ዝርዝር ሁኔታ
ዜሮ ትረስት ያለፈውን የተደበቀ እምነት ጽንሰ-ሀሳብ የሚፈታተን አብዮታዊ አካሄድ ሲሆን ቀጣይነት ያለው ማረጋገጫ እና ማረጋገጫ ይጠይቃል። ዜሮ ትረስት በችግሩ ውስጥ እንደ የተስፋ ምልክት ሆኖ ብቅ ይላል። Software Supply Chain Security (SSCS)፣ እምነት ስስ ሸቀጥ የሆነበት። ጥንታዊ ግምቶችን በመተው፣ በእያንዳንዱ ተጠቃሚ፣ መሳሪያ እና አፕሊኬሽን ላይ አስተዋይ ዓይንን ይፈጥራል፣ በተለይም የሶፍትዌር ቅርሶችን እና ማከማቻዎቻቸውን ትክክለኛነት ለማረጋገጥ ወሳኝ ነው -ደህንነቱ የተጠበቀ ሶፍትዌር ግንባታ ብሎኮችወደ ዜሮ ትረስት ዓለም ስንገባ የማይናወጥ የደህንነት ጉዞ ላይ ይቀላቀሉን SSCSእምነት የሚመነጨው እንጂ የሚታሰብበት አይደለም።
ዜሮ እምነት በ SSCS፦ በማይለወጥ ታማኝነት ደህንነትን ከፍ ማድረግ
ዜሮ ትረስት በስፋት የሚታወቅ የደህንነት ማዕቀፍ ሆኗል። ብዙ ድርጅቶች ከጊዜ ወደ ጊዜ እርስ በርስ በተያያዘ እና ውስብስብ በሆነው ዲጂታል ዓለም ውስጥ የደህንነት አቋማቸውን ለማሻሻል መርሆዎቹን ተቀብለዋል። የአርሚስ የዳሰሳ ጥናት33% የሚሆኑ የአይቲ ባለሙያዎች ድርጅቶቻቸው በ2023 የዜሮ ትረስት ሞዴሎችን እንደሚቀበሉ ጠብቀው ነበር። ይህ አስተሳሰብ በተለይ በ2023 ዓ.ም. SSCSየሶፍትዌር ቅርሶች እና የማከማቻ ቦታዎቻቸው ትክክለኛነት ወሳኝ በሆነበት ቦታ።
ትኩረታችንን ወደ ግዛቱ ስንዞር Software Supply Chain Security (SSCS) ትኩረታችን የሶፍትዌር ቅርሶች ታማኝነት እና እነሱን የሚያስቀምጡ ማከማቻዎች ላይ ያጠነጥናል። በዚህ መስክ፣ መተማመን የተሰጠ ነገር አይደለም፤ የማይለወጥ ታማኝነት ቀጥተኛ ውጤት ነው። የሶፍትዌር ቅርሶች በተለያዩ ማከማቻዎች ውስጥ ሲዘዋወሩ፣ የማያቋርጥ ዝግመተ ለውጥ እና ውህደት ሲደረግላቸው፣ የመጨረሻውን ምርት በጋራ ይቀርጻሉ።
በዚህ ውስብስብ ሂደት ውስጥ፣ የእነዚህ ቅርሶች እና ማከማቻዎች ንፁህ ታማኝነት ማረጋገጥ እጅግ በጣም አስፈላጊ ነው፣ ምክንያቱም ይህ ታማኝነት እምነትን የሚያጎለብት ነው።
የዜሮ ትረስት ሞዴል በአንድ ድርጅት ኔትወርክ ውስጥም ሆነ ከውጪም ስጋት ሊኖር እንደሚችል ያስባል፣ እምነት በፍፁም ስውር መሆን እንደሌለበት አፅንዖት ይሰጣል።
በሶፍትዌር አቅርቦት ሰንሰለት አውድ ውስጥ የዜሮ ትረስት ፍልስፍና ዋና ዋና መርሆዎች የሚከተሉትን ያካትታሉ፡
- ሁሉንም ነገር አረጋግጥ፣ ምንም አትመን። ይህ መርህ የዜሮ ትረስት መሠረት ሲሆን ለሶፍትዌር አቅርቦት ሰንሰለትም ይሠራል። ከምንጭ ኮድ እስከ ተሰማራው ሁለትዮሽ ድረስ ያለው እያንዳንዱ የሶፍትዌር ቅርስ ጥቅም ላይ ከመዋሉ በፊት ለትክክለኛነቱ እና ለታማኝነቱ መረጋገጥ አለበት።
- ዝቅተኛው የመብት መዳረሻ። ተጠቃሚዎች እና ሲስተሞች ተግባራቸውን ለማከናወን የሚያስፈልጋቸውን መዳረሻ ብቻ ይስጧቸው። ይህም የጥቃት ገጹን ለመቀነስ እና ተንኮል አዘል ተዋናዮች ሚስጥራዊ ሀብቶችን እንዳያገኙ ለመከላከል ይረዳል።
ቀጣይነት ያለው ክትትል እና ትንተና። ዜሮ ትረስት ለደህንነት የተዘጋጀ እና የማይረሳ አቀራረብ አይደለም። ለስጋቶች ለመለየት እና ምላሽ ለመስጠት የሶፍትዌር አቅርቦት ሰንሰለት ቀጣይነት ያለው ክትትል እና ትንተና ይጠይቃል።
ዜሮ ትረስት በሶፍትዌር አቅርቦት ሰንሰለት ውስጥ እንዴት ተግባራዊ ሊሆን ይችላል?
የመከላከያ እርምጃ፡ የሶፍትዌር ምርት ሂደቱን ማጠናከር
በዜሮ ትረስት ውስጥ ውጤታማ በሆነ መንገድ ተግባራዊ ለማድረግ SSCSአጠቃላይ የመከላከያ እርምጃዎች ስብስብ አስፈላጊ ነው። የሶፍትዌር ምርት ሂደቱን ከተንኮል አዘል ጣልቃገብነት መጠበቅ እና ጎጂ የኮድ ዝመናዎችን ማስተዋወቅን መከላከል ቁልፍ የመከላከያ ስልቶችን ይፈልጋል፡
የመዳረሻ መቆጣጠሪያ
- በተጠቃሚ ሚናዎች እና ፈቃዶች ላይ በመመስረት የኮድ ማከማቻዎችን እና የግንባታ አካባቢዎችን መዳረሻ ለመገደብ በሚና ላይ የተመሠረተ የመዳረሻ መቆጣጠሪያ (RBAC) ተግባራዊ ያድርጉ።
- ማረጋገጫን ለማጠናከር እና አጥቂዎች ያልተፈቀደ መዳረሻ እንዳያገኙ ለማድረግ ባለ ሁለት ደረጃ ማረጋገጫ (2FA) ይጠቀሙ።
- ተጠቃሚዎች እና ስክሪፕቶች ወይም ውህደቶች ተግባራቸውን ለማከናወን የሚያስፈልጋቸውን ሀብቶች ብቻ እንዲያገኙ ዝቅተኛውን መብት ያለው መዳረሻ ይተግብሩ።
የቁሳቁሶች ፊርማ፡
- ወደ ምርት የሚተላለፉ ሁሉንም የሶፍትዌር ቅርሶች መፈረም ያስፈልጋል።
- የእያንዳንዱን የፊርማ አካል ትክክለኛነት ለማረጋገጥ የታመነ የፊርማ ባለስልጣን (CA) ይጠቀሙ።
- ሁሉም የሶፍትዌር ቅርሶች ከመሰማራታቸው በፊት መፈረም እንዳለባቸው ለማረጋገጥ አውቶማቲክ የፊርማ ማረጋገጫን ተግባራዊ ያድርጉ።
ድርጅቶች ፊርማውን በመተግበር ተንኮል አዘል ኮድ ወደ ሶፍትዌር አቅርቦት ሰንሰለት ውስጥ የመግባት አደጋን ሊቀንሱ ይችላሉ።
ተንኮል አዘል ኮድ ማወቂያ፦
- ተንኮል አዘል ኮድን ለመለየት የማይንቀሳቀስ ትንታኔን ይጠቀሙ pipelineዎች እና የሶፍትዌር ቅርሶች።
- የሶፍትዌር ቅርሶች ከመሰማራታቸው በፊት ለመለየት እና ለመተንተን ሳንድቦክሲንግ እና ሌሎች ቴክኒኮችን ተግባራዊ ያድርጉ።
የታማኝነት ማረጋገጫ፡ የሶፍትዌር ቅርሶችን ንፅህና መጠበቅ
ዜሮ እምነት በ SSCS ተንኮል አዘል ጥቃቶችን ከመከላከል ባለፈ በልማት ዑደት ውስጥ የሶፍትዌር ቅርሶች የማይናወጥ ታማኝነት ለማረጋገጥ ይዘልቃል፣ ይህም የሚከተሉትን ያካትታል፡
አመጣጥ እና የምስክርነት መከታተያ፡
- በልማት የሕይወት ዑደት ውስጥ የሁሉም የሶፍትዌር ቅርሶች አመጣጥ እና ማሻሻያዎችን ለመከታተል የሚያስችል ስርዓት ተግባራዊ ያድርጉ። ይህ እንደ blockchain ቴክኖሎጂ፣ ዲጂታል የውሃ ምልክት ማድረጊያ እና በሃሽ ላይ የተመሰረቱ ፊርማዎችን ያሉ የተለያዩ ዘዴዎችን በመጠቀም ሊከናወን ይችላል።
- በሶፍትዌር አቅርቦት ሰንሰለት ውስጥ አጠራጣሪ እንቅስቃሴን ለመለየት እና ለመመርመር የመነሻ ክትትልን ይጠቀሙ። ለምሳሌ፣ የሶፍትዌር ቅርስ ባልተፈቀደ መንገድ ከተሻሻለ የመነሻ ክትትል የማሻሻያውን ምንጭ ለመከታተል እና የማስተካከያ እርምጃ ለመውሰድ ሊያገለግል ይችላል።
የሶፍትዌር ቅርሶችን አመጣጥ እና ማሻሻያዎችን በመከታተል፣ ድርጅቶች አጥቂዎች ተንኮል አዘል እንቅስቃሴያቸውን ለመደበቅ የበለጠ ፈታኝ ሊያደርጉት ይችላሉ። ለምሳሌ፣ SolarWinds የመነሻ ክትትልን ተግባራዊ ቢያደርግ ኖሮ፣ ወደ ኦሪዮን ኤስዲኬ የተጨመረውን የተንኮል ኮድ ምንጭ መለየት ቀላል ይሆን ነበር።
ሊባዙ የሚችሉ ግንባታዎች፡
- ከተመሳሳይ ምንጭ ኮድ ተመሳሳይ የሶፍትዌር ቅርሶችን በተከታታይ የሚያመነጩ የሚባዙ የግንባታ አካባቢዎችን ተግባራዊ ያድርጉ። ይህ እንደ Docker እና Packer ያሉ መሳሪያዎችን በመጠቀም የማይለዋወጡ የግንባታ አካባቢዎችን መፍጠር ይቻላል።
- በእያንዳንዱ የእድገት ዑደት ደረጃ ላይ የሶፍትዌር ቅርሶችን ትክክለኛነት ለማረጋገጥ የሚደገሙ ግንባታዎችን ይጠቀሙ። ለምሳሌ፣ የሶፍትዌር ቅርሶች ከተገነቡበት ጊዜ ጀምሮ እንዳልተበላሹ ለማረጋገጥ ቼክሰም መጠቀም ይችላሉ።
ድርጅቶች በግንባታ ሂደቱ ወቅት ተንኮል አዘል ኮድ ወደ ሶፍትዌር አቅርቦት ሰንሰለት ውስጥ የመግባት አደጋን ሊቀንሱ ይችላሉ። ለምሳሌ፣ በ2020፣ የሶላርዊንድስ ኦሪዮን ሶፍትዌር በሩሲያ የሳይበር ሰላዮች ቡድን ተጎድቷል። አጥቂዎቹ በሶፍትዌሩ ላይ ተንኮል አዘል ኮድ ማስገባት ችለዋል፣ ከዚያም በዓለም ዙሪያ ላሉ የሶላርዊንድስ ደንበኞች ተሰራጭቷል። ይህ ጥቃት የተሳካው የሶላርዊንድስ የግንባታ አካባቢ እንደገና ሊባዛ ስላልቻለ ነው።
ሶላርዊንድስ ሊባዙ የሚችሉ ግንባታዎችን ተግባራዊ ቢያደርግ ኖሮ፣ አጥቂዎቹ ሳይታወቁ በሶፍትዌሩ ውስጥ ተንኮል አዘል ኮድ ማስገባት ባልቻሉ ነበር።
የቅርስ ትክክለኛነት ማረጋገጫ፡
በእያንዳንዱ የእድገት ዑደት ደረጃ የሶፍትዌር ቅርሶችን ትክክለኛነት ለማረጋገጥ ዲጂታል ፊርማዎችን እና ክሪፕቶግራፊክ ሃሾችን ይጠቀሙ። ይህ እንደ Xygeni Build Security.
- በሶፍትዌር ቅርሶች ላይ ያልተፈቀዱ ለውጦችን ለማግኘት የቅሪተ አካል ታማኝነት ማረጋገጫን ይጠቀሙ። ለምሳሌ፣ የሶፍትዌር ቅርስ ባልተፈቀደ መንገድ ከተሻሻለ፣ የቅርስ ታማኝነት ማረጋገጫ ለውጡን ያገኛል እና ማንቂያ ያመነጫል።
ድርጅቶች በማንኛውም የእድገት እና የማድረስ ሂደት ውስጥ ተንኮል አዘል ኮድ ወደ ሶፍትዌር አቅርቦት ሰንሰለት ውስጥ የመግባት አደጋን ሊቀንሱ ይችላሉ።
የመለኪያዎቹ ጥምረት እንዴት ከሚከተሉት ጋር ሊዋሃድ እንደሚችል የሚያሳይ ምሳሌ ከዚህ በታች ቀርቧል CI/CD pipeline:
- 1. የተጠቃሚ ማረጋገጫ፦ ተጠቃሚው የተሻሻለ ደህንነትን ለማግኘት ባለሁለት ደረጃ ማረጋገጫ (2FA) በመጠቀም ወደ ስርዓቱ ይገባል።
- 2. በሚና ላይ የተመሠረተ የመዳረሻ መቆጣጠሪያ (RBAC) ቼክ፦ የምንጭ ኮድ አስተዳደር (SCM) ስርዓቱ ተጠቃሚው የሚያስፈልጉትን ፈቃዶች እንዳለው ያረጋግጣል commit ለውጦች.
- 3. ኮድ Commit: የተፈቀደለት ተጠቃሚ commitአዲሱ ኮድ ወደ ማከማቻው ይለውጣል፣ ይህም የ… CI/CD pipeline.
- 4. የተገዢነት እና የጥራት ማረጋገጫ ሙከራ፦ ኮዱ ከኮድ ጋር የተጣጣመ መሆኑን ለማረጋገጥ ምርመራዎችን ያካሂዳል standardእና አጠቃላይ የጥራት ማረጋገጫ።
- 5. ሚስጥራዊ እና IaC መቃኘት: የ pipeline የደህንነት ጥሰቶችን ለመከላከል እንደ የይለፍ ቃሎች ወይም የኤፒአይ ቁልፎች ያሉ ጠንካራ ኮድ የተሰጣቸውን ምስጢሮች ይቃኛል።
- 6. ተንኮል አዘል ኮድ ማወቂያየስታቲክ ትንተና መሳሪያዎች የኮዱን ትክክለኛነት እና ደህንነት ለማረጋገጥ እንደ የኋላ በሮች ወይም ሌሎች የደህንነት ስጋቶች ያሉ ተንኮል አዘል ኮድን የሚያመለክቱ ቅጦችን ለማግኘት የኮድ ቤዙን ይቃኛሉ።
- 7. የተጋላጭነት ቅኝት፡- የ pipeline የኮድ ቤዙን እና ጥገኞቹን ማንኛውንም የሚታወቁ ተጋላጭነቶችን ይቃኛል።
- 8. የፊርማ ማረጋገጫ፦ በውህደቱ ውስጥ ጥቅም ላይ የዋሉ የሁሉም ክፍሎች ፊርማዎች ትክክለኛነት እና እምነትን ለማረጋገጥ የተረጋገጡ ናቸው።
- 9. የምስክርነት ማመንጨት፦ ሁሉንም ፈተናዎች በተሳካ ሁኔታ ካጠናቀቁ በኋላ የመጨረሻውን ምርት ደህንነት እና ትክክለኛነት የሚያረጋግጥ የምስክር ወረቀት ይፈጠራል።
- 10. የምርት ስርጭት ዝግጅት፡ የተረጋገጠው ምርት ለደንበኞች ለማሰራጨት የተዘጋጀ ሲሆን ደህንነቱ የተጠበቀ እና የተረጋገጠ ምርት ማግኘታቸውን ያረጋግጣል።
ተለዋዋጭነት እና ሁለገብነት፡ ለተለያዩ አካባቢዎች የሚሆን ማዕቀፍ
የዜሮ ትረስት ማዕቀፍ ለ SSCS ከደመና-ተወላጅ ማይክሮሰርቪስ አርክቴክቸር እስከ ባህላዊ ድረስ የተለያዩ የሶፍትዌር ልማት አካባቢዎችን የሚደግፍ ጠንካራ እና ተለዋዋጭ መሆን አለበት on-premiseስርዓቶች። ከሚከተሉት ጋር መጣጣም standard እንደ ሜታዳታ እና ዲጂታል ፊርማዎች ያሉ የማስረጃ መዋቅሮች እርስ በርስ መስተጋብርን ያመቻቻሉ እና ከነባር የደህንነት መሳሪያዎች ጋር እንከን የለሽ ውህደትን ያስችላሉ።
የደህንነት ጥሰቶች እና ተጋላጭነቶች እየጨመሩ ባሉበት በዚህ ዘመን፣ የዜሮ ትረስት ፓራዲየምን በ... Software Supply Chain Security የሶፍትዌርዎን ታማኝነት እና አስተማማኝነት ለማረጋገጥ ቅድመ ጥንቃቄ የተሞላበት እርምጃ ነው። የመከላከያ እርምጃዎችን በማዋሃድ እና በእያንዳንዱ ደረጃ ታማኝነትን በማረጋገጥ፣ ድርጅቶች ደህንነታቸው የተጠበቀ፣ ጠንካራ እና አስተማማኝ የሶፍትዌር ስርዓቶችን መገንባት፣ ዲጂታል ሀብቶቻቸውን መጠበቅ እና የሶፍትዌር አቅርቦት ሰንሰለታቸውን ሊከሰቱ ከሚችሉ አደጋዎች ማጠናከር ይችላሉ።
ዜሮ እምነት እና SSCS ደህንነት ወሳኝ በሆነበት ወደፊት ለደህንነት ቅድሚያ ለሚሰጥ ስትራቴጂ ጠንካራ መሰረት በጋራ ይገነባሉ። ድርጅቶች በታማኝነት እና በመተማመን ላይ በማተኮር በየጊዜው የሚለዋወጠውን ዲጂታል ሥነ-ምህዳር በራስ መተማመን እና ጽናት ማስተዳደር ይችላሉ።
