መግቢያ፡ የጂትሃብ ጨዋታዎች መነሳት እና ከመዝናኛው በስተጀርባ ያሉት አደጋዎች
ፈልጋችሁት ከሆነ የጂትሆብ ጨዋታዎችከአሳሽ ላይ የተመሰረቱ ተኳሾችን እስከ ጃቫስክሪፕት ወይም ፓይዘን የተገነቡ ሬትሮ ክሎኖችን ድረስ ሁሉንም ነገር አጋጥሞዎት ይሆናል። እነዚህ ፕሮጀክቶች ለመሞከር አስደሳች፣ ለማስኬድ ቀላል ናቸው፣ እና ብዙ ጊዜ በዩቲዩብ አጋዥ ስልጠናዎች ወይም መድረኮች ላይ ይታያሉ። በዚህም ምክንያት፣ ገንቢዎች እና ተማሪዎች ብዙውን ጊዜ እነሱን በሚጠቀሙባቸው ትምህርት ቤቶች ውስጥ በተለይ ታዋቂ ሆነዋል። የጂትሆብ እገዳ ያልተጣለባቸው ጨዋታዎች ወይም ከነሱ ጠራርገው የGitHub io ጨዋታዎች ገጾች.
በዚህ ተወዳጅነት ምክንያት፣ ገንቢዎችም ሆኑ ተማሪዎች እነዚህን ማከማቻዎች ቀድመው ይገለብጣሉ፣ ኮዱን ያሂዱና ብዙ ሳያስቡ ይቀጥላሉ። ግን ችግሩ ይኸውና፡ እነዚህ ሁሉ ጨዋታዎች የሚመስሉ አይደሉም።
አንዳንድ የጨዋታ ማከማቻዎች ጥላ ያላቸው የመጫኛ ስክሪፕቶችን ያካሂዳሉ። ሌሎች ደግሞ ጊዜ ያለፈባቸው ወይም ተጋላጭ የሆኑ ጥገኝነቶችን ይጎትታሉ። ጥቂቶቹ ተንኮል አዘል ዌርን በንብረቶች፣ ኮንቴይነሮች ወይም የማሰማሪያ ፋይሎች ውስጥ ይደብቃሉ። ብዙ ገንቢዎች እነዚህን ፕሮጀክቶች የሚያስተናግዱት በዚህ በኩል ስለሆነ የGitHub io ጨዋታዎችአደጋው በፍጥነት ይስፋፋል እና ብዙ ጊዜ ሳይስተዋል ይቀራል።
በዚህ ጽሑፍ ውስጥ፣ የጨዋታ ማከማቻዎች እንዴት ከባድ የደህንነት ስጋት ሊሆኑ እንደሚችሉ እንመረምራለን። እንዲሁም የማወቅ ጉጉትዎን ወይም የማወቅ ጉጉትዎን ሳይተዉ እንዴት ደህንነትዎን መጠበቅ እንደሚችሉ እናሳይዎታለን። CI/CD.
አጥቂዎች የጂቲኤችቢ ጨዋታዎችን እና ያልተቆለፉ ማከማቻዎችን ለምን ኢላማ ያደርጋሉ
በመጀመሪያ ሲታይ፣ በጂትሁብ ላይ ያሉ የጨዋታ ማከማቻዎች ምንም ጉዳት የሌላቸው ይመስላሉ። ከሁሉም በላይ፣ ብዙውን ጊዜ ለመዝናኛ የተገነቡ ትናንሽ ሙከራዎች ወይም የትምህርት ፕሮጀክቶች ናቸው። ሆኖም፣ አጥቂዎች እነዚህን በተለየ መንገድ ይመለከታሉ። እንደ እውነቱ ከሆነ፣ እንደዚህ ያሉ ብዙ ሪፖዎች እንደ ማልዌር ማከፋፈያ መድረኮች ጥቅም ላይ ይውላሉብዙውን ጊዜ እንደ የጂትሆብ ጨዋታዎች or የgithub እገዳ ያልተጣለባቸው ጨዋታዎች.
ለምሳሌ፣ እንደ “አስጊ ተዋናይ” የሚታወቀው ስታርጋዘር ጎብሊን በላይ አውታረ መረብን ያንቀሳቅሳል 3,000 የጂቲኤችቲ መለያዎች“የስታርጋዘርስ መንፈስ ኔትወርክ” የሚል ስያሜ ተሰጥቶታል። ይህ ቡድን ሆን ብሎ ታይነታቸውን እና ህጋዊነታቸውን ለማሳደግ ተንኮል አዘል ማከማቻዎችን ያስተዋውቃል፣ ይሾፋል እና ይመለከታል፣ በተለምዶ መሳሪያዎችን ወይም የጨዋታ ማጭበርበሮችን የሚፈልጉ ተጠቃሚዎችን ኢላማ ያደርጋል። እነዚህ ማከማቻዎች እንደ አትላንቲዳ ስቴለር፣ ራዳማንቲስ፣ ሉማ ስቴለር እና ሬድላይን ያሉ የመረጃ-ሌቦችን እና የራንሰምዌር ራንሰምዎችን ለማሰራጨት ጥቅም ላይ ውለዋል።
ከዚህም በላይ ሌላ የተራቀቀ ዘመቻ ተብሎ ተጠርቷል የውሃ እርግማን ቢያንስ የጦር መሳሪያ ገዝቷል 76 የጂትሆብ አካውንቶችባለብዙ ደረጃ ማልዌርን ወደ ህጋዊ መሳሪያዎች ውስጥ በማስገባት። የክፍያ ጭነቶች በቪዥዋል ስቱዲዮ ፕሮጀክት ፋይሎች (PreBuildEvent) ውስጥ ተደብቀዋል፣ ለምስክርነት ስርቆት፣ ለአሳሽ ውሂብ ማውጣት እና ለረጅም ጊዜ ዘላቂነት የተደበቁ ስክሪፕቶችን እና በኤሌክትሮን ላይ የተመሰረቱ ባይናሪዎችን ያሰማራሉ። ኢላማዎቹ ገንቢዎችን፣ የDevOps ቡድኖችን እና የጨዋታ ፈጣሪዎችን ያካትታሉ።
አጥቂዎች ብዙ ገንቢዎች የጊትሁብ ጨዋታዎችን ኮዱን ሳይገመግሙ ለመሞከር ወይም ከእነሱ ለመማር የጊትሁብ ጨዋታዎችን ቀድመው ስለሚጠቀሙበት ይጠቀማሉ። በተመሳሳይ፣ የጊትሁብ io ጨዋታዎች፣ በጂትሁብ ገጾች በኩል የሚቀርቡት ሪፖዎች፣ በአሳሽ ውስጥ ሲጫኑ የሚከናወኑ ተንኮል አዘል ጃቫስክሪፕትን፣ ምስሎችን ወይም የማዞሪያ ስክሪፕቶችን ማስተናገድ ይችላሉ። ብዙ የጊትሁብ io ጨዋታዎች ያለ ጥልቅ ምርመራ ሹካ እና እንደገና ጥቅም ላይ ስለሚውሉ፣ አጥቂዎች የተደበቀ ኮድ፣ የተደበቁ መከታተያዎችን ወይም የማውረጃ ቀስቅሴዎችን ለማሸሽ ይጠቀማሉ። እነዚህ ዘዴዎች ገንቢዎች በክፍት ምንጭ ፕሮጀክቶች ውስጥ የሚያስቀምጡትን እምነት ይጠቀማሉ።
ባጭሩ፣ የጨዋታ ማከማቻዎች እና ያልተከፈቱ የጨዋታ ፕሮጀክቶች ተወዳጅነት ለአጥቂዎች ምቹ ቦታ ያደርጋቸዋል። ተገቢ ምርመራ ከሌለ፣ የማወቅ ጉጉት ያለው ገንቢ የጨዋታ ማከማቻዎችን በክሎኒንግ ወይም በማስተናገድ ብቻ ተንኮል አዘል ዌርን ወደ አካባቢያቸው ማስገባት ይችላል።
ሁሉንም የጂቲኤችቢ ፕሮጀክቶችዎን ደህንነት መጠበቅ ይፈልጋሉ?
የጂቲኤችቲ ማከማቻዎችዎን ከጨዋታ ሞዶች በላይ እንዴት መጠበቅ እንደሚችሉ እያሰቡ ከሆነ፣ ስለ ፈቃዶች ጥልቅ ጠልቀን የጻፍነውን ጽሑፋችንን እንዳያመልጥዎት፣ pull requests, CI/CD ውህደት እና ሌሎችም።
በጂትሆብ ያልተከፈቱ ጨዋታዎች እና የጂትሆብ አይኦ ጨዋታዎች ውስጥ ያሉ የማልዌር ቅጦች
ገንቢዎች እንደሚከተለው የተሰየሙ ፕሮጀክቶችን ሲያስሱ github unblocked gamesብዙዎቹ ምንም ጉዳት የሌላቸው ይመስላሉ። ሆኖም ግን፣ በርካታ ተደጋጋሚ ቅጦች በቀላሉ ሊያመልጡ የሚችሉ ከባድ ስጋቶችን ያሳያሉ።
ዘመቻ፡ የውሃ እርግማን
ትሬንት ማይክሮ የተባለ ዘመቻ ይፋ አደረገ የውሃ እርግማንቢያንስ በዚህ ውስጥ 76 የጂትሆብ አካውንቶች እንደ የገንቢ መሳሪያዎች ወይም የጨዋታ ሞዶች የሚመስሉ የጦር መሳሪያ ማከማቻዎችን ያስተናግዳሉ። እነዚህ ማከማቻዎች ተንኮል አዘል የክፍያ ጭነቶችን ያካትታሉ። <PreBuildEvent> በቪዥዋል ስቱዲዮ ፕሮጀክት ፋይሎች ውስጥ መለያዎች። በግንባታ ጊዜ፣ የተደበቁ የ PowerShell ወይም የ VBS ስክሪፕቶች የተመሰጠሩ የዚፕ ማህደሮችን ያወርዳሉ፣ በኤሌክትሮን ላይ የተመሰረቱ ሁለትዮሽ መዝገቦችን ይጫኑ እና ማስረጃዎችን፣ የአሳሽ ውሂብን እና የክፍለ ጊዜ ቶከኖችን ያወጣሉ። ማልዌር በታቀዱ ተግባራት እና በመመዝገቢያ ለውጦች አማካኝነት ጽናትንም ይተገብራል።
በጂትሆብ ጨዋታዎች ውስጥ የውሸት ኮድ፦ ሜንጦ
የውሸት ኮድ፡ የተደበቀ የ PowerShell አፈፃፀም
ይህ ቀለል ያለ ምሳሌ ተንኮል አዘል ኮድ በቀጥታ በማህደረ ትውስታ ውስጥ በመግለጽ እና በማስኬድ የዲስክ መፃፎችን እንዴት እንደሚያስወግድ ያሳያል።
ዘመቻ፡ የውሃ እርግማን
ትሬንት ማይክሮ በመባል የሚታወቀውን የአደጋ ዘመቻ ለይቷል የውሃ እርግማንአጥቂዎች ቢያንስ የተጠቀሙበት 76 የጂትሆብ አካውንቶች የጦር መሳሪያ ማከማቻዎችን ለማስተናገድ። እነዚህ ፕሮጀክቶች የገንቢ መሳሪያዎች ወይም የጨዋታ ሞዶች ይመስላሉ። በውስጥ፣ በተለይም በግንባታ ፋይሎች ውስጥ ተንኮል አዘል አመክንዮ አካተዋል <PreBuildEvent> በቪዥዋል ስቱዲዮ ውስጥ መለያ ይስጡ .csproj ፋይሎችን.
የክፍያ ጭነቶች የተመሰጠሩ ዚፕ ፋይሎችን የሚያወርዱ፣ ፋይሎችን የሚያወጡ እና የኋላ በሮችን የሚፈጽሙ ባለብዙ ደረጃ ስክሪፕቶችን ያካትታሉ። በተጨማሪም፣ አጥቂዎች የዊንዶውስ መዝገብ ቤት ማስተካከያዎችን እና የታቀዱ ተግባራትን በመጠቀም የጽናት ዘዴዎችን አክለዋል።
የውሸት ኮድ ምሳሌ፡ ቪዥዋል ስቱዲዮ ቢልድ ሆክ
የውሸት ኮድ፡ በ PowerShell በኩል የማህደረ ትውስታ ውስጥ አፈፃፀም
ይህ ዘዴ አጥቂዎች ወደ ዲስክ እንዳይጽፉ ይከላከላል፣ ይህም አጥቂዎች የጸረ-ቫይረስ ምርመራን እንዲያልፉ እና እንዳይስጥር ይረዳል።
ዘመቻ፡ የስታርጋዘር ጎብሊን እና የድሆች አካውንቶች
ሌላው መጠነ ሰፊ ጥቃት በቼክ ፖይንት ሪሰርች ተመዝግቧል፤ ይህም ክስ እንደሚያሳየው የስታርጋዘርስ የመንፈስ ኔትወርክይህ ዘመቻ ከዚህ በላይ ጥቅም ላይ ውሏል 3,000 የውሸት የጂትሆብ አካውንቶች በተንኮል አዘል ማከማቻዎች ላይ ኮከቦችን፣ ሹካዎችን እና ተመልካችን ማጋነን ነበር። ግቡ የተሳሳተ የሕጋዊነት ስሜት መፍጠር ነበር።
እነዚህ የ ghost መለያዎች እንደ ማልዌር ያሉ ማልዌርዎችን ለማስተዋወቅ ረድተዋል አትላንቲዳ ዘራፊ, ሉማ, ራዳማንቲስ, እና ቀይ መስመርበአብዛኛው ገንቢዎችን እና ተጫዋቾችን ኢላማ ያደረገ። በአራት ቀናት ውስጥ ብቻ አንድ የጥቃት ሞገድ ከ… በላይ ሰዎችን ያዘ 1,300 ተጎጂዎች የተሻሻሉ የጨዋታ ሞድ ጥቅሎችን በ Discord እና README አገናኞች በኩል በማሰራጨት።
የውሸት ኮድ ምሳሌ፡ ተንኮል አዘል README
በጂትሆብ ጨዋታዎች ማከማቻዎች ውስጥ የተለመዱ የማልዌር ቅጦች
| ሥርዓተ ጥለት | መግለጫ |
|---|---|
| ስክሪፕቶችን አስቀድመው ይጫኑ / ይገንቡ | ብዙ ጊዜ ያለተጠቃሚ ግንዛቤ የርቀት ክፍያዎችን ለማምጣት እና ለማስፈጸም በሚጫንበት ወይም በሚገነባበት ጊዜ በራስ-ሰር የሚሰሩ ስክሪፕቶች። |
| የታይፖስኩዊቲንግ እና የውሸት ሹካዎች | ገንቢዎች እንዲጭኗቸው ለማታለል የታዋቂ መሳሪያዎችን ወይም የጨዋታ ማከማቻዎችን ስሞች ወይም አወቃቀር የሚያስመስሉ ተንኮል አዘል ፕሮጀክቶች። |
| የጂትሆብ ገጾች አላግባብ መጠቀም | በ`github io games` ገጾች ውስጥ የተደበቁ ጃቫስክሪፕት፣ ምስሎች ወይም አቅጣጫ ማዞሪያዎች በገጽ ጭነት ላይ ተንኮል አዘል ስክሪፕቶችን መፈጸምን ያስጀምራሉ። |
| የውሸት ተወዳጅነት ምልክቶች | የጉስት ዘገባዎች ተንኮል አዘል ማከማቻዎችን አስተማማኝ እንዲመስሉ ለማድረግ ኮከቦችን፣ ሹካዎችን እና ተመልካችን በሰው ሰራሽ መንገድ ያሞቁ ነበር። |
እነዚህ ቴክኒኮች ቲዎሪቲካል አይደሉም። በቀጥታ ስርጭት ታይተዋል የማልዌር ዘመቻዎች, ከእነዚህም ውስጥ ብዙዎቹ የጨዋታ ማከማቻዎችን እንደ መግቢያ ነጥቦች የሚጠቀሙ ገንቢዎችን ኢላማ አድርገዋል።
እንደ እድል ሆኖ፣ አንዳንድ የደህንነት መድረኮች እነዚህን ቅጦች ጉዳት ከማድረሳቸው በፊት ሊይዙ ይችላሉ። በሚቀጥለው ክፍል፣ Xygeni እነዚህን ስጋቶች በአንተ ላይ እንዴት እንደሚለይ፣ እንደሚያግድ እና እንደሚያስተካክል እናሳያለን። SDLC.
Xygeni የጂቲኤችቲ ጨዋታዎችን፣ ያልተከፈቱ ፕሮጀክቶችን እና CI/CD Pipelines
በጂትሆብ የጨዋታ ማከማቻ ቦታዎች ላይ አደገኛ ቅጦች ሲኖሩ፣ Xygeni ስርዓቶችዎን ወይም የአቅርቦት ሰንሰለትዎን ከማበላሸታቸው በፊት አደጋዎችን ለማስቆም ሙሉ በሙሉ መከላከያ ይሰጣል።
1. ቅድመ ማስጠንቀቂያ፡ በ GitHub ጨዋታዎች እና ጥገኝነቶች ውስጥ በእውነተኛ ጊዜ የማልዌር ማወቂያ
ዚጌኒ አዳዲስ ፓኬጆችን በNPM፣ Maven፣ PyPI እና በሌሎችም ላይ ያለማቋረጥ ይቃኛል። ይህም ባልተጠበቁ ቦታዎች የተካተቱ ፓኬጆችን ያካትታል፣ ለምሳሌ በጨዋታ ማከማቻዎች ወይም በመድረኮች ወይም በትምህርት ቤት አውታረ መረቦች ላይ የተጋሩ የጂትብ ያልተከፈቱ የጨዋታ ፕሮጀክቶች። አጠራጣሪ አካል ከተገኘ፣ Xygeni በራስ-ሰር ያገለለዋል፣ በጥገኝነቶችዎ ውስጥ አጠቃቀሙን ያግዳል፣ እና ለቡድንዎ የእውነተኛ ጊዜ ማንቂያዎችን ይልካል። ይህ ተንኮል አዘል የክፍያ ጭነቶች ወደ ኮድ ቤዝዎ ወይም ወደ ኮድ ቤዝዎ እንዳይገቡ ይከላከላል። CI/CD pipeline.
2. ተደራሽ መሆን-ማወቅ SCA በብልህነት ቅድሚያ አሰጣጥ
ቡድንዎን በማንቂያዎች ከማጨናነቅ ይልቅ፣ ዚጌኒ ተጋላጭነት በኮድዎ ውስጥ በትክክል ጥቅም ላይ መዋሉን ይገመግማል (ተደራሽ መሆን) እና የአደጋ ውጤትን ያካትታል (EPSS, የንግድ ተጽእኖ) በጣም ወሳኝ ጉዳዮችን ለማንሳት። ይህ ጫጫታውን በእጅጉ ይቀንሳል እና ቡድንዎ በእውነት አስፈላጊ በሆነው ነገር ላይ እርምጃ እንዲወስድ ያረጋግጣል።
3. አውቶማቲክ ማስተካከያ በመጠቀም Pull Requests
ተጋላጭነት ወይም ተንኮል አዘል ጥገኝነት በሚታወቅ ጥገና ሲገኝ፣ Xygeni በራስ-ሰር ይፈጥራል Pull Request ችግሩን ለማሻሻል ወይም ለማስተካከል። ይህ የምላሽ ጊዜን ያፋጥናል፣ የእጅ ሥራን ይገድባል፣ እና የእርስዎን ይጠብቃል። pipeline ደህንነቱ የተጠበቀ።
4. CI/CD ተንኮል አዘል ግንባታዎችን ለማገድ የደህንነት ቁጥጥሮች
Xygeni ከግንባታ ጋር ይዋሃዳል pipelineበጂትሃብ አክሽንስ፣ ጄንኪንስ፣ ጂትላብ፣ አዙር በኩል Pipelines እና ሌሎችም። የግንባታ ስክሪፕቶችን፣ የDockerfiles እና CI/CD እንደ የተገላቢጦሽ ሼሎች ወይም የጭነት ስክሪፕቶች ላሉ አጠራጣሪ ትዕዛዞች ያዋቅራል፣ እና አደገኛ ኮድ ከተገኘ ግንባታዎችን ሊያግድ ይችላል።
5. በSLSA-ተጣጣሚ የምስክር ወረቀቶች አማካኝነት ታማኝነትን ይገንቡ
የ Build Security ሞጁሉ SLSA እና in-totoን ተከትሎ የተፈረሙ የምስክር ወረቀቶችን ይፈጥራል standards፣ ሜታዳታ በምንጭ፣ ጥገኛዎች ላይ መክተት፣ SBOMእና ሙከራዎች። ማንኛውም ያልተፈቀዱ ማሻሻያዎች ከተከሰቱ፣ የምስክርነት ማረጋገጫው ይከሽፋል እና pipeline በራስ-ሰር ይቆማል።
6. የአኖማሊ ምርመራ በ SCM እና የሲአይ ቅርሶች
Xygeni እንደሚከተሉት ያሉ ያልተለመዱ ባህሪያትን ለመለየት የምንጭ ኮድዎን እና የCI አካባቢዎችዎን ያለማቋረጥ ይከታተላል፣ commitየቅርንጫፍ ጥበቃን፣ ያልታወቁ ተጠቃሚዎችን ወይም ያልተጠበቁ የቶከን ዕርዳታዎችን ማለፍ። ከሱ ጋር ተጣምሮ SAST ሞተሩን፣ የተደበቁ የኋላ በሮችን ወይም የተወጉ ስክሪፕቶች ከመዋሃድ ወይም ከማሰማራት በፊት።
7. አውቶሜትድ የንብረት ግኝት እና ASPM ለማየት መቻል
Xygeni ይገነባል የቀጥታ ክምችት የአንተን በሙሉ SDLC ሥነ-ምህዳር፣ ማከማቻዎችን፣ ተባባሪዎችን ጨምሮ፣ pipelines፣ ጥገኝነቶች እና የደመና ኢንፍራሬድ። ይህ ታይነት ተለዋዋጭ የአደጋ ቅድሚያ መስጠትን፣ የተገዢነት ካርታዎችን (ለምሳሌ NIS2፣ DORA) እና አሁን ያሉትን የስራ ፍሰቶች ሳያስተጓጉል ለኦዲት ዝግጁ የሆኑ ማስረጃዎችን ያስችላል።
የጂትሃብ ጨዋታዎች ለደህንነታቸው ለተጠበቁ ገንቢዎች ምን ማለት ናቸው፡ ለማወቅ ጉጉት ይኑርዎት፣ ደህንነትዎን ይጠብቁ
- አንድ ማከማቻ ተንኮል አዘል ኮድ የሚያወርድ የተደበቀ የግንባታ ስክሪፕት ካለው (ለምሳሌ የ PowerShell ስክሪፕት ከተጫነ በኋላ)፣ Xygeni ከመፈጸሙ በፊት ምልክት ያደርግበታል እና ያግደዋል።
- አጠራጣሪ ጥገኝነትን የሚያመለክት ኮድ ሲያዋህድ፣ Xygeni ሁለቱንም ያግዳል እና በራስ-ሰር ማስተካከያ ያቀርባል Pull Request.
- የጂትሃብ ገጾች፣ የተስተናገደ ፕሮጀክት የተደበቁ ተንኮል አዘል ስክሪፕቶችን የያዘ ከሆነ፣ የXygeni's SCA እና የማልዌር ማወቂያ በገጽ ጭነት ወቅት ብቻ ቢሰሩም እንኳ ይለያቸዋል።
- ይገንቡ pipelineውድቅ ያደርጋል commitየተገነቡ ቅርሶች ወይም ውቅሮች የምስክርነት ማረጋገጫዎችን ካላገኙ፣ የተበላሹ ግንባታዎች ወደ ምርት እንዳይደርሱ ያቆማሉ።
በ Xygeni፣ ማግኘት እና መሞከርዎን መቀጠል ይችላሉ የጊትቡብ ጨዋታዎች በልበ ሙሉነት። ከክሎኒንግ እስከ ማሰማራት ድረስ እያንዳንዱ እርምጃ የተጠበቀ ነው። ገንቢዎች በጉጉት ይጠብቃሉ፣ pipelineደህንነትዎን ይጠብቁ፣ እና የአቅርቦት ሰንሰለትዎ ንጹህ ሆኖ ይቆያል።
