نرم‌افزار مدیریت ریسک شخص ثالث برای توسعه‌دهندگان

۲. چرا نرم‌افزار مدیریت ریسک شخص ثالث نمی‌تواند ببیند چه چیزی در کد شما وجود دارد

به‌طور سنتی، ریسک شخص ثالث به معنای ریسک فروشنده بود. شما یک پرسشنامه می‌فرستادید، گواهینامه‌ها را بررسی می‌کردید، شاید یک ممیزی سریع انجام می‌دادید و ادامه می‌دادید. با این حال، نرم‌افزار دیگر به این روش کار نمی‌کند.

امروز، کدبیس شما بسته‌ها را از ... دریافت می‌کند. npm, PyPI, MAVEN, مرکز داکرو موارد دیگر. اینها فروشندگانی نیستند که با آنها قرارداد ببندید، آنها مشارکت‌کنندگانی هستند که شما نمی‌شناسید. برخی از آنها وابستگی‌های حیاتی خود را حفظ می‌کنند، برخی دیگر سال‌هاست که کد خود را به‌روزرسانی نکرده‌اند. و گاهی اوقات، کسی بدافزاری را در قالب یک ماژول مفید آپلود می‌کند.

در نتیجه، این «تأمین‌کنندگان نامرئی» نشان‌دهنده‌ی سطح حمله‌ی رو به رشدی هستند. آن‌ها می‌توانند موارد زیر را معرفی کنند:

• آسیب‌پذیری‌های بحرانی
• مجوزهای ناسازگار یا پرخطر (GPL، AGPL، SSPL…)
• بسته‌های رها شده بدون به‌روزرسانی‌های آینده
• وابستگی‌های تروجان‌زده یا بارهای داده‌ی مبهم‌سازی‌شده

بر این اساس، تکیه صرف بر نرم‌افزارهای مدیریت ریسک سنتی فروشندگان شخص ثالث، شما را از تهدیداتی که از قبل در درونتان وجود دارند، محافظت نمی‌کند. pipelineاگر استراتژی ریسک شخص ثالث شما شامل اسکن در سطح اجزا نباشد، یک نقطه کور را کاملاً باز می‌گذارید.

علاوه بر این، چارچوب های انطباق مانند DORA و NIS2، اکنون از شما انتظار می‌رود که کد شخص ثالث را به همان روشی که سرویس‌های شخص ثالث را مدیریت می‌کنید، مدیریت کنید. این شامل مدیریت مجوز، منشأ نرم‌افزار و کاهش فعال آسیب‌پذیری می‌شود.

قابلیت‌های پلتفرم مدیریت ریسک شخص ثالث واقعاً چه اهمیتی دارند؟

اگر ابزار مدیریت ریسک شخص ثالث شما فقط فروشندگان را ردیابی می‌کند، مشکل اصلی را از دست داده است. توسعه‌دهندگان اکنون بیش از هر زمان دیگری کدهای بررسی نشده را از بسته‌ها، کانتینرها، اسکریپت‌ها و ... وارد می‌کنند. CI/CD افزونه‌ها. بنابراین، نرم‌افزاری که شما ارائه می‌دهید اغلب شامل صدها عنصر شخص ثالث است که شما آنها را نساخته، بررسی یا تأیید نکرده‌اید.

برای مدیریت صحیح این ریسک، نرم‌افزار مدیریت ریسک شخص ثالث مدرن باید الزامات جدیدی را برآورده کند. standard و، باید در سطحی که خطرات واقعی وجود دارند، کار کند: در کدبیس شما و pipelines.

به طور خاص، آنچه که یک راهکار مناسب باید ارائه دهد، به شرح زیر است:

SBOMو قابلیت مشاهده در پلتفرم مدیریت ریسک شخص ثالث

شما نمی‌توانید چیزی را که نمی‌توانید ببینید، ایمن کنید. پلتفرم شما باید تمام اجزای شخص ثالث، از جمله وابستگی‌های گذرا و بسته‌های سطح سیستم را شناسایی کند. یک سیستم کامل و به‌روز. فهرست مواد نرم‌افزاری (SBOM) دیگر اختیاری نیست، بلکه توسط چارچوب‌هایی مانند DORA، NIS2 و فرمان اجرایی ۱۴۰۲۸ الزامی شده است.

تشخیص و مدیریت ریسک مجوز

نقض مجوز می‌تواند منجر به طرح دعوی شود یا شما را مجبور کند کل مجموعه خود را متن‌باز کنید. ابزارهای شما باید تشخیص مجوزهای پرخطر (مانند AGPL یا SSPL)، سیاست‌های سفارشی را اعمال کنید و انواع مجوزهای ناشناخته یا متناقض را قبل از رسیدن به مرحله تولید، شناسایی کنید.

هشدارهای تعمیر و نگهداری و منسوخ شدن

کتابخانه‌های قدیمی اغلب آسیب‌پذیر، وصله نشده و بدون پشتیبانی هستند. پلتفرم شما باید زمانی که یک جزء سال‌ها به‌روزرسانی نشده است یا زمانی که نگهدارنده آن ناپدید شده است، به شما هشدار دهد. این امر به جلوگیری از تبدیل بدهی فنی به بدهی امنیتی کمک می‌کند.

تشخیص بدافزار و تهدید زنجیره تأمین به صورت بلادرنگ

بسته‌های مخرب منتظر بررسی‌های حسابرسی نمی‌مانند. آن‌ها طوری طراحی شده‌اند که بی‌سروصدا فعال شوند. به همین دلیل است که پلتفرم مدیریت ریسک شما باید قبل از اینکه به محیط شما آسیب برساند، اسکن بلادرنگ برای تروجان‌ها، درهای پشتی، تایپواسکاتینگ و اسکریپت‌های مشکوک را شامل شود.

قابلیت دسترسی و اولویت‌بندی داخلی

ارائه سیلی از آسیب‌پذیری‌های غیرقابل بهره‌برداری به توسعه‌دهندگان، امنیت را بهبود نمی‌بخشد. در عوض، باعث ایجاد اختلال، تأخیر در اقدام و اتلاف وقت می‌شود. بنابراین، یک پلتفرم مفید باید فراتر از این عمل کند. باید نشان دهد که چه چیزی در برنامه شما واقعاً قابل دسترسی و بهره‌برداری است. علاوه بر این، باید مسائل را بر اساس تأثیر تجاری اولویت‌بندی کند و خستگی ناشی از هشدار را بدون پنهان کردن خطرات واقعی کاهش دهد.