ለገንቢዎች የሶስተኛ ወገን የአደጋ አስተዳደር ሶፍትዌር

2. የሶስተኛ ወገን ሻጭ የአደጋ አስተዳደር ሶፍትዌር በኮድዎ ውስጥ ያለውን ማየት የማይችለው ለምንድን ነው?

በባህላዊ መልኩ፣ የሶስተኛ ወገን አደጋ ማለት የሻጭ አደጋ ማለት ነው። መጠይቅ ይልካሉ፣ የምስክር ወረቀቶችን ያረጋግጡ፣ ምናልባት ፈጣን ኦዲት ያደርጉ እና ይቀጥሉ። ሆኖም፣ ሶፍትዌሩ ከእንግዲህ በዚያ መንገድ አይሰራም።

ዛሬ፣ የእርስዎ የኮድቤዝ ፓኬጆችን ከሚከተሉት ውስጥ ይሳባል ጥዋት, ፒ ፒ አይ, Maven, Docker ማዕከልእና ሌሎችም። እነዚህ እርስዎ የሚያዋዋሏቸው ሻጮች አይደሉም፣ የማያውቁዋቸው አስተዋጽዖ አበርካቾች ናቸው። አንዳንዶቹ ወሳኝ ጥገኞችን ይይዛሉ፣ ሌሎች ደግሞ ኮዳቸውን ለዓመታት አላዘመኑም። እና አልፎ አልፎ፣ አንድ ሰው እንደ ጠቃሚ ሞጁል ተደብቆ ማልዌር ይሰቅላል።

በዚህም ምክንያት፣ እነዚህ “የማይታዩ አቅራቢዎች” እያደገ የመጣ የጥቃት ገጽታን ይወክላሉ። የሚከተሉትን ሊያስተዋውቁ ይችላሉ፡

• ወሳኝ ተጋላጭነቶች
• ተኳሃኝ ያልሆኑ ወይም አደገኛ ፈቃዶች (GPL፣ AGPL፣ SSPL…)
• ምንም የወደፊት ዝማኔዎች ሳይኖሩባቸው የተተዉ ፓኬጆች
• ትሮጃን የተባሉ ጥገኝነቶች ወይም የተደበቁ የክፍያ ጭነቶች

በዚህ መሠረት፣ በባህላዊ የሶስተኛ ወገን አቅራቢ የአደጋ አስተዳደር ሶፍትዌር ላይ ብቻ መተማመን ቀድሞውኑ በእርስዎ ውስጥ ከተቀመጡ ስጋቶች አይጠብቅዎትም። pipelineየሶስተኛ ወገን የአደጋ ስትራቴጂዎ የክፍል ደረጃ ቅኝትን የማያካትት ከሆነ፣ ዓይነ ስውር ቦታን ክፍት እያደረጉ ነው።

በተጨማሪም, ተገዢነት ማዕቀፎች እንደ DORA እና NIS2 ያሉ የሶስተኛ ወገን አገልግሎቶችን እርስዎ በሚያስተዳድሩበት መንገድ የሶስተኛ ወገን ኮድን እንዲያስተዳድሩ ይጠብቃሉ። ይህም የፈቃድ አስተዳደርን፣ የሶፍትዌር አመጣጥን እና ንቁ የተጋላጭነት ቅነሳን ያካትታል።

የሶስተኛ ወገን የአደጋ አስተዳደር መድረክ ችሎታዎች በእርግጥ ምን ያህል አስፈላጊ ናቸው

የሶስተኛ ወገን የአደጋ አስተዳደር መሣሪያዎ ሻጮችን ብቻ የሚከታተል ከሆነ፣ እውነተኛውን ችግር ይጎድለዋል። ገንቢዎች አሁን ከመቼውም ጊዜ በበለጠ ያልተጣራ ኮድ ከፓኬጆች፣ ኮንቴይነሮች፣ ስክሪፕቶች እና CI/CD ተሰኪዎች። ስለዚህ፣ የሚልኩት ሶፍትዌር ብዙውን ጊዜ ያልገነቡት፣ ያልገመገሙት ወይም ያላረጋገጡት በመቶዎች የሚቆጠሩ የሶስተኛ ወገን ክፍሎችን ይይዛል።

ይህንን አደጋ በአግባቡ ለማስተዳደር፣ ዘመናዊ የሶስተኛ ወገን የአደጋ አስተዳደር ሶፍትዌር አዲስ ማሟላት አለበት standard እና፣ ትክክለኛዎቹ አደጋዎች በሚኖሩበት ደረጃ ላይ መስራት አለበት፡ በኮድ ቤዝዎ እና pipelines.

በተለይም፣ ትክክለኛው መፍትሔ ምን ማቅረብ እንዳለበት እነሆ፡

SBOMበሶስተኛ ወገን የአደጋ አስተዳደር መድረክ ውስጥ ታይነት እና

ማየት የማትችለውን ነገር ደህንነት መጠበቅ አትችልም። መድረክህ ሁሉንም የሶስተኛ ወገን አካላት መለየት አለበት፣ ይህም የሽግግር ጥገኝነቶችን እና የስርዓት ደረጃ ፓኬጆችን ጨምሮ። የተሟላ እና ቀጣይነት ያለው የዘመነ የሶፍትዌር ቁሳቁሶች ቢል (SBOM) ከአሁን በኋላ አማራጭ አይደለም፣ እንደ DORA፣ NIS2 እና Executive Order 14028 ባሉ ማዕቀፎች የሚፈለግ ነው።

የፈቃድ ስጋት መለየት እና አስተዳደር

የፈቃድ ጥሰቶች ክሶችን ሊያስከትሉ ወይም አጠቃላይ ክምርዎን ክፍት ምንጭ እንዲያደርጉ ሊያስገድዱዎት ይችላሉ። መሳሪያዎችዎ የሚከተሉትን ማድረግ አለባቸው፡ ከፍተኛ አደጋ ያላቸውን ፈቃዶችን ያግኙ (እንደ AGPL ወይም SSPL ያሉ)፣ ብጁ መመሪያዎችን ተግባራዊ ማድረግ፣ እና የማይታወቁ ወይም እርስ በርስ የሚጋጩ የፈቃድ አይነቶች ምርት ላይ ከመድረሳቸው በፊት መያዝ።

የጥገና እና የእርጅና ማንቂያዎች

ጊዜ ያለፈባቸው ቤተ-መጻሕፍት ብዙውን ጊዜ ተጋላጭ ናቸው፣ ያልተስተካከሉ እና ጥገና የሌላቸው ናቸው። አንድ አካል ለዓመታት ካልተዘመነ ወይም አስተናጋጁ ሲጠፋ የእርስዎ መድረክ ማሳወቅ አለበት። ይህ የቴክኒክ ዕዳ ወደ ደህንነት ዕዳ እንዳይለወጥ ይከላከላል።

በእውነተኛ ጊዜ የማልዌር እና የአቅርቦት ሰንሰለት ስጋት መለየት

ተንኮል አዘል ፓኬጆች የኦዲት ግምገማዎችን አይጠብቁም። እነሱ እንዲዋሃዱ እና በጸጥታ እንዲነቃቁ የተነደፉ ናቸው። ለዚህም ነው የአደጋ አስተዳደር መድረክዎ ማንኛውም ነገር ከአካባቢዎ ከመድረሱ በፊት ትሮጃኖችን፣ የኋላ በሮችን፣ የፊደል አጻጻፍ ስህተቶችን እና አጠራጣሪ ስክሪፕቶችን በእውነተኛ ጊዜ መቃኘት ማካተት ያለበት።

አብሮገነብ ተደራሽነት እና ቅድሚያ መስጠት

500 የማይበገሩ ተጋላጭነቶች ያሏቸው ገንቢዎችን ማጥለቅለቅ ደህንነትን አያሻሽልም። በምትኩ፣ ጫጫታ ይፈጥራል፣ እርምጃን ያዘገያል እና ጊዜን ያባክናል። ስለዚህ፣ ጠቃሚ መድረክ ከዚህ በላይ መሄድ አለበት። በመተግበሪያዎ ውስጥ በትክክል ሊደረስበት የሚችል እና ሊበዘበዝ የሚችል ነገር ማሳየት አለበት። በተጨማሪም፣ በንግድ ተጽዕኖ ላይ ተመስርተው ጉዳዮችን ቅድሚያ መስጠት እና እውነተኛ አደጋዎችን ሳይደብቅ የንቃት ድካምን መቀነስ አለበት።