Nuadh- measadh so-leòntachd tha e an urra ri fios a bhith agad dè na h-eisimeileachdan a bhios do chòd a’ cleachdadh. Ach, tha mòran innealan fhathast a’ fàiligeadh leis a’ ghnìomh bhunasach sin. Seo far a bheil purl agus pgg tha cudromachd aig luchd-aithneachaidh. Le bhith a’ cleachdadh an URL a' phacaid pkg standard, faodaidh innealan tèarainteachd eisimeileachdan aithneachadh ro-làimhcisely, fuaim a lughdachadh, agus toraidhean a lìbhrigeadh as urrainn do luchd-leasachaidh earbsa a chur annta.
Ann an cleachdadh, chan eil sganairean a’ strì leis nach eil iad a’ faicinn so-leòntachdan. An àite sin, bidh iad a’ strì leis nach urrainn dhaibh aontachadh air dè a th’ ann an eisimeileachd. Bidh ainmean pacaid ag ath-aithris thar eag-shiostaman, bidh dreachan ag atharrachadh gu luath, agus eisimeileachdan sealach falaich domhainn anns a’ ghraf.
Air sgàth seo, bidh aithisgean so-leòntachd gu tric a’ toirt a-steach toraidhean dearbhach meallta, maidsean a chaidh a chall, no buaidh neo-shoilleir. Mar thoradh air an sin, bidh luchd-leasachaidh a’ call ùine a’ dearbhadh rabhaidhean an àite a bhith a’ càradh fìor chunnart.
Bidh purl a’ fuasgladh na trioblaid seo le bhith a’ toirt dearbh-aithne sònraichte is cunbhalach do gach eisimeileachd. Cho luath ‘s a bhios innealan ag aontachadh air dearbh-aithne, bidh measadh so-leòntachd nas soilleire, nas luaithe agus nas fhasa gnìomh a dhèanamh air.
Dè a th' ann am purl agus carson a tha pkg cudromach
purl (URL Pacaid) 'S e an fosgailte standard a chomharraicheas pasgan bathar-bog gu sònraichte. Ann an cleachdadh, bidh e ag atharrachadh eisimeileachd gu bhith na ro-cise, comharraiche a ghabhas leughadh le inneal. Bidh an comharraiche sin an-còmhnaidh a’ tòiseachadh le pgg, a mhìnicheas an eag-shiostam agus structar a’ phacaid.
Ann am briathran eile, Is e am pasgan am bunait, agus ’s e purl an cruth air a bheil innealan tèarainteachd an urra gus eisimeileachdan a chomharrachadh gun teagamh.
Purl air a thogail air pgg a’ toirt cunntas air:
- Seòrsa pacaid, leithid npm, maven, pypi, no docker
- An t-ainm-àite no a' bhuidheann
- Ainm a’ phacaid
- An dreach ceart
- Teisteanasan roghainneil, leithid ailtireachd no distro
- Mion-fhiosrachadh fo-shlighe roghainneil
Air sgàth an structair seo, Bidh comharraichearan purl stèidhichte air pacaid a’ toirt air falbh obair tomhaisChan eil dà eisimeileachd leis an aon ainm ach eag-shiostaman eadar-dhealaichte a’ bualadh ri chèile tuilleadh. Mar thoradh air an sin, sguir sganairean de bhith a’ tomhas agus tòisichidh iad a’ maidseadh le misneachd.
Cuir sìmplidh, Tha pkg a’ toirt cànan co-roinnte do innealan gus eisimeileachdan a mhìneachadh air feadh an t-saoghail SDLC.
Carson a tha pkg agus purl deatamach airson Measadh So-leòntachd
A measadh so-leòntachd chan eil e ag obair ach nuair a tha comharrachadh eisimeileachd ann ro-làimhcise. Air neo, caillidh toraidhean earbsa agus bidh luchd-leasachaidh a’ caitheamh ùine a’ dearbhadh rabhaidhean an àite a bhith a’ càradh chùisean.
Seo far a bheil aithnichearan purl stèidhichte air pacaid atharraich a’ gheama.
Bidh iad a’ cuideachadh oir tha iad:
- Thoir air falbh mì-chinnt nuair a bhios ainmean pacaid ag ath-aithris thar eag-shiostaman
- Leasaich co-chòrdadh le stòran-dàta so-leòntachd mar NVD agus OSV
- Co-thaobhadh sganairean, SBOMs, agus aithisgean timcheall air an aon dearbh-aithne eisimeileachd
Mar thoradh air an sin, bidh measadh so-leòntachd nas luaithe airson dearbhadh agus nas fhasa gnìomh a dhèanamh air.
An àite a bhith a’ faighneachd “An e seo an aon eisimeileachd?”, faodaidh sgiobaidhean fòcas a chuir air “A bheil seo dha-rìribh a’ toirt buaidh oirnn?”
Eisimpleir Teicnigeach Shìmplidh: pkg agus purl ann an Cleachdadh
Smaoinich air seirbheis Java a bhios a’ cleachdadh Log4j. Feumaidh sganair an dreach eisimeileachd ceart aithneachadh gus a bhith a’ maidseadh so-leòntachd gu ceart.
le pacaid agus purl, tha an eisimeileachd sin coltach ri seo:
Tha an aon loidhne seo ag innse don inneal a h-uile dad a dh’ fheumas e:
- Eag-shiostam: Maven
- Buidheann: org.apache.logging.log4j
- Pasgan: log4j-core
- Version: 2.17.1
gun dearbh-aithne stèidhichte air pasgan, is dòcha nach fhaic an sganair ach:
Aig an ìre sin, bidh an inneal a’ tomhas. Mar thoradh air an sin, nochdaidh toraidhean dearbhach meallta agus thèid fìor chunnartan a thiodhlacadh.
le pacaid agus purl, bidh sganairean a’ maidseadh comhairlean gu ceart agus gu cunbhalach.
pasgan, purl, SBOMs, agus Mapadh Eisimeileachd
Luach pacaid agus purl a’ meudachadh eadhon nas motha nuair a bhios sgiobaidhean a’ gineadh SBOMagus innealan mapadh eisimeileachd a chleachdadh.
Nuadh- innealan mapadh eisimeileachd tagraidh Cuir earbsa ann aithnichearan stèidhichte air pasganan gus ceangal:
- Eisimeisean
- So-leòntachd
- Togalaichean agus pipelines
- Artaigilean gèillidh
Leis gu bheil a h-uile siostam a’ cleachdadh an aon rud pacaid agus purl, bidh na co-dhùnaidhean cunbhalach bhon chòd tùsail gu riochdachadh.
Mar a nochdas pkg ann an SBOM (Eisimpleir CycloneDX)
Seo ìre as ìsle Eisimpleir CycloneDX:
Leigidh seo le measadh so-leòntachd sam bith no SCA inneal gu:
- Maidseadh comhairlean gu ceart
- Cùm sùil air an eisimeileachd thar thogalaichean
- Co-cheangail co-dhùnaidhean ri co-theacsa ruith-ùine
Ann an cleachdadh, Bidh am pasgan ag obair mar ghliù eadar SBOMs, scanairean, agus innealan mapadh eisimeileachd.
Innealan Sgrùdaidh Eisimeileachd an aghaidh Innealan Mapadh Eisimeileachd
traidiseanta sgrùdadh eisimeileachd Bidh innealan a’ freagairt aon cheist:
“A bheil an eisimeileachd seo so-leònte?”
Innealan mapadh eisimeileachd freagair fear nas duilghe:
“Càite a bheil an eisimeileachd seo dha-rìribh cudromach?”
Lorgaidh sgrùdadh cùisean. Mìnichidh mapadh buaidh.
Nuair a bhios innealan gan cleachdadh pacaid agus purl, bidh sgrùdadh agus mapadh ag obair còmhla. Mar thoradh air an sin, bidh liostaichean so-leòntachd fada a’ tionndadh gu bhith nan de shoilleir, càirdeil do luchd-leasachaidhcisiain.
Bho phacaid agus purl gu Gnìomh le Xygeni SCA
cleachdadh pgg agus purl a’ toirt dòigh cho-roinnte do dh’innealan airson eisimeileachdan a chomharrachadh. Ach chan eil comharrachadh leis fhèin a’ càradh cunnart. Is e gnìomh soilleir a dh’ fheumas luchd-leasachaidh an ath rud.
Seo far a bheil Xigin SCA a’ ceangal dàta eisimeileachd ri sruthan-obrach leigheis fìor.
Cleachdaidhean Xygeni aithnichearan purl stèidhichte air pacaid mar bhunait airson an einnsean Mion-sgrùdadh Co-dhèanamh Bathar-bog aige. Leis gu bheil ro-làimh aig gach eisimeileachdcisdearbh-aithne, faodaidh Xygeni dàta a cheangal gu earbsach thar sganairean, SBOMs, agus comharran ruith-ùine.
Mar thoradh air an sin, bidh an àrd-ùrlar a’ dol nas fhaide na sgrùdaidhean eisimeileachd bunaiteach.
Mar a bhios Xygeni ag atharrachadh dàta eisimeileachd gu Decisions
Nuair a lorgas Xygeni eisimeileachd so-leònte, leanaidh e sreath shoilleir:
- Bidh e a’ comharrachadh an eisimeileachd le bhith a’ cleachdadh pkg agus purl, a’ seachnadh buaireadh ainmean
- Bidh e a’ mapadh far a bheil an eisimeileachd sin a’ nochdadh thar stòran-dàta agus sheirbheisean
- Bidh e a’ dèanamh cinnteach a bheil an t-slighe còd so-leònte a’ ruith dha-rìribh
- Bidh e a’ measadh comas-brathaidh le bhith a’ cleachdadh EPSS agus dàta aithnichte mu chleachdadh.
- Bidh e a’ rangachadh na cùise a rèir fìor chunnart, chan ann a-mhàin dèinead
Air sgàth an t-sruth seo, chan fhaigh luchd-leasachaidh rabhaidhean amh tuilleadh. Gheibh iad co-theacsa.
Leigheas Càirdeil do Luchd-leasachaidh Togte a-steach
Cho luath ‘s a dhearbhas Xygeni gu bheil eisimeileachd cudromach, cuidichidh e luchd-leasachaidh gus a chàradh gun an sruth-obrach fhàgail.
Mar eisimpleir:
- Guardrails faodaidh iad casg a chuir air aonaidhean mì-shàbhailte nuair a nochdas eisimeileachdan cunnartach
- Tha Bot Xygeni a ’fosgladh a pull request le ùrachadh sàbhailte
- Bidh deuchainnean a’ ruith gu fèin-ghluasadach mus tèid an cur còmhla
- Thig an duilgheadas gu crìch cho luath ‘s a ruigeas an càradh
Ann an cleachdadh, Tha am pasgan agus am purl a’ toirt soilleireachd, agus Xygeni SCA a’ tionndadh na soilleireachd sin gu gnìomh.
Carson a tha seo cudromach ann am pròiseactan fìor
Bidh aplacaidean ùr-nodha a’ roinn eisimeileachdan thar sgiobaidhean, sheirbheisean agus pipelines. Às aonais mapadh, bidh sgiobaidhean a’ tomhas. Le mapadh, bidh iad ag obair.
Le bhith a ’cothlamadh pgg, purl, mapadh eisimeileachd, agus fèin-ghluasad, Xygeni SCA a’ giorrachadh na slighe bho lorg gu leigheas. Mar thoradh air an sin, bidh luchd-leasachaidh a’ càradh an eisimeileachd cheart, san àite cheart, aig an àm cheart.
Sin mar a thig tèarainteachd eisimeileachd gu bhith na phàirt de leasachadh làitheil an àite gnìomh tèarainteachd air leth.
Mar a bhios Tèarainteachd Eisimeileachd a’ Sruthadh bho Lorg gu Càradh
Lorg → Mapadh → Càradh
Lorg
Xigin SCA a’ lorg eisimeileachdan so-leònte le bhith a’ cleachdadh ceart pacaid agus purl comharraichearan thar gach stòr-tasgaidh agus togail.
mapadh
Bidh an àrd-ùrlar a’ mapadh far a bheil gach eisimeileachd air a chleachdadh, a’ sgrùdadh ruigsinneachd, agus a’ cur co-theacsa brathaidh ris gus dearbhadh gu bheil fìor chunnart ann.
Fix
Bidh Xygeni a’ cur an gnìomh guardrails, a’ fosgladh gu tèarainte pull requests, a’ ruith dheuchainnean, agus a’ cuideachadh luchd-leasachaidh gus ùrachaidhean sàbhailte a chur còmhla gu sgiobalta.
toradh
Glan decisianan, nas lugha de thoraidhean dearbhach meallta, agus leigheas nas luaithe gun a bhith a’ briseadh sruthadh an leasaiche.
Co-dhùnadh: Bho Sgrùdadh Eisimeileachd gu Tèarainteachd Eisimeileachd Fìor
Ann an leasachadh an latha an-diugh, tha innealan sgrùdaidh eisimeileachd fhathast a’ cluich pàirt. Ach, feumaidh fìor thèarainteachd barrachd air lorg a-mhàin. An-diugh, bidh measadh èifeachdach air so-leòntachd a’ tòiseachadh le bhith eòlach air dè na h-eisimeileachdan a bhios do chòd a’ cleachdadh agus mar a bhios iad ag obair ann an àrainneachdan fìor.
Ann an cleachdadh, is ann an seo a tha na comharran-aithneachaidh purl agus pkg dha-rìribh cudromach. Le bhith a’ toirt seachad dòigh shoilleir is cunbhalach airson eisimeileachdan a chomharrachadh, bidh sgiobaidhean a’ seachnadh troimh-chèile thar eag-shiostaman. Mar thoradh air an sin, bidh sganairean, SBOMs, agus mu dheireadh tha clàran a’ bruidhinn an aon chànan.
A bharrachd air sin, tha dearbh-aithne cheart a’ dèanamh prìomhachasadh fada nas fhasa. Nuair a bhios innealan ag aontachadh air dearbh-aithne, bidh luchd-leasachaidh a’ caitheamh nas lugha de ùine a’ dearbhadh rabhaidhean agus barrachd ùine a’ càradh fìor chunnart. Ann am faclan eile, bidh soilleireachd a’ dol an àite obair tomhais.
Xigin SCA a’ togail air a’ bhunait seo. An àite a bhith a’ làimhseachadh eisimeileachdan mar liostaichean statach, bidh e a’ cothlamadh pkg, purl, mapadh eisimeileachdan, agus fèin-ghluasad ann an aon shruth-obrach leantainneach. Mar thoradh air an sin, bidh measadh so-leòntachd nas luaithe, nas ro-innseach.cise, agus nas fhasa gnìomh a dhèanamh air.
Aig a’ cheann thall, chan eil AppSec an latha an-diugh mu dheidhinn barrachd chùisean a lorg. An àite sin, tha e mu dheidhinn tuigse nas fheàrr fhaighinn air eisimeileachdan agus na rudan a tha dha-rìribh cudromach a chàradh. Nuair a thòisicheas tèarainteachd eisimeileachdan le pkg, a chumas cunbhalach tro purl, agus a ruitheas gu leantainneach mar phàirt de mheasadh so-leòntachd, bidh sgiobaidhean a’ faighinn astar, misneachd agus smachd air feadh an… SDLC.
Mun Author
sgrìobhte le Fátima Said, Manaidsear Margaidheachd Susbaint a tha speisealaichte ann an Tèarainteachd Iarrtasan aig Tèarainteachd Xygeni.
Bidh Fátima a’ cruthachadh susbaint a tha càirdeil do luchd-leasachaidh agus stèidhichte air rannsachadh air AppSec, ASPM, agus DevSecOps. Bidh i ag eadar-theangachadh bun-bheachdan teicnigeach iom-fhillte gu lèirsinn shoilleir, obrachail a cheanglas ùr-ghnàthachadh cibear-thèarainteachd le buaidh gnìomhachais.
