ከክፍት ምንጭ ተንኮል አዘል ፓኬጆች መጠበቅ፡- ምን አይሰራም (አይሰራም)

ይህ በክፍል ውስጥ ሦስተኛው ክፍል ነው ተከታታይ መጣጥፎች ስለ በጣም የተለመዱ የሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶች፡- የህዝብ መዝገብ ቤትን አላግባብ የሚጠቀሙ ክፍት ምንጭ የሶፍትዌር ክፍሎች። በቀደመው ክፍል "ከተተነተነ በኋላ"የተንኮል አዘል ፓኬጆች አወቃቀር፡ አዝማሚያዎች ምንድን ናቸው?"መጥፎ ተዋናዮች ተንኮል አዘል ባህሪን ወደ አዲስ ወይም ነባር የታተሙ ክፍሎች እንዴት እንደሚያስገባ፣ የእሳት አደጋ መከላከያ ጃኬቶቻችንን ለመልበስ እና በዚህ መንገድ የሚቀርቡ ተንኮል አዘል ሶፍትዌሮችን እንዴት በተሳካ ሁኔታ ማገድ እንደምንችል ለመመርመር ወይም በአማራጭ፣ የተሳሳተ አካሄድ ስለወሰድን ከባድ የሳይበር ክስተትን ለመቋቋም ዝግጁ ነን።"

አብዛኛዎቹ የደህንነት እውቀት ያላቸው ባለሙያዎች ይህንን ስጋት እንዴት መቋቋም እንደሚችሉ ሀሳብ አላቸው። የደህንነት አስተዳዳሪዎች ያለምንም ማመንታት እንዲህ ሲሉ ሰምተናል SCA መሳሪያዎች የጥቅል ስሪት ማልዌር መቼ እንደሆነ አስቀድመው ይነግሩዎታል። ወይም ደግሞ ማንኛውም ማልዌር በፍጥነት የሚታወቅበት እና የሚወገድበት በሚታወቁ እና በከፍተኛ ደረጃ በተገመገሙ የሶፍትዌር ክፍሎች ላይ የተመሰረቱ መሆናቸውን ያሳያል። የተጋላጭነት ጥገናዎችን በራስ-ሰር ለማግኘት ክፍት ጥቃቅን/ጥገና ስሪቶችን ይጠቀማሉ፣ እና ይህ በክፍት ምንጭ ጥገኝነቶች ላይ ያለውን አደጋ ለመቀነስ ትክክለኛው እና የሚመከር መንገድ ነው፣ የሚከተለውን በመከተል “ቀደም ብሎ ይጠግኑ፣ ብዙ ጊዜ ይጠግኑ”መርህ ፡፡ 

በዚህ ክፍል፣ እነዚህ ሀሳቦች ለምን የተሳሳቱ እንደሆኑ እና እንደዚህ ያሉ የተሳሳቱ አመለካከቶች ለዚህ የጥቃት ዘዴ ተወዳጅነት እና ድርጅቶች እያጋጠሟቸው ላለው ከፍተኛ አደጋ አስተዋጽኦ እያደረጉ እንደሆነ እንገመግማለን። የሚሰራውን እና የተሳተፈውን ጥረት እና ግብዓቶች እንጨርሳለን።

የተለመዱ የተሳሳቱ አመለካከቶች

በሶፍትዌር ደህንነት ጉዞአችን ወቅት፣ የጥቃት ቴክኒኮች እየተሻሻሉ ሲሄዱ እና ከደህንነት ጠንቃቃ ሰዎች የተውጣጡ የተለያዩ ሀሳቦችን አይተናል። ድርጅቶች ብዙውን ጊዜ ከዚህ ስጋት ጋር ምን እንደሚሰራ በተሳሳተ መንገድ ይረዱታል፣ ስለዚህ በመጀመሪያ የማይሰራውን እንመረምራለን፣ በሚከተለው ዝርዝር ውስጥ ተጠቃሎ፣ ሙሉ በሙሉ ሳይሆን፣ የተሳሳቱ አመለካከቶችን እንመረምራለን።

የተሳሳተ ግንዛቤ #1፡ SCA መሳሪያዎች ተንኮል አዘል ክፍሎችን አስቀድመው ሪፖርት ያደርጋሉ

በእርግጥም! ግን እውነታው ከተከሰተ በኋላ… ኤለመንቱ በሶፍትዌር ግንባታ ውስጥ ጥቅም ላይ ከዋለ እና መጥፎ ተዋናዮች ቀድሞውኑ በገንቢ ወይም በገንቢ ውስጥ ቦታ ካገኙ ምናልባት በጣም ዘግይቶ ሊሆን ይችላል መቼ ነው? CI/CD አስተናጋጅ። ምስጢሮች ተፈትተው፣ ተጨማሪ ማልዌር ወርደው ተጭነው ሊሆን ይችላል፣ እና ምናልባት ጠላት ወደ ጎን ተንቀሳቅሶ ወደ ሌላ ቦታ መድረስ ችሏል። 

የሶፍትዌር ቅንብር ትንተና (SCA) መሳሪያዎች ሊታወቁ የሚችሉ ተጋላጭነቶችን ለመለየት የተነደፉ ናቸው። ዘመናዊ መሳሪያዎች የምልክት-ጫጫታ ጥምርታን በመጨመር፣ ተጋላጭነቱ በእርግጥ ሊደረስበት የሚችል ወይም ሊበዘበዝ የሚችል መሆኑን በመለየት ጥሩ ስራ ይሰራሉ። ነገር ግን በአዲሱ ማልዌር ላይ ምንም ፋይዳ የላቸውም። ተንኮል አዘል አካልን እንደ ዜሮ-ቀን ተጋላጭነት ያስቡት፡ ተንኮል አዘል ባህሪው ሲታወቅ ብቻ፣ ክፍሉ ለይዞታ መዝገብ ሪፖርት ይደረጋል፣ ይህም በደህንነት ቡድን ግምገማ ከተደረገ በኋላ ተንኮል አዘል እንደሆነ ተረጋግጦ ከመዝገቡ ይወገዳል። [1]. 

በዚያን ጊዜ ዓለም (ጨምሮ) SCAs) ክፍሉን (ወይም የአንድ ነባር አካል አንዳንድ ስሪቶችን) መጫን ወይም መጠቀም ጥሩ ነገር እንዳልሆነ ያውቃል። ነገር ግን ይህ የሚሆነው ክፍሉ ከመዝገቡ ላይ በማይገኝበት ጊዜ ነው።በሶስተኛ ወገን ክፍሎች ወይም በመዝገቡ ተንኮል አዘል ተብለው የተመደቡ ክፍሎች ላይ እንኳን ተጋላጭነቶች እንዳሉብኝ ማወቅ ጥሩ ነው፣ ግን በሚያሳዝን ሁኔታ SCA ወይም የተለመዱ የኦዲት መሳሪያዎች በዚህ አውድ ውስጥ አይረዱም። ካልሆነ በስተቀር SCA/ኦዲት መሳሪያ አንድ አካል በድርጅትዎ ውስጥ ጥቅም ላይ ከመዋሉ በፊት ተንኮል አዘል መሆኑን አስቀድሞ ማወቅ ይችላል.

ያስታውሱ፣ በተንኮል አዘል ክፍት ምንጭ ክፍሎች ላይ የሚቀርብ ማንኛውም መፍትሔ እነሱን ማግኘት አለበት በመብረር ላይ, ክፍሉ በመዝገብ ቤት ውስጥ በሚታተምበት ጊዜ እና ክፍሉ (ስሪት) በድርጅትዎ ውስጥ ለመጀመሪያ ጊዜ ጥቅም ላይ በሚውልበት ጊዜ መካከል። እና ያ ደግሞ ጊዜያዊ ክፍሎችን ያካትታል።  

የተሳሳተ ግንዛቤ #2፡ በግንባታ ጊዜ የመጫኛ ስክሪፕቶችን መቆጣጠር ከክፍት ምንጭ ክፍሎች የሚመጡ ተንኮል አዘል ባህሪያትን ይከላከላል

የተለያዩ የጥቅል አስተዳዳሪዎች ስክሪፕቶችን የማስኬድ ችሎታ ይሰጣሉ (በክፍሉ ታርቦል ውስጥ ተካትቷል) [2]), እንደ አስፈላጊ የሆኑ ነገሮችን በተለያዩ መድረኮች ላይ ማጠናቀር፣ ኮድ ማመንጨት ወይም ሙከራዎችን ማስኬድ ባሉ ሕጋዊ ምክንያቶች፣ እና ሁላችንም ተንኮል አዘል ስክሪፕቶች በታርቦል ውስጥ ከተካተቱ ወይም አጥቂው ጥሩውን ሳይሆን ተንኮል አዘል ስክሪፕት እንዲሰራ ማድረግ ከቻለ በመጥፎ ተዋናዮች ሊበደሉ እንደሚችሉ ሁላችንም ማወቅ አለብን።

ይህንን በማወቅ፣ የጥቅል አስተዳዳሪውን ስክሪፕቶችን ችላ እንዲል ማዋቀር እንችላለን። ለምሳሌ፣ በNPM -አይመልከቱ-ስክሪፕቶች ባንዲራ (ወይም የውቅር ባህሪ በ ውስጥ .npmrc ፋይል) በመጫን ጊዜ ስክሪፕቶቹን ይዘላል። ይህ ስክሪፕቶችን ማስኬድ በብዙ ሥነ-ምህዳሮች ውስጥ የተለመደ ስለሆነ አንዳንድ ችግሮችን ሊያስከትል ይችላል፡ አንዳንድ የጥቅል አስተዳዳሪዎች የስክሪፕት አፈፃፀምን እንኳን ማሰናከል እንኳን አይፈቅዱም (ፍንጭ፡ ፕሮምፕል “የትኛዎቹ የጥቅል አስተዳዳሪዎች የጭነት ስክሪፕቶችን አፈጻጸም ማሰናከል አይፈቅዱም?"በሚወዱት AI ውስጥ")። ግን ይህ በአጠቃላይ አይከላከልም (የመዝለል ማሰናከል ውቅር በሁሉም ቦታ መሆኑን ማስፈጸም አለብን)። 

እና ተንኮል አዘል ባህሪው በመጫኛ ስክሪፕቶች ውስጥ ሳይሆን በሂደት ላይ በሚሰራው ሶፍትዌር ውስጥ ሲገኝ፣ ይህ አማራጭ ብቻውን አይጠብቀንም። 

የተሳሳተ ግንዛቤ #3፡ የስሪት ፒን ማድረግ ተንኮል አዘል አካላት እንዳይጫኑ ይከላከላል

ቀደም ብሎ እና ብዙ ጊዜ በፕላስተር መካከል ልዩነት አለ ክፍት ስሪቶች (የጥቅል አስተዳዳሪው ለደህንነት ጥገናዎች ሲገኙ አዳዲስ ዝመናዎችን በራስ-ሰር እንዲጭን መፍቀድ) እና የስሪት ፒንንግ (በቋሚ ስሪት ላይ ለሶፍትዌር ሁሉንም ቀጥተኛ እና ጊዜያዊ ጥገኝነቶች አሉት)። የደህንነት መርሆዎቹ ግትር እና አንዳንድ ጊዜ እርስ በርስ የሚጋጩ ናቸው፣ ልክ እንደ “ቀደም ብሎ መጠገን፣ ብዙ ጊዜ መጠገን” እና "ማሻሻያ ቀላል ተደርጎ መታየት የለበትም". አንዳንድ የጥቅል አስተዳዳሪዎች በአገልጋይ ክልሎች አውቶማቲክ ዝማኔዎችን ያደርጋሉ የሚመከር መንገድ። እንዲሁም ተንኮል አዘል ዝማኔዎችን መቀበል ከፈለጉ በጣም ጥሩ ነው! አዎ፣ ተጋላጭነቶችን በተቻለ ፍጥነት የሚዘጉ የደህንነት ጥገናዎችን ለመቀበል ክፍሎች መዘመን አለባቸው፣ ነገር ግን ... የጥቅል አስተዳዳሪው ይህንን በራስ-ሰር እንዲያደርግ በፍጹም አይፍቀዱለት።

የተሳሳተ ግንዛቤ #4፡ የታመኑ ክፍሎችን መጠቀም ደህንነቱ የተጠበቀ ነው። ማንኛውም ተንኮል አዘል ስሪት ወዲያውኑ ተገኝቷል፣ ይፋ ይደረጋል እና ይወገዳል።

አንድ አካል ለምን እምነት የሚጣልበት ነው? ምናልባትም በጣም ተወዳጅ ስለሆነ፣ ብዙ ተጋላጭነቶችን የሚሹ፣ ለጥገና ብዙ አስተዋፅዖ አበርካቾች ያሉት፣ ሁሉንም ነገር በትጋት የሚገመግሙ በርካታ ዋና ዋና ባለሙያዎች ስላሉት ሊሆን ይችላል። pull requestsእውነታው ግን በጣም የተለየ ነው። አንዳንድ አስፈላጊ ክፍሎች በአንድ ያልተከፈለ ገንቢ ይጠበቃሉ። በስፋት ጥቅም ላይ የዋሉ ማዕቀፎች ጥቂት መደበኛ አስተዋፅዖ አበርካቾችቁጥር በፍጥነት እየቀነሰ በመምጣቱ commits በአንድ አስተናጋጅ (ታዋቂ ፕሮጀክቶች የተወሰነ ተነሳሽነት የሚያከናውኑ ረጅም አስተዋፅዖ አበርካቾች አሏቸው commit እና በፍጹም አትመለስም)። እና አንድ አስተናጋጅ ያላቸው ታዋቂ ፕሮጀክቶች በብዛት ይገኛሉ።

ራስህን እንዲህ ስትል አስብ «ኦህ፣ የጸደይ ቡት / አንጉላር / ሪአክት / ፓይቶርክ / ኦፊሴላዊ የዶከር ምስሎችን እየተጠቀምን ነው፣ ስለዚህ የምትናገረው አደጋ በጣም ዝቅተኛ ነው።» ምናልባት ያ እውነት ሊሆን ይችላል፣ እኛ የደህንነት አቅራቢዎች ሁልጊዜ የምንፈራ እና አከራካሪ ስጋትን ለመቀነስ በልማት ቡድኖች ውስጥ ጣልቃ የምንገባ ከሆነ ከንቱ ነገር ነው። ወደ አደጋ ተቀባይነት አንቀጽ (በሚቀጥለው ክፍል) ለመዝለል እና ሁሉም ነገር ተጠናቅቋል። በሚያሳዝን ሁኔታ፣ በጣም ተወዳጅ የሆኑት ክፍሎች ለመጥፎ ተዋናዮች ኢላማዎች ናቸው፣ እና ለምሳሌ፣ ታዋቂው የፒቶርክ ቤተ መጻሕፍት ጥቃት ደረሰበት በፊት.

"በፍጥነት ተገኝቷል፣ ይፋ ተደርጓል እና ተወግዷል።"  አዲስ ተንኮል አዘል አካል ከሕዝብ መዝገብ ላይ እስኪወገድ ድረስ ቀናት ይወስዳል። መዝገቦች የክፍል ስሪትን ለማስወገድ ጥንቃቄ ያደርጋሉ፣ ለበጎ። የእኛ ልምድ አንድ ጊዜ ከእኛ ወገን ሪፖርት ከተደረገ በኋላ፣ መዝገቡ የተጎዳውን ስሪት ለማስወገድ አማካይ ጊዜ 39 ሰዓታት ነው፣ ከአንድ ቀን ተኩል በላይ። ከመወገዱ በፊት በመዝገቡ ውስጥ የመጀመሪያውን ሪፖርት ካደረግን ከአንድ ሳምንት በኋላ የሚቆዩ ተንኮል አዘል ክፍሎች አሉ። እና በአንዳንድ ሁኔታዎች፣ ክፍሉ የሚወገደው ተጎጂ ወይም የአደጋ ምላሽ ሰጪ ኩባንያ ክፍሉን የሚያካትት ክስተት ሪፖርት ካደረገ በኋላ ብቻ ነው። 

በተንኮል አዘል ክፍሎች ላይ የማይሰራው ምንድን ነው?

ማንኛውም የተለየ አካሄድ በክፉ ይከሽፋል። ይህ እርግጠኛ ነው፣ ከዚህ ስጋት ጋር ተያይዞ ለሚመጣው አደጋ ውጤታማ የመከላከያ እርምጃዎችን እየሰጡ አይደለም። 

ባህላዊ SCA መሳሪያዎች ስለታወቁ ማልዌር ይነግሩዎታል ነገር ግን ትልቅ የመጋለጥ መስኮት አላቸው። ተንኮል አዘል ክፍሎችን በግዳጅ በማገድ ማልዌርን በንቃት ካላወቁ በስተቀር፣ ይህንን ስጋት አይቋቋሙም። 

የመጫኛ ስክሪፕቶችን ማሰናከል ሊረዳ ይችላል ነገር ግን አንድ አካል መጫን በሚያስፈልግበት ቦታ ሁሉ መተግበር አለበት። ልክ እንደ ስሪት ፒንኒንግ፣ ስሪቶች ከአስተማማኝ የመጀመሪያ ሁኔታ ለዘላለም ሊሰኩ እንደማይችሉ ሁሉ።

ታዋቂ አካላት በቂ ትኩረት ስለሚያገኙ እና ምንም አይነት ጉዳት እንዳይደርስባቸው ወዲያውኑ ሳይታወቅ በአቅርቦት ሰንሰለት ጥቃት ውስጥ ያልተፈለገ ባህሪ እንዳያገኙ ማድረግ እንደማይቻል መገመት ሞኝነት እና አደገኛ ነው። በጫፍ ላይ መኖር አትፈልግም፣ አይደል?

በዚህ ነጥብ ላይ ካቆምክ፣ የአደጋ ተቀባይነት ማድረግ የምትችለው ብቸኛው ነገር ይህ ነው፡ ይህ ዴ ነውcisበስጋት ሞዴልዎ/አደጋ ግምገማዎ ውስጥ መመዘገብ ያለበት ክስ፣ ይህም አደጋውን ለመቀበል ምክንያት እና ሊያስከትል የሚችለውን አንድምታ ጨምሮ። ለአስተዳደር እና ለሌሎች ተዛማጅ አካላት በማስተላለፍ ግንዛቤን ያሳድጉ። ተከላካይነት ተንኮል አዘል አካል ሲጫን ወይም በሶፍትዌርዎ ውስጥ ሲካተት ሊታቀድ ይችላል፣ ነገር ግን ይህ ከባድ ነው ምክንያቱም አጥቂዎች የሚከተሏቸው ብዙ መንገዶች ስላሏቸው። ተንኮል አዘል አካልን በመጠቀም ላይ የተመሰረተ የአቅርቦት ሰንሰለት ጥቃት ዝርዝር ሁኔታውን በይፋ ይፋ ማድረግን በእጅጉ ይለውጠዋል፣ ይህም ምናልባት በድርጅትዎ የቁጥጥር ማዕቀፍ መሠረት ግዴታ ነው። እንዲሁም ሊመልሱት ይችላሉ። የማካካሻ መቆጣጠሪያዎች or የዝውውር አደጋ ለምሳሌ ከኢንሹራንስ ጋር።

ሆኖም ግን፣ ስጋቱን የሚያስተካክሉ ቁጥጥሮች አሉ እና በአደጋ ተቀባይነት ካልረኩ ግምት ውስጥ መግባት አለባቸው። እባክዎ ያንብቡ።

ተንኮል አዘል ክፍሎችን በመጠቀም የሚሰነዘሩ ጥቃቶችን ለመከላከል ምን ይሰራል?

ጠንካራ የስሪት አያያዝ

የተቆጣጠሩ እና በመረጃ ላይ የተመሰረቱ የስሪት እብጠቶችን በመጠቀም የስሪት መሰካት ዋናው መንገድ ተንኮል አዘል ዌር ሳይቀበሉ ተጋላጭነቶችን የማስወገድ አስፈላጊነትን ማመጣጠን ነው። ነገር ግን የተሳሳተ ግንዛቤ #3፡ የስሪት መሰካት ብቻውን ከአዳዲስ ስሪቶች የሚመጡ ተንኮል አዘል ኮዶችን ለማገድ በቂ አይደለም፣ ምክንያቱም ወደፊት በማንኛውም ቀጥተኛ ወይም ቀጥተኛ ያልሆነ ጥገኝነት ስሪቶችን ማዘመን ያስፈልግዎታል። በዚያን ጊዜ ሁሉም የተሻሻሉ ስሪቶች ተንኮል አዘል ዌር እንደሌላቸው በቂ ማስረጃ ያስፈልግዎታል።

ቅድመ ማስጠንቀቂያ

የተንኮል አዘል አካላትን ችግር ለመፍታት አንዱ አቀራረብ የቅድመ ማስጠንቀቂያ ስርዓት ነው (እዚህ የተሰየመው እንደ የማልዌር ቅድመ ማስጠንቀቂያ ወይም MEW)፣ አዲስ የታተሙ ስሪቶች (ለአዳዲስ ወይም ለነባር ክፍሎች) በፍተሻ ሞተር የሚተነተኑበት፣ በቂ ማስረጃ ሲገኝ አዲሱን ስሪት እንደ ተንኮል አዘል ሊሆን እንደሚችል ሊመድበው ይችላል። 

አውቶሜሽን እዚህ ላይ አስፈላጊ ነው፣ ምክንያቱም ሁሉንም አዳዲስ ክፍሎች በአሁኑ የህትመት ፍጥነት በእጅ መገምገም አይቻልም። ስለዚህ የፍተሻ ሞተሩ የተለያዩ ቴክኒኮችን ማዋሃድ አለበት፣ ምናልባትም የማይንቀሳቀስ፣ ተለዋዋጭ እና የአቅም ትንተና፣ የተጠቃሚ ዝና እና በክፍል ሜታዳታ እና በታርቦል ይዘቶች መካከል ካለው ልዩነት የሚመጡ ማስረጃዎችን ወይም ክፍሉ ከሚመጣበት ታርቦል እና በምንጭ ማከማቻ መካከል ያሉ።

አሉ ነው ጨለማ ዞን በማተሚያ ጊዜ እና ሞተሩ የክፍሉን ይዘቶች በሚተነትንበት ጊዜ መካከል፣ ነገር ግን ከጥቂት ደቂቃዎች በላይ መብለጥ የለበትም። እቅዱ ሊሻሻል ይችላል፣ ለምሳሌ አዲስ ክፍሎች እንዲጫኑ እና በሶፍትዌሩ ግንባታ ውስጥ ጥቅም ላይ እንዲውሉ ከመፍቀዳቸው በፊት እስኪተነተኑ ድረስ በመጠበቅ። pipelineዎች፣ ወይም አስፈላጊ በሚሆንበት ጊዜ በፍላጎት ይተነትኗቸው። በተሰጠው ስሪት ላይ ያለ አካል የማይለወጥ ነው። [3]ስለዚህ አንድ ጊዜ ብቻ መተንተን ያስፈልገዋል።