Yr unig beth sy'n cael ei drafod yn fwy na'r ystyr Application Security Posture Management (ASPM) yw a yw'r buddsoddiad mewn ASPM offeryn mae'n werth chweil. Ers datgelu'r categori, mae gwerthwyr o bob math wedi rhuthro i honni eu bod nhw'n ei wneud, ond nid oes llawer o sylw wedi'i roi i a yw'n ddyfodol. Yn y pen draw, y ffordd orau o fynd i'r afael â dyfodol diogelwch cymwysiadau yw trwy ddeall beth yw ei broblemau mwyaf. Yn yr erthygl hon, byddwn yn siarad am ba broblemau a greodd y categori o ASPM ac asesu a yw'n cynnig yr atebion y mae'r farchnad yn chwilio amdanynt.
Problemau mewn Diogelwch Cymwysiadau
Gormod o sganwyr
Gan i mi ddadlau’n wreiddiol dros ASPM gan gynnwys 8 math o sganwyr, mae o leiaf ddau arall wedi ymddangos. Gall timau diogelwch ddioddef sganwyr, ond dim ond os ydynt yn gwneud synnwyr i fod yn wahanol. Nid yw sganio gweinyddion ar amser rhedeg o reidrwydd yn golygu Mae angen i fod yn yr un lle â'r hyn sy'n sganio ystorfeydd. Y broblem yw bod ystorfeydd wedi dod yn ffynhonnell fwy dibynadwy o wirionedd ynghylch ble i ddod o hyd i wendidau a'u trwsio.
Er ei fod mewn un lle, gall storfa ddal dwsinau o ffeiliau gwahanol yn gwneud llawer o bethau gwahanol. Yn draddodiadol, roedd angen i dimau diogelwch sefydlu nifer o ddelweddau dociwr neu ffeiliau deuaidd gwahanol i sganio'r ffeiliau hyn wrth iddynt gael eu newid a'u defnyddio. Gallai cynnal a chadw sganwyr fod yn swyddi amser llawn lluosog yn hawdd, gan fod angen ffurfweddiadau arbennig ar bob un ohonynt hefyd i weithio ar wahanol ddarnau o god.
Timau diogelwch angen y gwelededd o'r holl sganwyr gwahanol hyn, ond maent yn elwa'n aruthrol o symlrwydd naill ai "heb asiant" pipeline wehooks sy'n sganio heb unrhyw ffurfweddiad, neu o leiaf yn dweud wrth un offeryn i sganio. ASPM mae offer yn gwneud gwaith gwych o ddarparu gwelededd syml.
Gormod o bositifau ffug
Y gwrthbwynt i lapio pob sganiwr i mewn i un lle yw bod pobl yn dadlau y bydd dirywiad yn ansawdd y sgan. Rwy'n sensitif i'r pryder hwn, ond mae gen i ddau wrthbwynt. Yn gyntaf, mae llawer o offer yn lapio'r un pethau ffynhonnell agored beth bynnag, mae'r sganwyr popeth-mewn-un yn bod yn fwy gonest amdano. Yn ail, mae'r dadleuon hyn bob amser yn dibynnu ar y syniad ei bod hi'n amhosibl i sganiwr rhywun fod cystal â'u sganiwr eu hunain.
Yn y pen draw, y broblem yw datrys y mater o ormod o ganlyniadau positif ffug. Cyrhaeddadwyedd yw'r syniad o ddarganfod a ellir manteisio ar wendid mewn gwirionedd ai peidio. ASPM mae gan offer fersiynau “digon da” o hygyrchedd ymgorffori, felly mae'n mynd yn anoddach bob dydd dadlau na ellir ei wneud.
Yn waethaf oll, sganio am CVEs gall ar ei ben ei hun adael mannau dall critigol, a dyna pam rwy'n gwerthfawrogi darparwyr fel Xygeni am ddau reswm: yn gyntaf, eu sganio i fyny'r afon am ddrwgwedd yn hytrach na dim ond gwendidau. Yn ail, eu commitbwriad i chwilio am gyfluniadau eraill y gellir eu hecsbloetio fel pipeline camgyfluniadau, yn ogystal â chanfod a yw'r ymosodiadau hyn wedi digwydd.
Mae trwsio pethau yn wirioneddol anodd
Ychydig iawn o gyflymder mae timau diogelwch yn ei weld wrth drwsio eu gwendidau. Rydw i wedi clywed nifer o straeon arswyd am hyd yn oed y rhai mwyaf difrifol yn cymryd misoedd i'w trwsio ar draws y cyfan. enterprise ecosystemau. Er bod llawer o offer wedi dweud mai “blaenoriaethu” yw’r broblem, gallwch flaenoriaethu drwy’r dydd, ond os na all peirianwyr drwsio rhywbeth yn hawdd, mae’r cyfan yn ddibwrpas.
Mae hwn wedi bod yn duedd sy'n fwy ar ochr "rheoli bregusrwydd" ASPM, ond dylai helpu datblygwyr i drwsio gwendidau fod yn nod gwirioneddol ASPM.
Gormod o god, yn rhy gyflym
Os ydym yn credu bod y cwmwl wedi cyflymu defnydd cod, dim ond cynyddu cyflymder cod y mae AI cynhyrchiol wedi'i wneud. Pwynt arall sydd heb ei drafod ddigon yw sut mae AI cynhyrchiol yn parhau i agor cynulleidfaoedd newydd i godio – gan ganiatáu i bawb o dimau gwerthu i gyfrifyddu greu sgriptiau python sy'n gwneud pethau syml.
Mae'r datblygiadau hyn wedi gwneud sganio'n aml, yn aml, ac mewn amgylcheddau amrywiol yn bwysicach nag erioed. Os oes angen proses gymeradwyo hir i sefydlu cymwysiadau newydd gyda sganio, byddwch chi'n barod i fynd yn ddall.
Mae amgylcheddau'n rhy amrywiol
Er y gall nifer y sganwyr fod yn llethol, pan ychwanegwch fframwaith Javascript, amrywiad iaith, neu fframweithiau eraill blas y mis pawb, nid yw dod o hyd i'r "atebion pwynt gorau yn eu dosbarth" yn bosibl mwyach. Dydw i ddim yn gweld timau diogelwch yn chwilio am ateb sganio gorau yn eu dosbarth ar gyfer pob blas o Javascript. Un... ASPM Gall offeryn wneud darpariaeth sganio ar gael yn llawer ehangach na cheisio mynd ar sail iaith wrth iaith.
ASPM Datrysiad Offeryn?
Y problemau hyn yw pam wnes i ddiffinio ASPM fel a ganlyn:
Application Security Posture Management yn darparu popeth sydd ei angen i sganio ac adfer eich cymhwysiad am wendidau. Mae'n darparu sganio diogelwch ar draws eich SDLC pipeline, yn amlyncu canlyniadau, ac yn adeiladu llifau gwaith adfer.
Yn ymarferol mae hyn yn dwyn ffrwyth fel integreiddio cod ffynhonnell popeth-mewn-un sy'n sganio'ch cod yn ddi-dor am wendidau, yn eu blaenoriaethu, ac yn helpu i'w neilltuo i'r bobl gywir. Gadewch i ni edrych ar sut mae hyn yn datrys yr holl prif broblemau yn AppSec:
Gormod o Sganwyr
- Mae hyn yn hunanesboniadol – does dim rheswm mwyach i gael 8 ateb pwynt gwahanol pan all un fod yn ddigon da i gwmpasu'r rhan fwyaf o'ch pentwr.
Gormod o Bositifau Ffug
- Er bod y syniad o “atebion pwynt gwell” yn parhau, ASPMMae gan 's fel arfer welededd llawer mwy cyfannol i sut mae cymhwysiad yn gweithio. Boed yn mapio dibyniaethau adeiladu, neu'r darlun "cod i'r cwmwl" - mae'r offer hyn fel arfer yn gwneud gwaith gwell o ddileu positifau ffug.
Mae trwsio pethau yn wirioneddol anodd
- A bod yn deg, dyma lle (yn gyffredinol) mae llawer o ddarparwyr sydd wedi peidio â sganio wedi adeiladu peiriannau gwell ar gyfer trwsio pethau. Beth bynnag, dyma lle ASPM yn rhagori dros CSPM – mae ganddo ddull mewn gwirionedd o gael canfyddiadau i'r bobl a all eu trwsio.
Gormod o god, yn rhy gyflym
- Mae'r ffaith bod defnyddio sganwyr yn awtomatig mewn ystorfeydd newydd yn nodwedd mor brin yn dangos i chi sut mae webhook yn unig yn seiliedig ASPM yn caniatáu i ddiogelwch raddio mor gyflym â faint o god mewn amgylchedd
Mae amgylcheddau'n rhy amrywiol
- Er y gall fod achosion ymylol bob amser, mae “y gorau yn ei ddosbarth” yn mynd yn anoddach ac anoddach i’w werthuso – a yw tîm diogelwch i fod i brofi 8 sganiwr yn erbyn 5 iaith gyda 10 prawf o gysyniadau?
Rwy'n sefyll wrth ymyl ASPM (A ASPM offer) yn ddyfodol diogelwch cymwysiadau, mae'n datrys y rhan fwyaf o'r problemau y mae gweithwyr proffesiynol diogelwch cymwysiadau yn eu hwynebu. Cyn gynted ag y bydd contractau presennol yn dod i ben, neu hyd yn oed cyn hynny, bydd ymarferwyr yn defnyddio'r atebion newydd hyn. Yr unig beth sy'n eu hatal yw ymwybyddiaeth bod ffordd well.
