Ann an cruth-tìre leasachadh bathar-bog, chan eil briseadh-dùil cho mòr mu bhallachan-teine agus barrachd mu lochdan ann an aodach stòran-còd fhèin agus pipelines. Mar sin, dè a th’ ann am briseadh dàta bho shealladh leasaiche? ’S e foillseachadh no goid fiosrachaidh mothachail a th’ ann, air adhbhrachadh chan ann a-mhàin le lochdan bun-structair ach le biastagan, mì-rèiteachadh, agus droch chleachdaidhean ann an còd, CI/CD pipelines, agus amalachaidhean. Feuchaidh sinn ri mìneachadh dè de na leanas a tha nan adhbharan cumanta airson briseadh agus sgrùdadh a dhèanamh air dè de na leanas a tha nan adhbharan cumanta airson briseadh.
Dè a th’ ann am briseadh dàta? Mìneachadh a tha stèidhichte air an leasaiche
Bidh mìneachaidhean traidiseanta a’ cur fòcas air bun-structar a tha air a mhilleadh. Ach, do luchd-leasachaidh, tha briseadh dàta a’ ciallachadh fàilligeadh ann an tèarainteachd tagraidh, sruthan-obrach mì-dhealbhaichte, no cleachdaidhean còd neo-chùramach a nochdas dàta mothachail. Eisimpleir? Is e teisteanasan cruaidh-chòdaichte a th’ annta. commitair a chur gu stòr-tasgaidh Git no a CI/CD obair le còraichean ruigsinneachd ro fharsaing.
In CI/CDleasachadh air a stiùireadh, pipeline’S e s agus còd an uachdar ionnsaigh ùr. Tha seo ga dhèanamh deatamach gluasad gu clì, a’ làimhseachadh pipeline còd (leithid Gnìomhan GitHub no rèiteachaidhean GitLab CI) mar phàirt den tagradh agus ga neartachadh a rèir sin. Ann an teirmean practaigeach, feumaidh luchd-leasachaidh tuigsinn dè a th’ ann am briseadh dàta ann an co-theacsa gach commit, sruth-obrach, agus eisimeileachd treas-phàrtaidh.
Dè de na leanas a tha nan adhbharan cumanta airson briseadh tèarainteachd ann an àrainneachdan leasachaidh an latha an-diugh?
- Bun-roghainnean mì-thèarainte ann an CI/CD Pipelines. Bidh innealan CI mar Jenkins, GitHub Actions, no GitLab CI gu tric a’ cleachdadh roghainnean bunaiteach ceadaichte. Sruth-obrach le ceadan sgrìobhaidh farsaing (me, ceadan: sgrìobh a h-uile càil) faodar a thoirt thairis ma thèid PR droch-rùnach aontachadh. Seo eisimpleir leabhar-teacsa de na leanas a tha nan adhbharan cumanta airson briseadh tèarainteachd.
- Dìomhaireachdan fosgailte ann an stòran-dàta. Gheibhear dìomhaireachdan leithid teisteanasan AWS, faclan-faire stòr-dàta, no comharran API gu tric ann an YAML, Dockerfiles, no còd tùsail. Faodar an leigeil a-mach nuair a thèid stòran-dàta fhoillseachadh gun fhiosta no a sganadh le luchd-ionnsaigh. Ann an briseadh tèarainteachd Uber ann an 2022, lean teisteanasan cruaidh-chòdaichte gu cunnart mòr.
- Troimh-chèile Eisimeileachd agus Pacaidean droch-rùnach. Tha aplacaidean an latha an-diugh an urra gu mòr ri leabharlannan treas-phàrtaidh. Tha typosquatting, pacaidean gun chumail suas, agus còd droch-rùnach falaichte ann an eisimeileachdan ga dhèanamh mar aon de na h-adhbharan cumanta nach eil cho follaiseach ach dona airson briseadh tèarainteachd. SBOM Tha (Bille Stuthan Bathar-bog) agus sganadh eisimeileachd leantainneach deatamach ann a bhith a’ cur casg air tachartasan briseadh dàta.
- IAM agus Smachdan Ruigsinneachd air an rèiteachadh gu ceàrr. Dreuchdan IAM ro-cheadachail ann an còd (m.e., a’ ceadachadh s3:*) faodaidh luchd-ionnsaigh gluasad taobhach a thoirt seachad taobh a-staigh bun-structar sgòthan. Gu tric chan eil ath-sgrùdadh teann agus dearbhadh fèin-ghluasadach ann an smachdan ruigsinneachd a tha air an cur a-steach do chòd (caochladairean àrainneachd, comharran).
- Comharran ath-chleachdte agus ruigsinneachd CI poblach. Comharran gun chrìoch no CI dashboardTha s a tha ruigsinneach às aonais ùghdarrais a’ riochdachadh vectaran briseadh falaichte ach buadhach. Tha fàgail logaichean togail no comharran CI ann an URLan poblach co-ionann an latha an-diugh ri bhith a’ fàgail nan iuchraichean san doras. Tha seo cuideachd mar aon de na freagairtean cudromach do dè de na leanas a tha nan adhbharan cumanta airson briseadh.
CI/CDAn Uachdar Brisidh Ùr
CI/CD pipelineTha s a-nis nan vectar ionnsaigh gnìomhach. Bidh cleasaichean droch-rùnach a’ gabhail brath air obraichean mì-rèiteachaidh, faidhlichean YAML ceadaichte, PRan a chaidh a thoirt a-steach, agus raointean ruigsinneachd a chaidh a shealbhachadh nach deach ath-sgrùdadh a-riamh. pipelinea’ cur an gnìomh le sochairean ìre fèin-ghluasaid a dh’ fhaodas, ma thèid an cur an cunnart, malware a chleachdadh, teisteanasan a leigeil ma sgaoil, no so-mhaoin mothachail fhoillseachadh. Tha an t-atharrachadh seo ann an uachdaran ionnsaigh a’ ciallachadh gum feum luchd-leasachaidh ath-mheasadh a dhèanamh air dè a th’ ann am briseadh dàta anns an CI/CD ùine.
A bharrachd air roghainnean bunaiteach, is e crìochan earbsa prìomh chùis: pipelineBidh iad gu tric a’ toirt a-steach còd taobh a-muigh, leithid pacaidean stòr fosgailte no sgriobtaichean treas-phàrtaidh. Ma tha dearbhadh lag no a dhìth, fosglaidh seo an doras gu ionnsaighean slabhraidh solair bathar-bogMar eisimpleir, faodaidh stàladh eisimeileachd droch-rùnach rè ceum togail cothrom a thoirt do luchd-ionnsaigh air teisteanasan soidhnidh no nithean cinneasachaidh.
cuideachd, pipelineIs ann ainneamh a thèid sgrùdadh cho mionaideach a dhèanamh air còd tagraidh. Dh’fhaodadh dìomhaireachdan a bhith ann an logaichean. Dh’fhaodadh nithean a bhith air an stòradh às aonais crioptachadh. Dh’fhaodadh caochladairean àrainneachd le ceadan àrdaichte mairsinn thar obraichean. Eadhon dìth roinneadh ruith-ùine, far am faigh obair a tha air a mhilleadh cothrom air àite-obrach obair eile, faodaidh sin gluasad taobhach adhbhrachadh taobh a-staigh an pipeline.
Feumaidh dòighean èifeachdach airson casg a chur air briseadh dàta a bhith a’ toirt a-steach pipeline security deuchainnean, buileachadh phoileasaidhean fèin-ghluasadach, agus cuingealachadh raointean obrach. Bu chòir do luchd-leasachaidh dèiligeadh ri CI/CD mìneachaidhean mar chòd a dh’ fheumas ath-sgrùdadh, sganadh agus cruadhachadh cead fhaighinn.
Mu dheireadh, a’ làimhseachadh pipelinemar shaoranaich den chiad ìre ann an ailtireachd bathar-bog agus tha e deatamach an tèarainteachd a dhèanamh cho làidir ris an tagradh fhèin. Chan e dìreach na thogas tu a tha cudromach, tha e mu dheidhinn mar a thogas tu e.
Ro-innleachdan Luchd-leasachaidh an Toiseach gus casg a chur air briseadh dàta
Gus tuigse fhaighinn air mar a chuireas tu casg air tachartasan briseadh dàta bho shealladh leasaiche, tha e riatanach gluasad nas fhaide na badan ath-ghnìomhach agus smachdan tèarainteachd a chuir an gnìomh gu dìreach ann an sruth-obrach leasachaidh. Tha tèarainteachd a tha stèidhichte air an leasachadh an toiseach a’ ciallachadh a bhith ag amalachadh chleachdaidhean dìon far a bheil luchd-leasachaidh ag obair: ann an còd, ann an CI pipelines, agus ann an siostaman riaghlaidh eisimeileachd.
Tòisich le bhith a’ cur dearbhadh cead a-steach don rèiteachadh CI agad. Cleachd fèin-ghluasad gus mìneachaidhean sruth-obrach a sganadh airson roghainnean ro-cheadaichte agus casg a chuir air aonaidhean mura tèid a h-uile ceum a dhèanamh lean prionnsabal na sochair as lughaTha an gnìomh ro-làimh seo a’ dèiligeadh gu dìreach ri mar a chuireas tu casg air briseadh dàta tro bhith a’ cruadhachadh sruth-obrach.
Riaghladh dìomhaireachdan 'S e raon eile a th' ann far am feum luchd-leasachaidh smachd a ghabhail. Seachain teisteanasan no comharran a stòradh ann an còd tùsail. Cuir innealan lorg dìomhair an gnìomh ann an pre-commit hooks agus sgrùdaidhean CI gus mearachdan a ghlacadh mus ruig iad an stòras-dàta. Cuir seo còmhla ri fuasglaidhean stòraidh dìomhair leithid AWS Secrets Manager no HashiCorp Vault agus cuir cuairteachadh dìomhaireachdan an sàs anns na pròiseasan cleachdaidh agad.
Sgriobtaichean a-staigh, ge b’ e bash, Python, no Node.js, bu chòir an làimhseachadh mar mhaoin chudromach. Dèan lèirmheas orra airson obrachaidhean cunnartach leithid stealladh slige, làimhseachadh faidhle neo-iomchaidh, no cleachdadh mì-shàbhailte de chaochladairean àrainneachd. Cleachd innealan mion-sgrùdaidh statach agus cuir lèirmheasan co-aoisean an gnìomh airson a h-uile sgriobt obrachaidh no cleachdaidh.
Bu chòir poileasaidhean smachd ruigsinneachd a bhith sgrìobhte ann an bun-structar mar chòd (IaC) innealan, gun a bhith air a chur an sàs le làimh ann an consoles sgòthan. Leigidh seo le smachd dreach, sgrùdadh, agus dearbhadh fèin-ghluasadach. Faodaidh innealan mar AWS IAM Access Analyzer no Open Policy Agent cuideachadh le bhith a’ dearbhadh nan ceadan sin aig ìre a’ chòd mus tèid an cur an sàs. Seo eisimpleir eile de mar a chuireas tu casg air briseadh dàta tro dhearbhadh IAM còd-an-toiseach.
Mu dheireadh, tha e deatamach gum faic thu eisimeileachd bathar-bog. Generate SBOMgu fèin-ghluasadach mar phàirt den phròiseas togail agad agus lean sùil leantainneach orra. Leigidh seo le pacaidean nach eil air an cumail suas no droch-rùnach a bhith air an comharrachadh gu sgiobalta. Meudaich sganadh so-leòntachd le innealan a bhios a’ comharrachadh giùlan amharasach leithid gairmean lìonra no còd doilleir ann an leabharlannan treas-phàrtaidh.
Le bhith a’ togail nan cleachdaidhean seo a-steach do shruthan-obrach làitheil luchd-leasachaidh, chan e a-mhàin gu bheil thu a’ freagairt a’ cheist mu mar a chuireas tu casg air briseadh dàta, ach bidh thu cuideachd a’ lughdachadh suathadh agus a’ brosnachadh chleachdaidhean còdaidh tèarainte. Bidh tèarainteachd na leudachadh nàdarra air leasachadh, chan e bacadh rathaid. Bidh na cleachdaidhean seo uile a’ lughdachadh gu dìreach na h-adhbharan cumanta airson briseadh dàta.
Briseadh san t-Saoghal Fìor bho Pipelines agus Còd
- Uber 2022Fhuair luchd-ionnsaigh cothrom air siostaman a-staigh Uber às dèidh dhaibh teisteanasan AWS cruaidh-chòdaichte a lorg a bha fosgailte ann an stòr-tasgaidh prìobhaideach GitHub. Aon uair ‘s gun robh iad a-staigh, ghluais iad gu taobhach thar sheirbheisean a’ cleachdadh comharran ruigsinneachd ath-chleachdte agus dreuchdan IAM le droch raon. Tha a’ chùis seo a’ sealltainn mar a dh’ fhaodadh aon mhearachd ann am foillseachadh còd a dhol am meud gu bhith na cho-rèiteachadh iomlan agus tha e na eisimpleir soilleir de na tha na bhriseadh dàta air adhbhrachadh le dearmadan leasachaidh cumanta.
- EquifaxIs e seo aon de na briseadh tèarainteachd as follaisiche ann an eachdraidh, agus dh’fhuiling Equifax air sgàth fàilligeadh ann a bhith a’ càradh so-leòntachd aithnichte ann an Apache Struts. Ged a bha an CVE poblach, bha an cuid… CI/CD pipeline bha dìth phròiseasan sganaidh is riaghlaidh badan fèin-ghluasadach ann, agus mar thoradh air sin bha mìosan ann de nochdadh gun badan. Rinn luchd-ionnsaigh brath air seo gus faighinn gu PII mothachail de mhilleanan, a’ sealltainn dè de na leanas a tha nan adhbharan cumanta airson briseadh ann an còd dìleab pipelines.
- Còd-chòd 2021Dh’atharraich cleasaiche droch-rùnach sgriobt luchdaiche Bash aig Codecov, a chaidh a chleachdadh gu farsaing ann an CI. pipelines. Le bhith a’ cur còd a-steach don sgriobt, thug iad a-mach caochladairean àrainneachd (a bha tric a’ toirt a-steach comharran agus teisteanasan) bho mhìltean de àrainneachdan luchd-ceannach. Tha an briseadh dàta seo a’ soilleireachadh nan cunnartan a tha an lùib sgriobtaichean a tharraing bho thùsan taobh a-muigh gun dearbhadh ionracas agus a’ tabhann sealladh air mar as urrainnear casg a chuir air briseadh dàta le bhith a’ dearbhadh eisimeileachdan taobh a-muigh.
- SolarWindsBha an ionnsaigh ainmeil air an t-sèine solair ag amas air an CI/CD siostam SolarWinds. Chuir luchd-ionnsaigh malware a-steach do na stuthan togail de bhathar-bog Orion, a chaidh an uairsin a sgaoileadh gu luchd-ceannach mar ùrachaidhean earbsach. Nochd am briseadh dàta cùisean domhainn le ionracas togail agus dìth sgrùdaidh giùlain rè cruthachadh stuthan, eisimpleir làidir eile de na tha briseadh dàta a’ tighinn bhon taobh a-staigh pipeline fhèin.
- Droch-chleachdadh Gnìomhan GitHubTha iomadh tachartas air sealltainn mar as urrainn do luchd-ionnsaigh brath a ghabhail air sruthan-obrach GitHub Actions a tha ro cheadaichte. Mar eisimpleir, chuir luchd-ionnsaigh a-steach PRan le còd droch-rùnach a chaidh a ruith le ceadan àrdaichte air sgàth droch raon-obrach. ceadan: raointean. Tha na cùisean seo a’ cur cuideam air cho cudromach sa tha dealachadh obraichean agus dearbhadh sruth-obrach agus a’ sealltainn dè de na leanas a tha nan adhbharan cumanta airson briseadh co-cheangailte ri mì-rèiteachadh tèarainteachd CI.
Tha gach aon de na h-eisimpleirean fìor seo a’ sealltainn dè de na leanas a tha nan adhbharan cumanta airson briseadh tèarainteachd, bho dhìomhaireachdan ann an còd agus so-leòntachdan gun phasgan gu pipeline droch chleachdadh agus làimhseachadh eisimeileachd. Bidh iad cuideachd a’ neartachadh cho èiginneach ’s a tha e smachdan làidir a chur an gnìomh mar phàirt de ro-innleachd fharsaing air mar a chuireas tu casg air briseadh dàta.
Mar a chuidicheas Xygeni le casg a chur air briseadh dàta air a stiùireadh le luchd-leasachaidh
Xigin a’ toirt seachad fìor-ùine pipeline security le bhith ga amalachadh gu dìreach a-steach do GitHub Actions, GitLab CI, agus Jenkins. Bidh e a’ sganadh YAML airson roghainnean bunaiteach mì-thèarainte, a’ dearbhadh raointean cead, agus a’ lorg dìomhaireachdan mus ruig iad an smachd iomallach agad. Bidh na h-innealan dearbhaidh IAM aige a’ sgrùdadh cleachdadh cead bhon stòr-còd, chan ann a-mhàin anns a’ chonsól sgòthan.
Airson eisimeileachdan, tha Xygeni a’ tabhann leantainneachd SBOM a’ tracadh agus a’ comharrachadh phasganan droch-rùnach no so-leònte mus tèid an cur ann an riochdachadh. Bidh e a’ cumail sùil air cleachdadh chomharran, a’ toirt rabhadh mu ath-chleachdadh, agus a’ comharrachadh nochdadh poblach ann an CI/CD àrainneachdan.
Ann an ùine ghoirid, leigidh Xygeni le dòigh-obrach a chuireas an luchd-leasachaidh an toiseach a thaobh mar a chuireas tu casg air bagairtean briseadh dàta le bhith a’ glacadh chùisean tràth agus gan càradh far an tòisich iad, sa chòd. Tha an fèin-ghluasad aige air a thogail gus dèiligeadh ri adhbharan cumanta briseadh dàta le bhith a’ lorg easbhaidhean mì-thèarainte agus cunnartan falaichte.
Còd tèarainte, tèarainte Pipelines, Casg a chur air Briseadh
Gus fìor thuigse fhaighinn air dè a th’ ann am briseadh dàta, feumaidh luchd-leasachaidh coimhead nas fhaide na ballachan-teine agus fòcas a chuir air còd, pipelines, agus sreathan ruigsinneachd. Le bhith a’ tuigsinn dè de na leanas a tha nan adhbharan cumanta airson briseadh tèarainteachd, faodaidh sgiobaidhean tèarainteachd a ghluasad gu clì agus ath-fhàs a thogail gu dìreach nan sruthan-obrach.
Co-dhiù a tha e tro shlàinteachas eisimeileachd nas fheàrr, sgrùdaidhean cead fèin-ghluasadach, no sganadh dìomhair, bidh an t-slighe gu mar a chuireas tu casg air tachartasan briseadh dàta a’ tòiseachadh ann an IDE agus CI an leasaiche. pipelineBidh innealan mar Xygeni ga dhèanamh practaigeach agus èifeachdach, a’ tionndadh pipelinebho phuingean lag gu bhith nan daingnichean. Le bhith a’ dèanamh sin, bidh iad a’ cuideachadh le bhith a’ cuir às do na h-adhbharan as cumanta airson briseadh tèarainteachd ann an slabhraidh solair bathar-bog an latha an-diugh.
