Ang modernong AppSec dili na makasalig sa manwal nga mga workflow. Awtomasyon sa pagdumala sa kahuyangan usa na ka kinahanglanon, dili usa ka kapilian. Bag-ohay lang kami adunay higayon nga moapil sa Praktikal nga DevSecOps podcast, diin ang among CTO Luis Rodriguez gipaambit nga mga panabut sa sesyon "Pagsiguro sa Pinakahuyang nga mga Link: Pagpugong sa mga Pag-atake sa Supply Chain sa Dili pa Kini Mokatap." Niini nga pakigpulong, gipasabot ni Luis kon giunsa Mga DevSecOps ang mga team makapabilin nga una sa pinakadakong mga hulga karon. Labaw sa tanan, iyang gipakita nga ang kalampusan nagdepende sa paghiusa sa automation uban sa prayoridad nga gibase sa risgo ug pagtukod og lig-on nga mga depensa batok sa malisyoso nga mga pakete sa npm.
Leksyon 1: Pagwagtang sa Kasaba Gamit ang Pag-prioritize nga Gibase sa Risk
Una, gipasabot ni Luis nga ang pinakalisod nga bahin dili ang pagpangita sa mga kahuyangan, kondili ang pagtino kon hain ang tinuod nga importante. Ang tradisyonal nga mga himan naghatag ug walay katapusan nga mga alerto, ug daghan ang nahimo nga mga sayop nga positibo. Tungod niini, ang mga inhenyero mawad-an og oras sa pagpangita sa mga problema nga dili makahatag ug tinuod nga peligro.
Pag-prioritize nga gibase sa risgo nagsulbad niini. Gitan-aw niini ang pagka-epektibo, pagkaladlad, ug epekto sa negosyo aron ipasiugda ang mga isyu nga lagmit gamiton sa mga tig-atake. Dugang pa, ang Xygeni's Application Security Posture Management mokunhod sa mga alerto hangtod sa 90%, nga naghimo sa trabaho sa seguridad nga mas klaro ug dili kaayo makabalda.
Key takeaway: sa tinuod lang, ang automation dili mahitungod sa mas daghang pag-scan, kondili mahitungod sa pagpakita og mas gamay nga mga resulta, ang mga isyu lang nga tinuod nga importante.
Leksyon 2: Ang mga malisyoso nga npm Package Anaa Na sa Imong Pipeline
Ikaduha, gipasiugda ni Luis ang usa ka realidad nga dili na mahimong ibaliwala: malisyoso nga mga pakete sa npm nagbaha sa mga open-source ecosystem. Sa tinuod lang, usa sa matag napulo ka bag-ong npm o PyPI packages nga gipatik niadtong 2024 ang adunay malware. Tungod niini, ang mga pag-atake sa supply chain mas paspas nga mikaylap kay sa mahimo sa kadaghanan sa mga team.
Kuhaa ang kaso sa Shai-Hulud nga ulod: usa ka malisyosong pakete ang naka-impeksyon sa gatusan ka mga proyekto sulod sa pipila ka oras. Dili lang kini makabalda, apan gipakita usab niini kung giunsa pagpahimulos sa mga tig-atake ang mga wala’y pin nga mga dependency ug CI/CD mga modelo sa pagsalig.
Gitubag kini ni Xygeni pinaagi sa:
- Padayon nga pagmonitor sa mga registry aron i-flag ang mga malisyosong pakete.
- Guardrails nga mohunong sa pagtukod kon mamatikdan ang mga quarantined dependencies.
- Mga sayo nga pasidaan nga nagpahibalo dayon sa mga team kung adunay bag-ong mga hulga nga makita.
Key takeaway: tungod niining mga puntoha, nagsalig lamang sa tradisyonal nga SCA Kon dili igo, ang automation kinahanglan nga babagan ang malware sa tinuod nga oras.
Leksyon 3: Siguruha ang Pabrika gamit ang Vulnerability Management Automation
Ikatulo, gipahinumdoman kita ni Luis nga ang mga tig-atake dili na lang mga aplikasyon ang ilang gitarget, giatake na nila ang pipeline mismoAng mga luya nga GitHub Actions, mga unpinned workflow, ug mga token nga sobra ka pribilehiyado mga sayon nga entry point. Sa ato pa, ang CI/CD Ang sistema mao ang "pabrika" sa modernong software. Kon ang pabrika makompromiso, ang tanang artifact sa ubos nga bahin nameligro.
Dinhi kini awtomatik nga pagdumala sa kahuyangan tinuod nga nagdan-ag. Pananglitan, pinaagi sa pag-embed sa mga awtomatikong tseke, gipirmahan nga mga artifact, ug pag-detect sa anomalya direkta sa CI/CD, ang mga team mahimo:
- Pugngan ang pagdagan sa mga dili luwas nga workflow.
- I-validate ang matag build gamit ang mga cryptographic attestation.
- Makita dayon ang dili kasagaran nga mga aksyon, pagpataas sa pribilehiyo, o mga rogue plugin.
Key takeaway: Sa konklusyon, ang pagsiguro sa pabrika nanginahanglan og kanunay ug awtomatik nga pagpatuman, ang manwal nga mga pagrepaso lamang dili gayud molapad.
Unsay Kahulugan Niini para sa mga DevSecOps Teams
Sa kinatibuk-an, klaro ang leksyon gikan sa pakigpulong ni Luis: ang modernong AppSec kinahanglan nga maghiusa sa automation sa pagdumala sa kahuyangan, malisyosong npm package defense, ug risk-based prioritization. Kay kon dili, ang mga team mameligro nga malumos sa kasaba samtang ang mga tig-atake mopahimulos sa mga kal-ang.
Uban sa Xygeni, ang mga organisasyon makabenepisyo sa:
- Awtomatikong pagdiskubre sa mga kabtangan ug imbentaryo.
- Mga dinamikong funnel para sa pag-una sa kahuyang nga gibase sa risgo.
- Ang real-time nga pag-ila sa malware ug mga sekreto gihiusa sa CI/CD.
Busa, ang automation dili lang mahitungod sa kahusayan; kini lamang ang paagi aron magpabiling lig-on batok sa nag-usab-usab nga mga pag-atake sa supply chain.
Tan-awa ang Tibuok Pakighinabi uban ni Luis Rodríguez
Tan-awa ang kompletong sesyon "Pagsiguro sa Pinakahuyang nga mga Link: Pagpugong sa mga Pag-atake sa Supply Chain Sa Dili Pa Kini Mokatap" ug pagkat-on unsaon pag-automate sa pagdumala sa kahuyangan sa imong DevSecOps pipeline.
Andam Ka Na Ba Nga Ipadapat Kini nga mga Leksyon?
Ang pag-automate sa vulnerability management ug pagdepensa batok sa malisyosong npm packages dili lang teyorya, kini usa ka butang nga mahimo nimong sugdan karon. Uban sa Xygeni, makakuha ka og risk-based prioritization, real-time malware detection, ug CI/CD guardrails kana nga sukdanan uban sa imong grupo.
Pagsugod sa imong libre nga pagsulay ug tan-awa kon giunsa nga ang automation sa pagdumala sa kahuyangan direktang mohaom sa imong pipeline.
