Seo an treas prògram ann an sreath de artaigilean mun t-seòrsa ionnsaighean slabhraidh solair bathar-bog as cumanta: an fheadhainn a bhios a’ dèanamh ana-cleachdadh air clàr poblach de Open-an tùs co-phàirtean bathar-bog. Às dèidh mion-sgrùdadh a dhèanamh san phrògram roimhe “Anatomi nam Pasganan Maslach: Dè na Gluasadan a th’ ann?“mar a bhios na droch chleasaichean a’ cur giùlan droch-rùnach a-steach do phàirtean foillsichte ùra no a th’ ann mar-thà, tha sinn deiseil airson ar seacaidean smàlaidh a chuir oirnn agus sgrùdadh a dhèanamh air mar as urrainn dhuinn bathar-bog droch-rùnach a lìbhrigeadh san dòigh seo a bhacadh gu soirbheachail, no air an làimh eile, dèiligeadh ri tachartas saidhbear a dh’ fhaodadh a bhith dona leis gun do ghabh sinn an dòigh-obrach cheàrr.”
Tha beachdan aig a’ mhòr-chuid de phroifeiseantaich a tha mothachail air tèarainteachd air mar a dhèiligeas iad ris a’ chunnart seo. Chuala sinn manaidsearan tèarainteachd ag ràdh gun stad sam bith SCA Tha innealan mu thràth ag innse dhut cuin a tha dreach pacaid na malware. No gu bheil iad an urra ri co-phàirtean bathar-bog ainmeil, air an ath-sgrùdadh gu mòr, far am biodh malware sam bith air a lorg agus air a thoirt air falbh gu sgiobalta. Bidh iad a’ cleachdadh dreachan beaga/paiste fosgailte airson fuasglaidhean so-leòntachd fhaighinn gu fèin-ghluasadach, agus is e sin an dòigh cheart, air a mholadh, airson an cunnart a lughdachadh air eisimeileachdan stòr fosgailte, a’ leantainn an “paiste tràth, paiste tric”Prionnsapal.
Anns a’ phrògram seo, nì sinn ath-sgrùdadh air carson a tha na beachdan seo ceàrr, agus mar a tha na mì-thuigsean sin a’ cur ri mòr-chòrdte an dòigh-ionnsaigh seo, agus ri cunnart mòr a tha buidhnean a’ fulang. Crìochnaichidh sinn leis na tha ag obair, agus dè an oidhirp agus na goireasan a tha an sàs.
Mì-thuigse cumanta
Rè ar turais le tèarainteachd bathar-bog, chunnaic sinn na dòighean ionnsaigh ag atharrachadh agus raon farsaing de bheachdan bho dhaoine a tha mothachail air tèarainteachd. Bidh buidhnean gu tric a’ tuigsinn dè a tha ag obair an aghaidh a’ chunnart seo, agus mar sin an toiseach nì sinn sgrùdadh air dè nach eil ag obair, air a ghiorrachadh san liosta mhì-thuigse a leanas, nach eil coileanta.
Mearachd #1: SCA innealan mu thràth ag aithris co-phàirtean droch-rùnach
Gu dearbh! Ach às dèidh na fìrinn… Nuair a tha e ro fhadalach ma chaidh an eileamaid a chleachdadh ann an togail bathar-bog, agus gu bheil na droch chleasaichean air bunait fhaighinn mu thràth ann an leasaiche no CI/CD aoigh. Dh’ fhaodadh gun deach dìomhaireachdan a thoirt a-mach, malware a bharrachd a luchdachadh sìos agus a stàladh, agus is dòcha gun do ghluais an nàmhaid gu taobhach agus gun d’ fhuair e cothrom air àite eile mu thràth.
Mion-sgrùdadh Co-dhèanamh Bathar-bog (SCAChaidh innealan ) a dhealbhadh gus so-leòntachdan aithnichte a chomharrachadh. Bidh innealan ùr-nodha a’ dèanamh obair mhath le bhith a’ neartachadh a’ cho-mheas comharra-fuaim, a’ dearbhadh a bheil an so-leòntachd dha-rìribh ruigsinneach no comasach a chleachdadh. Ach chan eil iad feumail an aghaidh malware ùr. Smaoinich air pàirt droch-rùnach mar sho-leòntachd neoni-latha: Nuair a lorgar a ghiùlan droch-rùnach, thèid aithris a thoirt don chlàr gleidhidh a-mhàin, agus às dèidh ath-sgrùdadh le sgioba tèarainteachd, thèid a dhearbhadh mar dhroch-rùnach agus a thoirt air falbh bhon chlàr. [1].
Aig an ìre sin, an saoghal (a’ gabhail a-steach SCAs) fios nach e rud math a th’ ann am pàirt (no dreach(an) de phàirt a tha ann mar-thà) a stàladh no a chleachdadh. Ach is e seo nuair nach eil am pàirt ri fhaighinn bhon chlàr.Tha e math fios a bhith agam gu bheil so-leòntachdan agam ann an co-phàirtean treas-phàrtaidh, no eadhon co-phàirtean a chaidh a sheòrsachadh mar dhroch-rùnach leis a’ chlàr, ach gu mì-fhortanach SCA no chan eil innealan sgrùdaidh cumanta a’ cuideachadh sa cho-theacsa seo. Mura h-eil an SCAFaodaidh inneal /audit fios a bhith aige ro-làimh gu bheil pàirt droch-rùnach mus tèid a chleachdadh aig a’ bhuidheann agad..
Cuimhnich, feumaidh fuasgladh sam bith an aghaidh co-phàirtean stòr fosgailte droch-rùnach an lorg. air-the-fly, eadar an àm a thèid am pàirt fhoillseachadh anns a’ chlàr agus an àm a thèid am pàirt (an dreach) a chleachdadh an toiseach aig a’ bhuidheann agad. Agus tha sin a’ gabhail a-steach pàirtean sealach.
Mì-thuigse #2: Bidh smachd a chumail air sgriobtaichean stàlaidh aig àm togail a’ cur casg air giùlan droch-rùnach bho cho-phàirtean stòr fosgailte
Tha diofar mhanaidsearan pacaid a’ tabhann a’ chomas sgriobtaichean a ruith (air an gabhail a-steach sa phàirt tarball [2]), airson adhbharan dligheach, leithid nithean riatanach a chur ri chèile air diofar àrd-ùrlaran, còd a chruthachadh, no deuchainnean a ruith, agus bu chòir dhuinn uile fios a bhith againn gum faod droch chleasaichean an droch-chleachdadh ma tha sgriobtaichean droch-rùnach air an toirt a-steach don tarball, no ma dh’ fhaodas an neach-ionnsaigh sgriobt droch-rùnach a ruith an àite an tè mhath.
Le fios againn air seo, is urrainn dhuinn manaidsear nam pasganan a rèiteachadh gus sgriobtaichean a leigeil seachad. Mar eisimpleir, le NPM an –sgriobtaichean-leig seachad bratach (no feart rèiteachaidh anns an .npmrc faidhle) a’ leum thairis air na sgriobtaichean rè an stàlaidh. Dh’ fhaodadh seo cuid de dhuilgheadasan adhbhrachadh leis gu bheil ruith sgriobtaichean cumanta ann an iomadh eag-shiostam: Chan eil cuid de mhanaidsearan pacaid eadhon a’ ceadachadh cur an gnìomh sgriobtaichean a dhì-chomasachadh (molaidh: brosnachadh “Dè na manaidsearan pacaid nach eil a’ ceadachadh casg a chur air cur an gnìomh sgriobtaichean stàlaidh?” anns an AI as fheàrr leat). Ach chan eil seo a’ dìon san fharsaingeachd (feumaidh sinn a dhèanamh cinnteach gu bheil an rèiteachadh cuir às do sgiobadh anns a h-uile àite).
Agus nuair nach eil an giùlan droch-rùnach suidhichte anns na sgriobtaichean stàlaidh ach anns a’ bhathar-bog gus a ruith aig àm ruith, chan eil an roghainn seo leis fhèin gar dìon.
Mì-thuigse #3: Tha prìneadh tionndaidh a’ cur casg air co-phàirtean droch-rùnach a bhith air an stàladh
Tha co-rèiteachadh ann eadar pasgadh tràth agus tric le dreachan fosgailte (a’ leigeil leis a’ mhanaidsear pacaid ùrachaidhean ùra a stàladh gu fèin-ghluasadach nuair a bhios iad rim faighinn airson rèiteachaidhean tèarainteachd) agus prìneadh dreach (leis a h-uile eisimeileachd dhìreach is thar-ghluasadach airson bathar-bog aig dreach stèidhichte). Tha na prionnsapalan tèarainteachd ceann-laidir agus uaireannan an aghaidh a chèile, mar a thachras le “paiste tràth, paiste tric” agus “Cha bu chòir ùrachadh a ghabhail gu aotrom”Bidh cuid de mhanaidsearan pacaid a’ dèanamh ùrachaidhean fèin-ghluasadach le raointean frithealaiche san dòigh a thathar a’ moladh. Sgoinneil ma tha thu cuideachd airson na h-ùrachaidhean droch-rùnach fhaighinn! Seadh, feumar co-phàirtean ùrachadh gus fuasglaidhean tèarainteachd fhaighinn a dhùineas so-leòntachd cho luath ‘s a ghabhas, ach… na leig leis a’ mhanaidsear pacaid seo a dhèanamh gu fèin-ghluasadach.
Mearachd #4: Tha e sàbhailte co-phàirtean earbsach a chleachdadh. Bhiodh dreach droch-rùnach sam bith air a lorg, air fhoillseachadh agus air a thoirt air falbh sa bhad.
Carson a tha earbsa ann am pàirt? Is dòcha leis gu bheil e glè chumanta, le mòran dhaoine a’ coimhead airson so-leòntachdan, àireamh mhòr de luchd-taic airson cumail suas, le iomadh prìomh neach-gleidhidh a bhios gu dìcheallach a’ dèanamh ath-sgrùdadh air a h-uile càil. pull requestsTha an fhìrinn gu math eadar-dhealaichte. Tha cuid de na pàirtean riatanach air an cumail suas le aon leasaiche gun phàigheadh. Tha frèamaichean a thathas a’ cleachdadh gu farsaing air… beagan luchd-taic cunbhalach, le àireamh a tha a’ crìonadh gu luath de commitgach neach-gleidhidh (tha earball fada de luchd-taic aig pròiseactan mòr-chòrdte a bhios a’ dèanamh beagan dràibhidh seachad commit agus cha till iad gu bràth). Agus tha pròiseactan mòr-chòrdte le aon neach-gleidhidh pailt.
Smaoinich ort fhèin ag ràdh “O, tha sinn a’ cleachdadh ìomhaighean Spring Boot / Angular / React / PyTorch / bunaiteach oifigeil Docker, agus mar sin tha an cunnart air a bheil thu a’ bruidhinn gu math ìosal.” ’S dòcha gu bheil sin fìor, tha sinn luchd-reic tèarainteachd a’ cur eagal oirnn fad na h-ùine, agus a’ cur bacadh air sgiobaidhean leasachaidh gus cunnart connspaideach a lughdachadh gun chiall. Is dòcha gum bi thu air do bhuaireadh leum chun na paragraf gabhail ri cunnart (san ath earrann) agus a h-uile càil deiseil. Gu mì-fhortanach, is e na pàirtean as mòr-chòrdte targaidean do dhroch chleasaichean, agus mar eisimpleir, am fear mòr-chòrdte Chaidh ionnsaigh a thoirt air leabharlann PyTorch san àm a dh'fhalbh.
“Air a lorg, air fhoillseachadh, agus air a thoirt air falbh gu sgiobalta”. Bheir e làithean airson pàirt droch-rùnach ùr a thoirt air falbh bhon chlàr phoblach. Tha clàran faiceallach mu bhith a’ toirt air falbh dreach pàirt, airson math. Is e an t-eòlas againne, aon uair ‘s gu bheil e air aithris bhuainn, gur e 39 uair a thìde an ùine mheadhanach airson a’ chlàr an dreach air a bheil buaidh a thoirt air falbh, barrachd air latha gu leth. Tha pàirtean droch-rùnach ann a tha seachdain às deidh ar n-aithris tùsail sa chlàr mus tèid an toirt air falbh. Agus ann an cuid de chùisean, chan eil am pàirt air a thoirt air falbh ach às deidh do neach-fulang no companaidh freagairt tachartais tachartas aithris a tha a’ toirt a-steach a’ phàirt.
Dè nach eil ag obair an aghaidh phàirtean droch-rùnach
Fàillidh dòigh-obrach neo-shònraichte gu truagh. Tha seo cinnteach, chan eil thu a’ toirt seachad ceumannan èifeachdach an aghaidh a’ chunnart a tha co-cheangailte ris a’ bhagairt seo.
traidiseanta SCA Bidh innealan ag innse dhut mu malware aithnichte ach tha uinneag nochdaidh mhòr aca. Mura h-eil iad a’ lorg malware gu gnìomhach le bacadh èignichte air co-phàirtean droch-rùnach, chan eil iad ag obair an aghaidh a’ chunnart seo.
Dh’fhaodadh e bhith feumail sgriobtaichean stàlaidh a dhì-chomasachadh ach feumar a chur an gnìomh anns a h-uile àite far am feumar co-phàirt a stàladh. Mar an ceudna le prìneadh dreachan, oir chan urrainnear dreachan a phronnadh bho staid thùsail shàbhailte gu bràth.
Tha e gòrach agus cunnartach a bhith a’ gabhail ris gum faigh co-phàirtean mòr-chòrdte aire gu leòr nach gabh giùlan gun dùil a thoirt a-steach ann an ionnsaigh slabhraidh solair às aonais lorg cha mhòr sa bhad gus casg a chuir air milleadh sam bith. Chan eil thu airson a bhith beò air oir an cunnart, an e?
Ma stadas tu aig an ìre seo, an uairsin gabhail ri cunnart 'S e seo an aon rud as urrainn dhut a dhèanamh: 'S e seo decisa dh’ fheumar a chlàradh anns a’ mhodail bagairt/measadh cunnairt agad, a’ gabhail a-steach an reusanachadh airson gabhail ris a’ chunnart agus na buaidhean a dh’ fhaodadh a bhith aige. Tog mothachadh le bhith ga chur an cèill do mhanaidsearan agus do phàrtaidhean buntainneach eile. Cuid tuiteamach Dh’fhaodadh seo a bhith air a phlanadh nuair a thèid pàirt droch-rùnach a stàladh no a ghabhail a-steach don bhathar-bog agad, ach tha seo duilich oir tha iomadh slighe aig luchd-ionnsaigh ri leantainn. Bidh mion-fhiosrachadh ionnsaigh slabhraidh solair stèidhichte air cleachdadh pàirt droch-rùnach ag atharrachadh gu mòr foillseachadh poblach na thachair, rud a tha is dòcha èigneachail fo fhrèam riaghlaidh na buidhne agad. Faodaidh tu cuideachd dèiligeadh ri smachdan dìolaidh or cunnart gluasaid m.e. le àrachas.
Ach, tha smachdan ann a tha a’ dèiligeadh ris a’ chunnart agus bu chòir beachdachadh orra mura h-eil thu riaraichte le gabhail ris a’ chunnart. Leugh air adhart.
Dè a tha ag obair an aghaidh ionnsaighean a’ cleachdadh phàirtean droch-rùnach
Làimhseachadh Tionndadh Soladach
’S e prìneadh dreach le cnapan dreach fo smachd agus fiosraichte an dòigh air adhart, gus cothromachadh a dhèanamh eadar an fheum air so-leòntachd a thoirt air falbh gun malware fhaighinn. Ach cuimhnich air mì-thuigse #3: Chan eil prìneadh dreach leis fhèin gu leòr airson casg a chuir air còd droch-rùnach a tha a’ tighinn bho dhreachan ùra, oir feumaidh tu san àm ri teachd dreachan ùrachadh ann an eisimeileachd dhìreach no neo-dhìreach sam bith. Aig an àm sin feumaidh tu fianais làidir gu leòr nach eil malware anns na dreachan atharraichte uile.
Rabhadh tràth
Is e siostam rabhaidh tràth (air ainmeachadh an seo mar) aon dòigh-obrach airson duilgheadas phàirtean droch-rùnach. Rabhadh tràth mu dhroch-bhathar no MEW), far am bi dreachan ùra a chaidh fhoillseachadh (airson co-phàirtean ùra no a th’ ann mar-thà) air an sgrùdadh le einnsean lorg, a dh’ fhaodadh, nuair a lorgar fianais gu leòr, an dreach ùr a sheòrsachadh mar rud a dh’ fhaodadh a bhith droch-rùnach.
Tha fèin-ghluasad riatanach an seo, oir chan eil e comasach na pàirtean ùra uile ath-sgrùdadh le làimh aig an ìre foillseachaidh làithreach. Mar sin feumaidh an einnsean lorg measgachadh de dhòighean a chur còmhla, is dòcha a’ gabhail a-steach mion-sgrùdadh statach, fiùghantach agus comas, cliù luchd-cleachdaidh, agus fianais a’ tighinn bho eadar-dhealachaidhean eadar meata-dhàta a’ phàirt agus susbaint an tarball, no eadar tarball agus an stòr-dàta tùsail às a bheil am pàirt a rèir coltais a’ tighinn.
Tha crios dorcha eadar an àm foillseachaidh agus an uair a nì an t-inneal anailis air susbaint a’ phàirt, ach cha bu chòir dha a bhith nas fhaide na beagan mhionaidean. Faodar an sgeama atharrachadh, mar eisimpleir le bhith a’ feitheamh gus an tèid pàirtean ùra a sgrùdadh mus leigear leotha an stàladh agus an cleachdadh ann an togail bathar-bog pipelines, no an sgrùdadh nuair a bhios feum orra. Tha co-phàirt aig dreach sònraichte do-atharraichte [3], agus mar sin chan fheumar a sgrùdadh ach aon uair.
Chan eil làn fèin-ghluasad comasach, agus tha feum air ath-sgrùdadh tèarainteachd airson co-phàirtean a dh’ fhaodadh a bhith droch-rùnach. Bi faiceallach mu luchd-tagraidh panacea didseatachChan eil AI agus Ionnsachadh Innealan air an leasachadh gu leòr airson am facal mu dheireadh a ghabhail nuair a thig e gu bhith a’ dearbhadh a bheil malware ann am pàirt amharasach. Gu dearbh, tha ionnsachadh innealan a’ cluich prìomh dhreuchd anns an einnsean lorg ann a bhith a’ seòrsachadh a’ phàirt cuir-a-steach bhon fhianais amh a chaidh a ghlacadh, ach aon uair ‘s gu bheil am pàirt “air a chuir ann an cuarantine” tha am facal mu dheireadh aig an ath-sgrùdadh làimhe le sgioba tèarainteachd aig a bheil eòlas air pàirtean droch-rùnach. Bidh seo a’ dearbhadh malware sam bith a dh’ fhaodadh a bhith ann no ga ath-sheòrsachadh mar shàbhailte. Agus tha an ùine anns an raon uairean a thìde.
Bidh an clàr ag aithris air an dreach/co-phàirt droch-rùnach; bidh an clàr an uair sin a’ dèanamh an ath-bhreithneachaidh aige gus dearbhadh agus a’ dol air adhart gu foillseachadh poblach agus toirt air falbh bhon chlàr. Bidh cuid de chlàran a’ cumail pasgan gleidhidh tèarainteachd. Is e an raon ùine an seo na làithean no na seachdainean bhon fhoillseachadh, is e sin an 'ùine còmhnaidh'no'uinneag nochdaidh' airson a’ mhòr-chuid de phàirtean droch-rùnach.
A bheil e comasach fios a bhith againn a bheil dreach co-phàirteach droch-rùnach?
Mar sin, airson rabhadh tràth, feumaidh sinn freagairt riarachail a thoirt don cheist seo: Ciamar as urrainn dhomh fios a bhith agam gu bheil leabharlann no pasgan droch-rùnach (nach eil)? Ciamar a chruinnicheas mi fianais gu leòr air giùlan droch-rùnach? Comasach, ach duilich, leis gu bheil na nàimhdean a’ cleachdadh mòran innleachdas gus nach tèid an lorg. Tha diofar dhòighean-obrach ann, gach fear le buannachdan agus eas-bhuannachdan.
Mion-sgrùdadh statach faodaidh iad sgrùdadh a dhèanamh air na slighean cur an gnìomh uile, sgrùdadh a dhèanamh airson dòighean a chleachd luchd-ionnsaigh gun a’ phàirt a ruith, agus gnìomhan ro-phròiseasadh a dhèanamh leithid dì-cheadachadh no dì-chrioptachadh. Mar a bhios luchd-ionnsaigh a’ feuchainn ri an cuid mì-chinnt fhalach, tha oidhirpean cealachaidh gu dearbh nan fianais air malware (ach thoir an aire gu bheil pàirtean dligheach a’ cealachadh còd airson seilbh inntleachdail a ghleidheadh, a’ dol an aghaidh “open source”). Chan eil feum ach air bogsa-gainmhich ann am beag-chuid de dh’ionnsaighean air leth iom-fhillte le doilleireachd làidir, ach tha doilleireachd cho làidir na chomharradh air droch-rùn. Thoir an aire gu bheil cleachdaidhean àbhaisteach SAST chaidh innealan a dhealbhadh airson so-leòntachd gun fhiosta, chan ann airson rùn droch-rùnach mar backdoors.
Mion-sgrùdadh fiùghantach a’ ruith a’ phàirt agus a’ sgrùdadh na freagairt le bhith ag ionnsramachadh an ùine ruith, mar as trice le bhith a’ toirt seachad àrainneachd bogsa-gainmhich. Dh’ fhaodadh giùlan droch-rùnach a thèid a bhrosnachadh fo chumhachan sònraichte a dhol seachad gun a bhith air a lorg: thoir an aire gum faod malware dòighean seachnaidh a chleachdadh leithid Virtualization/Seachain Bogsa-gainmhich gus a ghnìomhachadh dìreach nuair nach eil e fo sgrùdadh, agus cuideachd na chomharradh air gnìomhachd droch-rùnach airson einnsean anailis statach sam bith.
Mion-sgrùdadh comasan a’ beachdachadh air dè a bhios am pàirt a’ dèanamh: càite a bheil e a’ ceangal ris, dè na faidhlichean ris a bheil e a’ faighinn cothrom, dè na h-òrdughan no na prògraman a thèid a ruith, an teirminéal no an inneal I/O a thèid a dhèanamh, no dè na gairmean siostaim a thèid a ghairm. Dh’ fhaodadh an lorgan-meòir seo de ghiùlan a bhith air a choimeas (airson pàirt a th’ ann mar-thà) thar dreachan, agus mar sin nuair a lorgar giùlan ris nach robh dùil, dh’ fhaodadh an fhianais sin amharas a thogail mu ghnìomhachd droch-rùnach a dh’ fhaodadh a bhith air a stealladh a-steach don dreach ùr. Tha an dòigh-obrach seo a’ leantainn nan ceumannan triage a bhios luchd-anailis tèarainteachd a’ leantainn nuair a bhios iad an aghaidh malware a dh’ fhaodadh a bhith ann: sgrùdadh a’ cleachdadh strings no innealan coltach ris. Bidh an dòigh-obrach seo a’ lorg giùlan droch-rùnach ge bith dè na suidheachaidhean brosnachaidh agus ag obair nuair nach eil còd tùsail ri fhaighinn.
Mion-sgrùdadh co-theacsa a’ tional fiosrachadh mu mar a chaidh am pàirt fhoillseachadh agus cò leis. Bidh iomairtean droch chleasaichean gu tric a’ cleachdadh cunntas(an) cleachdaiche ùr nach eil fo ùmhlachd pròiseas sgrùdaidh teann sam bith. Faodaidh sùil a chumail air gnìomhachd san àm a dh’ fhalbh lèirsinn a thoirt seachad air a’ chleachdaiche bunaiteach, gu h-àraidh airson ana-cainnt a dh’ fhaodadh a bhith a’ comharrachadh cunnart a dh’ fhaodadh a bhith ann. Tha e cho duilich cliù a chosnadh agus cho furasta a chall! Tha cleachdaiche aig nach eil gnìomhachd san àm a dh’ fhalbh neodrach, ach tha karma a’ leantainn an droch-rùnaich. Bu chòir sùil gheur a chumail air luchd-hacktiv, no luchd-cleachdaidh àbhaisteach aig a bheil teisteanasan foillseachaidh air an goid.
Is e fiosrachadh co-theacsail eile eadar-dhealachadh sam bith eadar an stòr-dàta tùsail a thathar an dùil a chleachdadh gus tarball a’ phàirt a chruthachadh agus susbaint an tarball fhèin. Agus cuideachd a’ leantainn deagh chleachdaidhean, leithid tagaichean no fiosan a chruthachadh anns an stòr-dàta tùsail a tha a’ freagairt ris na dreachan den phàirt a chaidh fhoillseachadh anns a’ chlàr phoblach. Nuair a bhios an stòr-dàta tùsail aig àite sònraichte commit air a chomharrachadh le release, agus an uairsin gu h-obann chan eil aon dreach ga leantainn, tha sin na fhianais làidir leis fhèin gum faodadh am pàirt a bhith air a thruailleadh: is dòcha gu bheil an droch chleasaiche air a’ chunntas a chaidh a chleachdadh airson am pàirt fhoillseachadh a mhilleadh, ach chan eil cead sgrìobhaidh aige ann an stòr-dàta a’ chòd tùsail). Bithear a’ lorg mòran ionnsaighean gu cunbhalach a’ cleachdadh nan riaghailtean seo: mar eisimpleir, an Ionnsaigh Leabhar-cunntais dh’fhaodadh iad a bhith furasta an lorg air na loidhnichean seo. Mar sin, bidh mion-sgrùdadh co-theacsa a’ comharrachadh ana-cainnt mar sin sa phròiseas foillseachaidh.
Balla-teine Eisimeileachd
Is e dòigh-obrach eadar-dhealaichte liosta gheal coileanta de phàirtean a bhith agad airson a h-uile graf eisimeileachd a thathas a’ cleachdadh sa bhathar-bog agad, agus mar sin ann an togail sam bith pipeline ruith san bhuidheann agad chan urrainnear ach dreachan co-phàirteach ceadaichte a stàladh agus a chleachdadh. An “cachaileith-theineTha " air a chur an gnìomh le bhith a’ cleachdadh clàr a-staigh far a bheil na tarballs airson na dreachan co-phàirteach ceadaichte air an frithealadh (air an tasgadh no air an toirt seachad le proxies). Thoir an aire nach obraich liosta gheal sam bith mura h-eil an teicneòlas agad airson dreach ùr sam bith a sheòrsachadh mar rud reusanta sàbhailte gus an tèid a chur ris an liosta gheal.
Thoir an aire gum feumar rabhadh tràth (lorg luath cho luath ‘s a ghabhas às dèidh foillseachadh an dreach ùir) a chur còmhla ri dòigh air choireigin air an fhiosrachadh sin a chleachdadh gu ro-ghnìomhach gus casg a chuir air a’ phàirt a tha a’ toirt buaidh air an togail. pipelineno innealan an luchd-leasachaidh [4]Canaidh sinn seo “balla-teine eisimeileachd": inneal cuarantain airson togail fèin-ghluasadach a dhìon bho phasganan droch-rùnach. Tha pacaidean a-staigh agus clàran ìomhaighean math airson buidhnean a dhìon bho olc a-muigh, ach tha feum air fianais làidir gu leòr gus cuarantain a dhèanamh èifeachdach.
Bogsa-gainmhich ruith-ùine
Is e dòigh eile airson lorg aig àm foillseachaidh giùlan a sgrùdadh aig àm ruith. Is e am beachd an giùlan ris a bheil dùil bhon bhathar-bhog a ghlacadh agus ana-cainnt sam bith a lorgar a lorg (no a bhacadh). Tha duilgheadas aig an loidhne gnìomh seo a bhith ag ionnstramaid an ùine ruith airson sgrùdadh no bacadh, agus tha e na bheachd gealltanach a thèid a chur ris an arsenal de dhòighean dìon an aghaidh a’ phlàigh phàirtean droch-rùnach.
A’ suidheachadh Ro-innleachd Choileanta
Feumaidh an ro-innleachd a thathar a’ moladh diofar dhòighean a chur còmhla ann am pròiseas leasachaidh bathar-bog, a’ gabhail smachd air na h-ùrachaidhean dreach gus casg a chuir air co-phàirtean droch-rùnach a tha a’ tighinn a-steach. Feumaidh sinn prìneadh dreachan a ghabhail os làimh gus casg a chuir air galar fèin-ghluasadach le bhith ag ùrachadh dreachan gus fuasglaidhean fhaighinn airson na so-leòntachd a tha cudromach; measadh luath is èifeachdach air eisimeileachdan dìreach is neo-dhìreach rè ùrachaidhean dreachan gus fianais gu leòr a bhith ann nach eil malware orra. Feumar casg a chuir air togail bathar-bog a tha an urra ri co-phàirtean droch-rùnach aithnichte. Agus feumar a h-uile càil a chuir an gnìomh.
Cleachd prìneadh dreachan, far a bheil sin comasach, oir tha e a’ dèanamh toglaichean nas ath-riochdachadh. Prìneadh dreach le cnapan dreach fo smachd, ceadaichte le làimh, agus le taic bho theicneòlas cuideachaidh, bu chòir measadh a dhèanamh a bheil an ùrachadh a’ toirt malware no a’ briseadh a’ bhathar-bhog, agus ùrachadh airson so-leòntachdan a chàradh a rèiteachadh le bhith a’ seachnadh galair malware. Faodaidh innealan cuideachadh an seo, le bhith (1) a’ toirt prìomhachas do na so-leòntachdan a tha dha-rìribh cudromach (ruigsinneach agus so-leònte, le cunnart àrd gun tèid an targaid le luchd-ionnsaigh), (2) a’ taghadh nan dreachan targaid a tha co-chòrdail ris na cleachdaidhean co-phàirteach gnàthach agus nach eil a’ briseadh a’ bhathar-bhog, (3) a’ taghadh dreachan targaid anns nach eil giùlan droch-rùnach, agus (4) a’ dèanamh ùrachadh an dreach airson eisimeileachdan dìreach agus neo-dhìreach na luaths, le bhith a’ moladh atharrachaidhean anns na faidhlichean follaiseach a dh’ fhaodadh a bhith air an aontachadh gu sgiobalta. Feumaidh ceum (3) fiosrachadh sònraichte mu cho-phàirtean droch-rùnach cho faisg air an àm foillseachaidh sa ghabhas.
Feumaidh am pròiseas seo airson eisimeileachdan ùrachadh a bhith òrdachadh agus dearbhadh anns a h-uile àite. Feumar am pròiseas a chlàradh, agus bu chòir trèanadh a thoirt do na pàrtaidhean uile a tha an sàs, oir gu tric bidh an leasachadh agus togail/cleachdadh bathar-bog air a dhèanamh taobh a-muigh. An CI/CD pipelinebu chòir s atharrachadh a rèir sin, gus nach leig fèin-ghluasad le eisimeileachd neo-dhìreach droch-rùnach sleamhnachadh a-steach don togail: guardrails ’S e an dòigh a thathar a’ moladh a bhith a’ cur bacadh air an togail ma tha fianais gu leòr ann gu bheil malware ann an eisimeileachd.
Ma tha clàr taobh a-staigh na buidhne agad ag obair mar neach-ionaid tèarainteachd airson na dreachan co-phàirteach ceadaichte a chumail, feumaidh tu fiosrachadh fhaighinn mu cho-phàirtean droch-rùnach (a bharrachd air slatan-tomhais eile) gus sgrùdadh a dhèanamh air co-phàirt a chaidh iarraidh mus cuir thu ris an liosta cheadaichte e.
Chan eil e furasta bathar-bog stòr fosgailte a chleachdadh gu sàbhailte, agus feumar làn aire a thoirt don fheart malware, le oidhirp choltach ri seo a’ dèiligeadh ri so-leòntachd.
Aon nota deireannach: Tùs an stòir, ann an cruth dearbhaidhean bathar-bog, air an gineadh aig àm togail a’ phàirt, ’s e pàirt chudromach eile den oidhirp gus an nì-ealain (tarball pàirt) a lorg leis na stòran agus am pròiseas togail a rinn e. Thoir an aire nach eil an ceangal seo eadar dealbh-sgrìn an stòrais + an àrainneachd togail agus an nì-ealain bathar-bog co-cheangailte (air a shoidhnigeadh leis an t-siostam togail earbsach) a’ cur casg air nach eil giùlan droch-rùnach anns a’ phàirt, ach ga dhèanamh nas duilghe do na droch ghillean malware a thoirt a-steach. Agus bheir e ùine mhòr dearbhadh tùs a dhèanamh na riatanas cumanta airson a bhith a’ cleachdadh phàirtean stòr fosgailte, agus dìreach… air a chur ri NPM o chionn ghoiridTha dèanamh cinnteach gu bheil na siostaman togail is cleachdaidh earbsach sin dìonach bho mhilleadh, no leigeil le bhith a’ lorg mhilleadh sam bith san togail na sgeul eadar-dhealaichte, taobh a-muigh farsaingeachd na dreuchd seo.
Leughadh a bharrachd
An ath phrògram Pasganan Mì-rùnach Stòr Fosgailte: An Dòigh-obrach Xygeni a’ taisbeanadh an ro-innleachd a leanas sinn aig Xygeni airson ar Rabhadh tràth mu dhroch-bhathar siostam (MEW). Thèid dreachan ùra de phasganan anns na clàran pacaidean is ìomhaighean poblach a sganadh agus gheibhear fianais le bhith a’ cleachdadh measgachadh de sgrùdadh statach, fiùghantach, comasan, agus co-theacsa. Leigidh an fhianais, còmhla ri cliù an neach-cleachdaidh agus eachdraidh atharrachaidhean ann an stòran còd tùsail, le seòrsachadh làn-fèin-ghluasadach de phàirt ann an roinnean àrd-chunnart agus is dòcha droch-rùnach. Bidh an siostam ag ionnsachadh bho fhianais san àm a dh’ fhalbh a chaidh a chruinneachadh bho phasganan gus na toraidhean meallta a lughdachadh chun ìre as ìsle.
Gheibh buidhnean fo-sgrìobhte fios rabhaidh airson co-phàirtean a tha iad a’ cleachdadh, gu dìreach no gu neo-dhìreach, nuair a thèid dreach droch-rùnach a sheòrsachadh. An uairsin nì na sgrùdairean againn mion-sgrùdadh làimhe, a dhearbhas no a dhiùltas an seòrsachadh. Airson malware dearbhte, thèid fios a chur chun chlàr phoblach gus an urrainn dhaibh an sgrùdadh fhèin a dhèanamh agus mar as trice an dreach droch-rùnach a thoirt air falbh no gnìomh a bharrachd a ghabhail, leithid bacadh no toirt air falbh a’ chunntas cleachdaiche air a bheil sinn a’ bruidhinn.
Mìnichidh sinn mar a tha sinn a’ cuideachadh NPM, PyPI, GitHub, agus bun-structaran cudromach eile ann an eag-shiostam stòr fosgailte gus an ùine a lùghdachadh a bhios pàirt droch-rùnach ùr a thèid fhoillseachadh gnìomhach gus an tèid a dhearbhadh mar dhroch-rùn agus a thoirt air falbh bhon chlàr. Agus mar a dh’ fhaodadh buidhnean buannachd fhaighinn bhon t-siostam MEW gus dìon nas fheàrr fhaighinn an aghaidh ionnsaighean slabhraidh solair bathar-bog anns a bheil pàirtean stòr fosgailte.
- [1] Co-dhiù, feumaidh luchd-cleachdaidh a’ cho-phàirt sgrùdadh a dhèanamh a bheil am faidhle tarball co-phàirteach air a stòradh ann an tasgadan no clàraichte an àiteigin, mar eisimpleir ann an clàr a-staigh, gus an tèid an galar a thoirt às.
- [2] Tha am pàirt pacaichte a’ toirt a-steach manifesto a dh’ainmicheas a shusbaint agus a mheata-dhàta, còd tùsail no còd co-chruinnichte, sgriobtaichean stàlaidh, agus nithean a bharrachd leithid seataichean deuchainn, a rèir cruth pacaidh agus mar as trice ann an cruth teannaichte. Canar “tarball a’ phàirt” ris an seo.
- [3] Fiù ’s ma dh’ fhaodas an cleasaiche droch-rùnach co-phàirt fhoillsichte atharrachadh air sgàth briseadh sa chlàr fhèin, faodaidh geàrr-chunntas crioptagrafach sìmplidh atharrachadh sam bith anns an tarball a lorg às deidh don mhion-sgrùdadh a bhith deiseil.
- [4] Cuimhnich gu bheil cuid de phàirtean droch-rùnach a’ ruith aig àm an stàlaidh, agus mar sin faodaidh e buaidh a thoirt air nódan luchd-leasachaidh a bhios gun fhios dhaibh a’ ruith “npm install X” le X na phàirt droch-rùnach.
