ እና የሚልኩ፣ እና ከጊዜ ወደ ጊዜ በIDE ውስጥ የተቀመጡ የAI መሳሪያዎች።

ይህ ጽሑፍ በሶፍትዌር ልማት የሕይወት ዑደት ውስጥ ጥቃቶች እንዴት እንደሚከሰቱ ላይ በመመስረት ዘመናዊ የሶፍትዌር ድርጅቶች የሚያጋጥሟቸውን ዋና ዋና የሳይበር ስጋቶች ዓይነቶች ይገልፃል (SDLC) ከአስር አመት በፊት ከነበረ የቃላት መፍቻ በተገለበጠ አጠቃላይ ዝርዝር ውስጥ አይደለም።

የድሮ የሳይበር ስጋቶች የዛሬዎቹን አደጋዎች የማይሸፍኑት ለምንድን ነው?

አብዛኛዎቹ “የሳይበር ስጋቶች ዓይነቶች” ይዘቶች አሁንም ደህንነትን እንደ የፔሪሜትር ችግር ይቆጥራሉ፤ ፋየርዎሎች፣ የመጨረሻ ነጥቦች፣ የፊሺንግ ኢሜይሎች። ሶፍትዌሩ በአብዛኛው በቤት ውስጥ ተገንብቶ በዝግታ ሲላክ ይህ ፍሬም ትርጉም ያለው ነበር። በሚከተሉት ሁኔታዎች አይቆይም፦

አፕሊኬሽኖች ከመቶዎች ከሚቆጠሩ ክፍት ምንጭ ጥገኞች የተሰባሰቡ ናቸው፣ ከእነዚህም ውስጥ አንዳቸውም ሊጎዱ ይችላሉ።
ኮዱ በዚህ ውስጥ ያልፋል CI/CD pipelineሰፊ ፍቃዶችን እና አነስተኛ የሰው ቁጥጥር ያላቸውን የሚያካሂዱ።
የኮድ መጠን እየጨመረ የመጣ ሲሆን በAI የተፈጠረ ወይም በAI የታገዘ ሲሆን ይህም የሚላኩትን ጉድለቶች መጠን እና ባህሪ ይለውጣል.

የዛሬዎቹን ስጋቶች መረዳት ማለት እያንዳንዱ የሶፍትዌር አቅርቦት ሰንሰለት ከየት እንደሚመጣ መረዳት ማለት ነው፣ በመጨረሻ ምን ጉዳት እንደሚያደርስ ብቻ አይደለም።

ዛሬ የደህንነት ቡድኖች የሚያጋጥሟቸው ዋና ዋና የሳይበር ስጋቶች ዓይነቶች

የስጋት ዓይነት	ከየት እንደሚመነጭ	እንደሚታየው ይታያል
የአቅርቦት ሰንሰለት ማልዌር	የጥቅል መዝገቦች፣ CI/CD	የተጠለፈ ፓኬጅ፣ ተበላሽቷል `build artifact`
የሚስጥር መፍሰስ	የምንጭ ኮድ፣ CI/CD መዝገቦች	ሃርድ ኮድድ `API key` ወይም በ ውስጥ ቶከን commit
የጥገኝነት አደጋዎች	የጥቅል ጭነት፣ የAI ጥቆማዎች	ታይፖስኩዋት፣ የጥገኝነት ግራ መጋባት፣ ስቶፕስኩዋት
CI/CD እና ጥቃቶችን መገንባት	Pipeline ማስፈጸሚያ	ተጣለ `GitHub Action`, የቶከን ስርቆት
IaC የተሳሳቱ ውቅሮች	ቴራፎርም፣ ሄልም፣ K8s አብነቶች	ተንኮል አዘል ትዕዛዝ በመጠን ተባዝቷል
በAI የተፈጠረ የኮድ አደጋ	IDE፣ AI የኮድ ረዳቶች	የፈቃድ/አይኤኤም ጉድለቶች ከግምገማው በበለጠ ፍጥነት ተልከዋል
የAI ወኪል እና የኤምሲፒ ስጋቶች	የወኪል መሣሪያ ጥሪዎች፣ የኤምሲፒ አገልጋዮች	ፈጣን መርፌ፣ የመሳሪያ መመረዝ
የውስጥ ሰው/የአስተናጋጅ ስምምነት	የደንበኛ መለያዎች፣ አስተዋጽዖ አበርካቾች	ያልተገመገመ ለውጥ፣ የባለቤትነት ዝውውር

እያንዳንዱ የሳይበር ስጋት፣ ተብራርቷል

1. በሶፍትዌር አቅርቦት ሰንሰለት ውስጥ ያሉ ማልዌር

ተንኮል አዘል ኮድ ከእንግዲህ የሚመጣው በተበከለ የኢሜይል አባሪ በኩል ብቻ ነው። በክፍት ምንጭ ጥቅል፣ በተጎዳ የጂቲኤችቲ አክሽን ወይም በተበላሸ የግንባታ ቅርስ በኩል እየጨመረ ይሄዳል። አጥቂዎች ፓኬጆችን ያትማሉ ወይም ይሰርቃሉ፣ የኋላ በሮችን እና ትሮጃኖችን ወደ ጥገኞች ይወጋሉ፣ እና ገንቢዎች በተለመደው መንገድ እስኪጎትቷቸው ድረስ ይጠብቃሉ። install ትዕዛዞች.

ለዚህም ነው የሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶች በፍጥነት ከሚያድጉ የስጋት ምድቦች አንዱ የሆኑት፤ እምነትን ይጠቀማሉ። አንድ ገንቢ የጥቅል መዝገብን የሚተማመነው የራሳቸውን የኮድ አርታኢ በሚያምኑበት መንገድ ነው፣ እና አጥቂዎችም ያውቁታል።

2. የሚስጥር መፍሰስ

የይለፍ ቃላት፣ የኤፒአይ ቁልፎች እና ወደ ምንጭ ኮድ፣ የውቅር ፋይሎች ወይም ወደ ጠንካራ ኮድ የተቀየሩ ቶከኖች CI/CD ምዝግብ ማስታወሻዎች በጣም የተለመዱ እና ሊከላከሉ ከሚችሉ የጥሰቶች መንስኤዎች አንዱ ሆነው ይቀጥላሉ። አንድ ጊዜ ምስጢር ከሆነ commitወደ የግል ማከማቻ ቦታ ቢሄድም፣ ማንኛውም ሰው እዚያ እንዳለ ካስታወሰ ከረጅም ጊዜ በኋላ በስሪት ታሪክ ውስጥ ሊቆይ ይችላል፣ እና የተገለጡ ምስጢሮች ብዙውን ጊዜ ከተለቀቀ በኋላም ንቁ ሆነው ይገኛሉ።

3. የጥገኝነት እና የክፍት ምንጭ አደጋዎች

ከሚታወቁ CVEዎች በተጨማሪ፣ ይህ ምድብ ገንቢዎች (እና ከጊዜ ወደ ጊዜ የAI ኮድ አድራጊዎች) ፓኬጆችን እንዴት እንደሚመርጡ በተለይ የሚያነጣጥሩ የጥቃት ቅጦችን ያካትታል፡

የታይፖስኳቲንግ፦ ከታዋቂ ስም ጋር ተመሳሳይ ስም ያለው ተንኮል አዘል ፓኬጅ ማተም።
የጥገኝነት ግራ መጋባት፦ የግንባታ ስርዓትን በማታለል ከታሰበ ውስጣዊ ፓኬጅ ይልቅ የህዝብ ፓኬጅ እንዲጎትት ማድረግ።
ስሎፕስኩዊቲንግ፦ የ AI ኮድ ሰጪ የሚያስበውን እና የሚመክረውን የጥቅል ስም መመዝገብ፣ ስለዚህ “ጠቃሚ” ጥቆማው ከእውነተኛ ቤተ-መጽሐፍት ይልቅ ተንኮል አዘል ዌርን ይጭናል።

4. CI/CD እና መገንባት pipeline ጥቃቶች

Pipelineበማሽን ፍጥነት የሚሄዱት ከፍ ባሉ፣ ብዙውን ጊዜ ደካማ በሆነ መልኩ የተለጠፉ ፈቃዶች እና እንደ የተጠቃሚ መለያዎች እምብዛም የማይመረመሩ የሰው ያልሆኑ ማንነቶችን በመጠቀም ነው። ያ ጥምረት ውጤታማ ኢላማ ያደርጋቸዋል፡ ያልተፈቀደ የኮድ መርፌ፣ የጥገኝነት ሰንሰለት አላግባብ መጠቀምበቂ ያልሆነ የመዳረሻ መቆጣጠሪያዎች እና የተበላሹ የግንባታ ቅርሶች እንደ NIST SP 800-204D እና OWASP Top 10 ባሉ ማዕቀፎች ውስጥ በግልጽ የተገለጹ የአደጋ ምድቦች ናቸው። CI/CD የደህንነት አደጋዎች። አንድ የተጠለፈ የጂትሃብ እርምጃ በሺዎች የሚቆጠሩ ሊሠራ ይችላል pipelineማንም ሰው ከማስተዋል በፊት።

5. መሠረተ ልማት እንደ ኮድ (IaC) የተሳሳቱ ውቅሮች

የቴራፎርም፣ የደመና ቅርጸት፣ የኩበርኔት እና የሄልም አብነቶች መሠረተ ልማት እንዴት እንደሚቀርብ ይገልጻሉ፣ ይህም ማለት በ ውስጥ ተንኮል አዘል ወይም ግድየለሽነት ያለው ትዕዛዝ ማለት ነው። IaC ፋይሉ ስህተትን ብቻ የሚገልጽ አይደለም፤ አብነቱ በሄደ ቁጥር በመጠን ይደግመዋል።

6. በAI የተፈጠረ የኮድ አደጋ

የAI ኮድ አጋሮች የምርት ኮድን ቁጥር እየጨመረ የሚሄድ ሲሆን ያ ኮድ ያለ እገዛ ከተጻፈው ኮድ የበለጠ ሊለካ የሚችል ጉድለቶችን ይይዛል፣ ይህም የማረጋገጫ እና የማንነት እና የመዳረሻ አስተዳደር ችግሮችን ያካትታል። አደጋው የAI መሳሪያው ራሱ አይደለም፤ በAI የታገዘ ኮድ አብዛኛዎቹ የግምገማ ሂደቶች እንዲፈቱ ከተነደፉት በበለጠ ፍጥነት መላኩ ነው።

7. የAI ወኪል እና የMCP-layer ስጋቶች

AI ከራስ-አጠናቅቅ ወደ መሳሪያ መዳረሻ ያላቸው ራስ-ሰር ወኪሎች ሲሸጋገር፣ አዲስ የማስፈራሪያ ንብርብር ተከፍቷል፡ ፈጣን መርፌ፣ የመሳሪያ መመረዝ (አንድ ወኪል በተንኮል አዘል መሳሪያ መግለጫ ተታልሎ ያልታሰበ እርምጃ እንዲወስድ ሲደረግ) እና በ... ውስጥ ያሉ ተጋላጭነቶች የሞዴል አውድ ፕሮቶኮል (MCP) ወኪሎችን ከእውነተኛ ስርዓቶች ጋር የሚያገናኙ አገልጋዮች። ይህ ንብርብር ለአሮጌ AppSec እና ለመጨረሻ ነጥብ መሳሪያዎች የማይታይ ነው፣ ምክንያቱም በIDE እና በተወካዩ በራሱ ዴ ውስጥ ስለሚኖርcision-ሜካኒንግ፣ በተቃኘ ፋይል ውስጥ አይደለም።

8. የውስጥ ዛቻዎች እና የጥበቃ ስምምነት

ሁሉም ስጋት ውጫዊ አይደለም። የተበላሹ የባለቤትነት መለያዎች፣ ያልተፈቀደ መብት አጠቃቀም እና ከታመኑ አስተዋፅዖ አበርካቾች ያልተገመገሙ ለውጦች ትርጉም ያለው የጥሰቶች ድርሻ ናቸው፣ ለዚህም ነው የጥቅል ባለቤትነት ለውጦችን እና የባለቤትነት ዝናን መከታተል ልክ እንደ ቅኝት ኮድ አስፈላጊ የሆነው።

በእነዚህ የሳይበር ስጋቶች ላይ የተለመደው ክር

ከላይ ያለውን ዝርዝር ተመልከቱ፣ እና አንድ ንድፍ ብቅ ይላል። እነዚህ የሳይበር ዛቻዎች ስምንት ያልተያያዙ ችግሮች አይደሉም፤ ከአምስት የጥቃት ንብርብሮች የሚታዩ ተመሳሳይ የጥቃት ወለል ናቸው። SDLC፦ የኮድ ገንቢዎች የሚጽፉት፣ የሚያስመጡት ጥገኝነት፣ pipelineየሚገነቡትና የሚልኩት፣ አሁን በዚያ የስራ ፍሰት ውስጥ የተካተቱት የAI ሞዴሎችና ወኪሎች እና የገንቢው አካባቢ ራሱ። አንድ አጥቂ አምስቱንም መጣስ አያስፈልገውም። አንድ ደካማ ንብርብር ብዙውን ጊዜ በቂ ነው፣ ለዚህም ነው እነዚህን እንደ ተለዩ ምድቦች አድርጎ መቁጠር፣ በእያንዳንዱ ላይ የተለየ መሳሪያ መቀርቀሪያ በማድረግ፣ በመካከላቸው ክፍተቶችን የሚተው።

ከስምንት ማንቂያዎች እስከ አንድ ቅድሚያ የሚሰጠው እይታ

ዚጌኒ ለእያንዳንዱ የስጋት አይነት የነጥብ መሳሪያዎችን ከመስፋት ይልቅ አምስቱን ንብርብሮች ከአንድ መድረክ ይጠብቃል። የማልዌር መከላከያ ተንኮል አዘል ፓኬጆችን ያገኛል እና pipeline በእውነተኛ ጊዜ ውስጥ መበላሸት፣ እስካሁን ያልታወቀ ፊርማ የሌላቸውን የዜሮ ቀን ስጋቶችን ጨምሮ፣ አብዛኛዎቹ ስካነሮች ሊያቀርቡት የማይችሉት አቅም ነው ምክንያቱም ከነባር የፍተሻ ህጎች ጋር በማዛመድ ላይ ስለሚመሰረቱ። የሚስጥር ደህንነት ከ100 በላይ የሚመስሉ ምስጢሮችን ይቃኙ እና ከመዘጋታቸው በፊት ያግዳቸዋል commitቴድ። CI/CD ና Build Security ደረቅ pipelineያልተፈቀደ የኮድ መርፌን እና ደህንነቱ የተጠበቀ ያልሆነን በመቃወም s IaC ትዕዛዞች. ዴቭኤአይ የገንቢውን የስራ ፍሰት ሳያካትት ወይም ግጭት ሳያስከትሉ በቀጥታ በIDE ውስጥ የ AI ረዳቶች ኮድን እንደመጻፍ ያረጋግጣል። እና ምክንያቱም የXygeni ASPM አሻል ከሶስተኛ ወገን ስካነሮች የተገኙ ግኝቶችን ይቀበላል፣ ተመሳሳይ በAI-powered triage እና preritization አደጋ በXygeni ወይም አስቀድመው በሚያስኬዱት መሳሪያ ቢገኝም ይተገበራል፣ ስለዚህ ታይነትን ማጠናከር ማለት ምንም ነገር ማፍረስ ማለት አይደለም።

ውጤቱም በኮድ፣ ጥገኝነቶች፣ እና በኮድ ውስጥ በትክክል ጥቅም ላይ ሊውል የሚችል ነገር አንድ ቅድሚያ የሚሰጠው እይታ ነው። pipelines፣ AI መሳሪያዎች እና የገንቢ አካባቢ፣ ትኩረትን ለማግኘት ከሚታገሉ ስምንት የተቋረጡ ማንቂያዎች ይልቅ። ከእነዚህ የሳይበር ስጋቶች ጋር መጣጣም ለእያንዳንዱ አዲስ ምድብ ሌላ መሳሪያ ስለማከል አይደለም፤ አስቀድመው ባሉዎት መካከል ያለውን ክፍተት ስለማስቀመጥ ነው።

የሳይበር ስጋቶች ተብራርተዋል፡ የደህንነት ቡድኖች ማወቅ ያለባቸው ዋና ዋና ዓይነቶች

መነበብ ያለባቸው ልጥፎች