የሶፍትዌር አቅርቦት ሰንሰለት የህይወት ዑደት ከምንጭ ኮድ ወደ ተፈጻሚ ቅርሶች እየገፋ ሲሄድ፣ የግንባታ ደረጃው ወሳኝ መጋጠሚያ ሆኖ ይቆማል። ሆኖም፣ ይህ የለውጥ ምዕራፍ የሶፍትዌርን ታማኝነት እና build securityእነዚህ ስጋቶች በተለያዩ ዘዴዎች የግንባታ ሂደቱን ሰርገው ሊገቡ ይችላሉ፣ ይህም የተቋቋመውን ማለፍን ጨምሮ CI/CD pipelineየኮድ ድህረ-ምንጭ ቁጥጥርን ማሻሻል፣ የግንባታ ሂደቱን ራሱ ማበላሸት ወይም የቅርስ ማከማቻዎችን ማዛባት። በዚህ የብሎግ ልጥፍ ውስጥ፣ እነዚህን ስጋቶች በጥልቀት እንመረምራለን እና በጣም የተለመዱ የሶፍትዌር አቅርቦት ሰንሰለት ግንባታ ጥቃቶችን እንመረምራለን። ይህ ይዘት የብሎግ ተከታታዮቻችንን ማሰስ ይቀጥላል software supply chain security በመላው SDLC.
በሶፍትዌር ልማት የህይወት ዑደት ውስጥ የግንባታ ደረጃ
የሶፍትዌር አቅርቦት ሰንሰለት የህይወት ዑደት የግንባታ ደረጃ የምንጭ ኮድን ወደ ተፈጻሚ የሶፍትዌር ቅርሶች የመቀየር ሂደትን ያካትታል። ይህ ደረጃ የምንጭ ኮዱን ማጠናቀር፣ ማገናኘት እና ማሸግ እንዲሁም የመጫኛ ፓኬጆችን እና የውቅር ፋይሎችን ማመንጨትን ያካትታል።
Build security ስጋቶች የምንጭ ኮዱን ሳይቀይሩ በግንባታ ሂደቱ ወቅት በሶፍትዌሩ ላይ ያልተፈቀዱ ለውጦችን እንዲያስተዋውቅ የሚያስችሉ ተጋላጭነቶች ናቸው። እነዚህ ስጋቶች በተለያዩ ዘዴዎች ሊገቡ ይችላሉ፣ ለምሳሌ የግንባታ አካባቢን ማበላሸት ወይም በግንባታ መሳሪያዎች ውስጥ ያሉ ተጋላጭነቶችን መጠቀም።
በጣም የተለመዱ የሶፍትዌር አቅርቦት ሰንሰለት ስጋቶች - የግንባታ ጥቃቶች
በመሻገር CI/CD
ይህ የሚያመለክተው የተቋቋሙትን የማለፍ ልማድን ነው CI/CD (ቀጣይነት ያለው ውህደት እና ቀጣይነት ያለው አቅርቦት) pipeline በተለምዶ በባለስልጣኑ የሚተገበሩ ጥብቅ የፈተና፣ የማረጋገጫ እና የኦዲት ሂደቶችን ሳያካሂዱ ሶፍትዌርን በቀጥታ መገንባት እና ማተም pipelineይህ ሶፍትዌሩን ከሶፍትዌሩ ውጪ በእጅ በመገንባት ሊከናወን ይችላል CI/CD አካባቢን ወይም በግንባታ ሂደቱ ላይ ያልተፈቀዱ ማሻሻያዎችን የሚፈቅዱ መሳሪያዎችን ወይም ስክሪፕቶችን በመጠቀም። የዚህ አይነት የቬክተር ጥቃት ምሳሌ የሚከተለው ነበር የጄንኪንስ ጥቃትእ.ኤ.አ. በ2022፣ ጠላፊዎች ወደ ግንባታው ሰርገው ገብተዋል pipeline ጄንኪንስ የተባለ ታዋቂ ክፍት ምንጭ ሶፍትዌር ፕሮጀክት። ጠላፊዎቹ ተንኮል አዘል ኮድን ወደ ጄንኪንስ ፋይል ውስጥ አስገብተዋል፣ ይህም የግንባታ ሂደቱን የሚገልጽ ስክሪፕት ነው። ተንኮል አዘል ኮዱ ጠላፊዎቹ እንዲያልፉ አስችሏቸዋል። CI/CD pipelineየደህንነት ፍተሻዎችን ያደርጋል እና ኮዳቸውን በግንባታ ሂደቱ ውስጥ ያስገቡ። ይህ ኮድ ሶፍትዌሩን የጫኑ ድርጅቶች ስርዓቶች ላይ ይፈጸማል።
ከምንጭ ቁጥጥር በኋላ ኮድ ቀይር
ይህ አሰራር ከምንጭ ኮድ በኋላ ያልተፈቀደ ለውጥ ማድረግን ያካትታል commitወደ ታማኝ የምንጭ መቆጣጠሪያ ስርዓት (SCS) ተመድቧል እና ከዚያም ይህንን የተሻሻለ ኮድ በመጠቀም ሶፍትዌሩን መገንባት። ይህ በገንቢው የስራ ጣቢያ ላይ ያለውን ኮድ በቀጥታ በማሻሻል ወይም ተንኮል አዘል ኮድ ወደ ግንባታ ሂደቱ ለማስገባት ውጫዊ መሳሪያዎችን ወይም ስክሪፕቶችን በመጠቀም ሊከናወን ይችላል። የዚህ የቬክተር ጥቃት ምሳሌ በ2022 የጊትላብ ጥቃት ነበር። ጠላፊዎች ወደ ግንባታው ሰርገው ገብተዋል። pipeline of GitLabጠላፊዎቹ ተንኮል አዘል ኮድ ወደ GitLab አስገብተዋል CI/CD pipeline, ይህም በራስ-ሰር የሚሰራ መሳሪያ ነው build security ሂደት። ተንኮል አዘል ኮዱ ወደ ምንጭ ቁጥጥር ከተደረገ በኋላ ጠላፊዎቹ ኮዱን እንዲቀይሩት አስችሏቸዋል። ይህም ኮዳቸውን ወደ ሶፍትዌሩ እንዲገቡ አስችሏቸዋል፣ ከዚያም ሶፍትዌሩን በጫኑ ድርጅቶች ስርዓቶች ላይ ተፈፃሚ ሆነ።
የስምምነት ግንባታ ሂደት
ይህ የግንባታ ሂደቱን በቀጥታ ወደ ግንባታ አካባቢ በመድረስ ወይም በግንባታ መሳሪያዎች ወይም በሶስተኛ ወገን ጥገኝነት ተጋላጭነቶችን በመጠቀም ማዛባትን ወይም መቀየርን ያካትታል። ይህ በግንባታ ውፅዓት ውስጥ ተንኮል አዘል ኮድን ለማስተዋወቅ፣ የግንባታ አመጣጥን ለማዛባት ወይም የግንባታ ሂደቱን ሙሉ በሙሉ ለማደናቀፍ ሊደረግ ይችላል። የዚህ የቬክተር ጥቃት በጣም ታዋቂው ምሳሌ ይህ ነበር SolarWinds ጥቃት. አንድ አጥቂ የሶላርዊንድስን የግንባታ መድረክ ያልተፈቀደ መዳረሻ አግኝቷል፣ ይህም የሶላርዊንድስ ኦሪዮን ሶፍትዌርን ለማጠናቀር እና ለማሸግ የሚያገለግል ስርዓት ነው። ይህ ስክሪፕት ተንኮል አዘል ኮድ በተጠናቀረው የሶላርዊንድስ ኦሪዮን ሶፍትዌር ውስጥ አስገብቷል። ተጠቃሚዎች የተጎዳውን ሶፍትዌር ሲጭኑ፣ ተንኮል አዘል ኮድ በስርዓቶቻቸው ላይ ተፈጽሟል፣ ይህም አጥቂው ያልተፈቀደለት ወደ ስርዓቶቻቸው መዳረሻ ሰጥቷል። አጥቂው ከስርዓቶቻቸው እንደ ማስረጃዎች፣ የአእምሯዊ ንብረት እና የደንበኛ መረጃ ያሉ ሚስጥራዊ መረጃዎችን መስረቅ ችሏል።
የኮምፕሮሚዝ የቅርስ ማከማቻ
ይህ የሚያመለክተው ያልተፈቀደ የቅሪተ አካል ማከማቻ መዳረሻ ወይም ማዛባትን ሲሆን የሶፍትዌር ፓኬጆች እና ባይነሪዎች ለውስጣዊ ወይም ውጫዊ ተጠቃሚዎች ለማሰራጨት ይከማቻሉ። አጥቂዎች ይህንን ተጋላጭነት ተጠቅመው ተንኮል አዘል ኮድ ሊያስተዋውቁ፣ የሶፍትዌሩን ትክክለኛነት ሊያዛቡ ወይም የማሰማራት ሂደቱን ሊያስተጓጉሉ ይችላሉ። የዚህ የቬክተር ጥቃት ምሳሌ ሩቢጌምስ በ2022.ጠላፊዎች የሩቢጌምስን ቅርስ ማከማቻ ሰርገው ገቡ። ጠላፊዎቹ አንድን ህጋዊ ቅርስ በተንኮል ተክተውታል፣ ከዚያም በሺዎች የሚቆጠሩ ሶፍትዌሮችን በRuby on Rails ያወርዳሉ። ይህ ተንኮል አዘል ቅርስ ጠላፊዎቹ ሶፍትዌሩን የጫኑ ድርጅቶች ስርዓቶች ላይ የዘፈቀደ ኮድ እንዲፈጽሙ አስችሏቸዋል። ይህ ምናልባት ውሂብ እንዲሰርቁ፣ ማልዌር እንዲጭኑ ወይም ስራዎችን እንዲያስተጓጉሉ ያስችላቸዋል።
የመጨረሻ ማሳሰቢያዎች
ድርጅቶች በራስ-ሰርነት እና ቀጣይነት ባለው አቅርቦት ላይ አፅንዖት የሚሰጡ የሶፍትዌር ልማት ልምዶችን መቀበላቸውን ሲቀጥሉ፣ የሶፍትዌር ግንባታ ሂደቱን የማስጠበቅ አስፈላጊነት ከዚህ የበለጠ ሆኖ አያውቅም። በግንባታ ደረጃው በሙሉ ጠንካራ የደህንነት እርምጃዎችን በመተግበር፣ ድርጅቶች የሶፍትዌርቸውን ታማኝነት እና ደህንነት አደጋ ላይ ሊጥሉ ለሚችሉ ተንኮል አዘል ጥቃቶች የመጋለጥ እድላቸውን በእጅጉ ሊቀንሱ ይችላሉ።
በዚህ የብሎግ ልጥፍ ላይ የተዘረዘሩት ስልቶች እና የቀረቡት ምሳሌዎች የግንባታ ደረጃው በሶፍትዌር አቅርቦት ሰንሰለት ውስጥ ተጋላጭነት ያለው ነጥብ መሆኑን ለማስታወስ ያገለግላሉ። ድርጅቶች እነዚህን ስጋቶች በጥንቃቄ መከታተል እና ሶፍትዌሮቻቸውን ከጥቃት ለመጠበቅ አስፈላጊውን የደህንነት እርምጃዎችን መተግበር አለባቸው። ይህን በማድረግ፣ ለተጠቃሚዎቻቸው እና ለደንበኞቻቸው የሶፍትዌራቸውን ታማኝነት፣ ደህንነት እና አስተማማኝነት ማረጋገጥ ይችላሉ።
ደህንነቱ የተጠበቀ የሶፍትዌር ሥነ-ምህዳር ለማግኘት ጉዞአችንን ይቀላቀሉ
የሶፍትዌር አቅርቦት ሰንሰለት ስጋቶችን በማስወገድ ረገድ ከዚህ ቀዳሚ ለመሆን ይህንን እድል እንዳያመልጥዎት። ዛሬውኑ ጦማራችንን ይመዝገቡ እና የቅርብ ጊዜ ግንዛቤዎቻችንን ለመቀበል የመጀመሪያው ይሁኑ፣ ድርጅትዎ በዝግመተ ለውጥ ስጋቶች መካከል ጠንካራ እና ደህንነቱ የተጠበቀ ሆኖ እንዲቀጥል ያረጋግጡ። አብረን፣ ለሁሉም የበለጠ ጠንካራ እና ደህንነቱ የተጠበቀ የሶፍትዌር ሥነ-ምህዳር መገንባት እንችላለን።
የቪዲዮ ማሳያችንን ይመልከቱ
