ተንኮል አዘል ኮድ እንዴት ሊጎዳ ይችላል?

ተንኮል አዘል ኮድ እንዴት ጉዳት ሊያስከትል ይችላል? ከእውነተኛ ዓለም ምሳሌዎች ጋር ጥልቅ ጠልቆ መግባት

ተንኮል አዘል ኮድ እንዴት ጉዳት ሊያስከትል እንደሚችል መረዳት ደህንነቱ የተጠበቀ የሶፍትዌር አቅርቦት ሰንሰለት ለመገንባት ቁልፍ ነው። በዛሬው CI/CD ሥነ-ምህዳሮች፣ ተንኮል አዘል ኮድ የሚከተሉትን ሊያደርግ ይችላል፦

1. የምስጢር ማጣሪያ - ተንኮል አዘል ኮድ የምስክርነት መፍሰስን እንዴት እንደሚያመጣ

ምን ሆንክ፦ አጥቂዎች በኮድ፣ በማዋቀር ፋይሎች ወይም በግንባታ አካባቢዎች ውስጥ የተከማቹ ሚስጥራዊ መረጃዎችን - እንደ ኤፒአይ ቁልፎች፣ ቶከኖች ወይም የይለፍ ቃሎች - ይሰርቃሉ።

ለምን አደገኛ ነው።፦ ለደመና ቁጥጥር፣ ለመረጃ ቋት መዳረሻ እና ለአቅርቦት ሰንሰለት ስምምነት በር ይከፍታል።

እውነተኛ ጉዳይ: ጃርካስቴለር በPyPI ፓኬጆች ውስጥ ያሉ ማልዌር ምስጢሮችን በሐሰተኛ የገንቢ መሳሪያዎች አጽድቷል።

በሌላ አነጋገር፣ ይህ ዓይነቱ ጥቃት ማንም ሰው ምን እንደተፈጠረ ከማወቁ በፊት የመዳረሻ ምስክርነቶችን ለመሰብሰብ እምነትን እና ምቾትን ይጠቀማል።

2. የኋላ በሮችን ወይም የሩት ኪቶችን መወጋት

ምን ሆንክ፦ ኮዱ አጥቂዎች በኋላ ላይ ሊጠቀሙባቸው የሚችሏቸውን የማያቋርጥ፣ የተደበቁ የመግቢያ ነጥቦችን ያካትታል -- አደጋው እንደጠፋ ካሰቡ በኋላም እንኳ።

ለምን አደገኛ ነው።፦ የፋየርዎሎችን አልፎ ለረጅም ጊዜ መድረስ ያስችላል።

እውነተኛ ጉዳይ: መጽሐፍ XZ ከኋላ በር ይጠቀማል በሊኑክስ ሲስተሞች ውስጥ የተከተተ። አጥቂዎች ምንም አይነት የማረጋገጫ መረጃ ሳይኖራቸው የSSH መዳረሻ ሰጥቷቸዋል።

ከዚህም በላይ፣ ይህ ክስተት ማህበራዊ ምህንድስና እና ውስጣዊ ስጋት ምርጥ የኮድ ግምገማ ሂደቶችን እንኳን እንዴት ማለፍ እንደሚችሉ አጉልቶ ያሳያል።

3. የዝምታ አመክንዮ ለውጦች - ተንኮል አዘል ኮድ መተግበሪያዎን እንዴት ሊያስተጓጉል ይችላል?

ምን ሆንክ: ተንኮል አዘል ኮድ እንዴት ጉዳት ሊያደርስ ይችላል የሚለው ሌላው ምሳሌ በንግድ አመክንዮ ላይ ስውር ለውጦችን በማድረግ ነው - ማረጋገጫዎችን መዝለል ወይም የደህንነት ፍተሻዎችን ማዳከም።

ለምን አደገኛ ነው።፦ እነዚህ ለውጦች ብዙውን ጊዜ ለገንቢዎች የማይታዩ ናቸው ነገር ግን በምርት ላይ አስከፊ ናቸው።

እውነተኛ ጉዳይ: UAParser.js በNPM ላይ ክሪፕቶ ማዕድን ማውጫዎችን ለመጫን ተጠልፎ ነበር፣ ይህም ኮዱን በኮፍያ ስር እንዴት እንደሚያስፈጽም በመቀየር።

በዚህም ምክንያት፣ በታመኑ ቤተ-መጻሕፍት ውስጥ ያሉ ትናንሽ የሎጂክ ለውጦች እንኳን ወደ ዋና ዋና የደህንነት ክፍተቶች ሊገቡ ይችላሉ።

4. የክፍት ምንጭ ፓኬጅ ትረስትን መጠቀም

ምን ሆንክ: ተንኮል አዘል ኮድ እንዴት ሊጎዳ ይችላል? ይህ ነው በመጠን. ተንኮል አዘል ተዋናዮች ትክክለኛ የሚመስሉ የውሸት ወይም የተጠለፉ ፓኬጆችን ያትማሉ - እና ገንቢዎች ሳያውቁት ይጭኗቸዋል።

ለምን አደገኛ ነው።፦ እነዚህ ጥቃቶች በፍጥነት እየሰፉ፣ በሺዎች የሚቆጠሩ መተግበሪያዎችን ይነካሉ።

እውነተኛ ጉዳይ፦ ከ280 በላይ ተንኮል አዘል የNPM ፓኬጆች በፊደል አጻጻፍ ዘመቻ ውስጥ ጥቅም ላይ ውለዋል፣ ይህም ትራፊክን ወደ ውስጥ እንዲገባ አድርጓል። የኢቴሬም ስማርት ኮንትራቶች።

በዚህም ምክንያት፣ ይህ የእውነተኛ ጊዜ የመዝገብ ቅኝት እና የጥቅል ዝና ስርዓቶችን ወሳኝ አስፈላጊነት ያሳያል።

5. ውሂብን ማጽዳት ወይም ማበላሸት

ምን ሆንክ፦ ፋይሎች ይሰረዛሉ፣ ምዝግብ ማስታወሻዎች ይሰረዛሉ፣ እና የውሂብ ጎታዎች ዱካዎችን ለመደበቅ ወይም ትርምስ ለመፍጠር ይጣላሉ።

ለምን አደገኛ ነው።፦ ይህ ፍጹም ጥፋት ነው - ቤዛ የለም፣ መልእክት የለም - የእረፍት ጊዜ እና የውሂብ መጥፋት ብቻ።

እውነተኛ ጉዳይ: ሄርሜቲክዋይፐር ማልዌር በዩክሬን ውስጥ የውሸት የሶፍትዌር ማዘመኛን በመጠቀም የተሰረዙ ስርዓቶች።

ለማጉላት ያህል፣ አጥፊ ጥቃቶች ቲዎሪ ብቻ አይደሉም - የዘመናዊ የሳይበር ጦርነት አካል ናቸው።

6. ቁልፍ አገልግሎቶችን ማሰናከል (የአገልግሎት መከልከል)

ምን ሆንክ፦ ኮድ የሎጂክ ቦምቦችን፣ የተደጋጋሚነት ዑደቶችን ወይም የተበላሹ ግብዓቶችን በመጠቀም ሀብቶችን ወይም የብልሽት ስርዓቶችን ይጠቀማል።

ለምን አደገኛ ነው።፦ በከፍተኛ ሰዓታት ውስጥ አገልግሎቶችን ያስወግዳል - ወይም ጥልቅ ጥቃትን ይደብቃል።

እውነተኛ ጉዳይ: Log4Shell የጃቫ መተግበሪያዎችን ወዲያውኑ ያበላሹ የDoS ልዩነቶችን ያካትታሉ።

በዚህ ምክንያት፣ የወረዳ መቆራረጫዎችን እና የሩጫ ጊዜ ክትትልን ተግባራዊ ማድረግ በዛሬው አርክቴክቸር ውስጥ አስፈላጊ ነው።