ডিপেন্ডেন্সি ফায়ারওয়াল বলতে কী বোঝায়?

পাঁচজন ডেভেলপারকে জিজ্ঞাসা করুন ডিপেন্ডেন্সি ফায়ারওয়াল কী, এবং আপনি সম্ভবত পাঁচটি ভিন্ন ভিন্ন অসম্পূর্ণ উত্তর পাবেন, যা সাধারণত “ক্ষতিকর প্যাকেজ ব্লক করা” সম্পর্কিত কোনো অস্পষ্ট বিষয়।cisই সংস্করণ: এটি একটি নিরাপত্তা নিয়ন্ত্রণ ব্যবস্থা যা একজন ডেভেলপার (বা একটি বিল্ড সিস্টেম) এবং একটি পাবলিক প্যাকেজ রেজিস্ট্রির মধ্যে অবস্থান করে। প্রতিটি নির্ভরতা পরিদর্শন করা ডাউনলোড বা ইনস্টল করার অনুমতি দেওয়ার আগেই, এবং যদি এটি ক্ষতিকারক, ঝুঁকিপূর্ণ বা নীতি-লঙ্ঘনকারী হয় তবে স্বয়ংক্রিয়ভাবে এটিকে ব্লক করে দেওয়া। ডিপেন্ডেন্সি ফায়ারওয়ালের বাস্তব অর্থ এটাই: এটি এমন কোনো স্ক্যানার নয় যা ঘটনা ঘটে যাওয়ার পরে সমস্যা রিপোর্ট করে, বরং এটি একটি গেট যা কোনো খারাপ প্যাকেজকে ডিস্কে পৌঁছানোর আগেই থামিয়ে দেয়।

পরিভাষাটির ব্যাখ্যা: ডিপেন্ডেন্সি ফায়ারওয়ালের অর্থ #

নামটি প্রথম শ্রবণে যতটা আক্ষরিক মনে হয়, তার চেয়েও বেশি অর্থবহ, এবং এর বিশদ ব্যাখ্যা করলে ডিপেন্ডেন্সি ফায়ারওয়াল কী, তা নিয়ে থাকা বেশিরভাগ বিভ্রান্তি দূর হয়ে যায়:

নির্ভরতা: আপনার কোড npm থেকে যে কোনো বাহ্যিক প্যাকেজ, লাইব্রেরি বা মডিউল নিয়ে আসে, PyPI, ম্যাভেন, নিউগেট, রুবিগেমসএবং অনুরূপ রেজিস্ট্রিসমূহ।

ফায়ারওয়াল: নেটওয়ার্ক নিরাপত্তা থেকে এই ধারণাটি নেওয়া হয়েছে, যেখানে একটি ফায়ারওয়াল ট্র্যাফিক পরীক্ষা করে এবং যা যাওয়া উচিত নয় তা ব্লক করে দেয়। এটি নেটওয়ার্ক প্যাকেটের পরিবর্তে প্যাকেজ ইনস্টলের ক্ষেত্রেও সেই একই পরীক্ষা-ওপর-ব্লক করার নীতি প্রয়োগ করে।

সব মিলিয়ে, ডিপেন্ডেন্সি ফায়ারওয়ালের অর্থটি বেশ সহজবোধ্য: এটি কোড ডিপেন্ডেন্সিগুলোর জন্য একটি চেকপয়েন্ট, ঠিক যেমন একটি নেটওয়ার্ক ফায়ারওয়াল নেটওয়ার্ক ট্র্যাফিকের জন্য একটি চেকপয়েন্ট হিসেবে কাজ করে।

একটি ডিপেন্ডেন্সি ফায়ারওয়াল আসলে কীভাবে কাজ করে #

অধিকাংশ বাস্তবায়ন, যা একটি ডিপেন্ডেন্সি ফায়ারওয়ালের শর্ত পূরণ করে, একটি অনুরূপ অনুক্রম অনুসরণ করে:

• আটক: যন্ত্রটি hooks ইনস্টল ধাপে (npm install, pip install, এবং এর সমতুল্য) অথবা রেজিস্ট্রি প্রক্সি লেয়ারে, যাতে প্যাকেজটি ইনস্টল হওয়ার আগেই অনুরোধটি দেখা যায়।
• মূল্যায়ন: অনুরোধকৃত প্যাকেজ এবং সংস্করণটি পরিচিত ক্ষতিকর সূচক, দুর্বলতা ডেটাবেস, লাইসেন্স নীতি এবং আচরণগত সংকেতের (সন্দেহজনক ইনস্টল স্ক্রিপ্ট, রক্ষণাবেক্ষণকারীর অস্বাভাবিক কার্যকলাপ, ইতিহাসবিহীন নতুন প্রকাশিত প্যাকেজ) সাথে মিলিয়ে যাচাই করা হয়।
• Decisআয়ন: এর তীব্রতা এবং প্রতিষ্ঠানের নীতির উপর নির্ভর করে, ইনস্টলেশনটি হয় স্বাভাবিকভাবে সম্পন্ন হয়, পর্যালোচনার জন্য চিহ্নিত হয়, অথবা সরাসরি ব্লক হয়ে যায়।
• লগিং: প্রতিটি ডিcisকার্যকলাপ রেকর্ড করা হয়, যা নিরাপত্তা দলগুলোকে কী চেষ্টা করা হয়েছিল এবং কী থামানো হয়েছিল তার একটি নিরীক্ষা বিবরণ প্রদান করে।

ফায়ারওয়াল বনাম স্ক্যানার: আসল পার্থক্যটি কোথায় #

প্রম্পট ইনজেকশন কী, এই প্রশ্নের একটি সাধারণ পরবর্তী প্রশ্ন হলো এটি জেলব্রেকিং থেকে কীভাবে আলাদা। এই দুটির মধ্যে মিল থাকলেও, এগুলো হুবহু এক নয়। জেলব্রেকিং বিশেষভাবে কোনো মডেলের ডিপেন্ডেন্সি ফায়ারওয়ালকে বাইপাস করার একটি পদ্ধতি। ডিপেন্ডেন্সি ফায়ারওয়াল কী, তা নিয়ে যখন মানুষ অনুসন্ধান করে, তখন একটি সাধারণ বিভ্রান্তির বিষয় হলো এটি একটি সাধারণ ফায়ারওয়াল থেকে কীভাবে আলাদা। standard সফটওয়্যার গঠন বিশ্লেষণ (SCAস্ক্যানার। পার্থক্যটা হলো সময়, সক্ষমতা নয়। SCA স্ক্যানার সাধারণত নির্ভরতাগুলি ইনস্টল হয়ে যাওয়ার পরেই চলে অথবা commitআপনার কোডবেসে আগে থেকেই কী আছে, তা আপনাকে জানিয়ে দেয়। একটি ডিপেন্ডেন্সি ফায়ারওয়াল ইনস্টলের মুহূর্তে চলে, প্যাকেজটি ডিস্কে আসার আগেই। একটি হলো আগুন লাগার পর চালু হওয়া স্মোক ডিটেক্টর; অন্যটি হলো সেই দরজা যা আগুনকে ভেতরে ঢুকতে দেয় না। অনেক উন্নত নিরাপত্তা প্রোগ্রাম উভয়ই চালায়: প্রতিরোধের জন্য একটি ডিপেন্ডেন্সি ফায়ারওয়াল, এবং SCA ইতিমধ্যে যা আছে তার উপর চলমান দৃশ্যমানতার জন্য

দলগুলো আসলে এটি কোথায় স্থাপন করে #

বিমূর্তভাবে ডিপেন্ডেন্সি ফায়ারওয়ালের অর্থ বোঝা এক জিনিস; আর বাস্তবে এটি কোথায় যুক্ত হয় তা দেখা। pipeline আরেকটি হলো। সাধারণ স্থাপন স্থানগুলোর মধ্যে রয়েছে:

• ডেভেলপার ওয়ার্কস্টেশন: কোনো ডেভেলপার স্থানীয়ভাবে ইনস্টল কমান্ড চালানোর মুহূর্তেই একটি ক্ষতিকারক প্যাকেজকে ব্লক করা, যাতে এটি কোনো শেয়ার্ড রিপোজিটরিতে পৌঁছানোর আগেই তা করা যায়।
• CI/CD pipelinesপ্রতিটি বিল্ডে স্বয়ংক্রিয়ভাবে একই নীতি প্রয়োগ করা হয়, ফলে কোনো অবরুদ্ধ প্যাকেজ এমন কোনো স্বয়ংক্রিয় কাজের মাধ্যমে গোপনে ঢুকে পড়তে পারে না, যা কোনো মানুষ কখনো পর্যবেক্ষণ করে না।
• ব্যক্তিগত রেজিস্ট্রি প্রক্সি: কোম্পানির অভ্যন্তরীণ প্যাকেজ মিররের সামনে বসে থাকা, যাতে প্রতিটি অনুরোধ, তা মানবিক হোক বা স্বয়ংক্রিয়, একই চেকপয়েন্টের মধ্য দিয়ে যায়।
• এআই কোডিং এজেন্ট: স্বায়ত্তশাসিত এজেন্টরা নিজেরাই ডিপেন্ডেন্সি ইনস্টল করার কারণে এর প্রাসঙ্গিকতা ক্রমশ বাড়ছে; যখন কোনো ডেভেলপার সন্দেহজনক প্যাকেজের নাম লক্ষ্য করার জন্য উপস্থিত থাকেন না, তখনও ডিপেন্ডেন্সি ফায়ারওয়াল হলো সেই অল্প কয়েকটি নিয়ন্ত্রণের মধ্যে একটি যা কার্যকর থাকে।

কেন এই নিয়ন্ত্রণ আগের চেয়ে বেশি গুরুত্বপূর্ণ #

কয়েক বছর আগে, এই বিষয়টি মূলত তাত্ত্বিক ছিল: ক্ষতিকারক প্যাকেজ ছিল, কিন্তু সেগুলো এতটাই বিরল ছিল যে ম্যানুয়াল পর্যালোচনার মাধ্যমে সেগুলোর বেশিরভাগই ধরা পড়ত। এখন আর তা সত্যি নয়। পাবলিক রেজিস্ট্রিগুলোতে এখন বিপুল পরিমাণে, স্বয়ংক্রিয় প্রকাশনা প্রচারাভিযান, কেউ কেউ মিনিটের মধ্যেই কয়েক ডজন ক্ষতিকর প্যাকেজের সংস্করণ ছড়িয়ে দেয়, যা বিশেষভাবে তৈরি করা হয়েছে ম্যানুয়াল পর্যালোচনাকে ফাঁকি দিতে এবং পরিচিত নামের ওপর আস্থা রাখা ডেভেলপারদের চোখ এড়িয়ে যাওয়ার জন্য। এই পরিবেশে, ‘ডিপেন্ডেন্সি ফায়ারওয়াল’ কী, এই প্রশ্নটি আর সংজ্ঞাগত প্রশ্ন থাকে না।cisএবং এটি একটি বাস্তব প্রশ্ন হয়ে দাঁড়ায় যে, একবার স্ক্রিপ্ট ইনস্টল এবং জীবনচক্র শুরু হয়ে গেলে কোনো সংস্থার আর কোনো নিয়ন্ত্রণ অবশিষ্ট থাকে কিনা। hooks এগুলো ইতিমধ্যেই পরিচিত আক্রমণ পদ্ধতি। একটি ডিপেন্ডেন্সি ফায়ারওয়াল এমন কয়েকটি ব্যবস্থার মধ্যে একটি যা কোনো জিরো-ডে ক্ষতিকারক প্যাকেজের সিগনেচার তৈরি হওয়ার আগেই সেটিকে থামাতে পারে, যা গুরুত্বপূর্ণ কারণ বেশিরভাগ অন্যান্য প্রতিরক্ষা ব্যবস্থা কেবল তখনই কাজ করে যখন কোনো হুমকি ইতিমধ্যেই শনাক্ত এবং তালিকাভুক্ত হয়ে গেছে।

জাইজেনির নিজস্ব গবেষণা দল সাপ্তাহিক ভিত্তিতে এই প্রচারণাগুলো পর্যবেক্ষণ করে। ম্যালওয়্যারের প্রাথমিক সতর্কতা সিস্টেমটিতে, এবং প্যাটার্নটি সুসংগত: আক্রমণকারীরা গোপনীয়তার পরিবর্তে গতি এবং পরিমাণের উপর বেশি গুরুত্ব দিচ্ছে, যা ঠিক সেই ধরনের প্রোফাইল যা একটি ডিপেন্ডেন্সি ফায়ারওয়াল ইনস্টলের সময়েই ধরার জন্য তৈরি করা হয়, ঘটনা ঘটার পরে নয়।

FAQ #