Menene Dosfuscation? Me Ya Sa Ya Kamata Masu Haɓakawa Su Kula
Ga ɗan gajeren hoto game da barazanar: yi tunanin yin bitar hulɗar jama'a da ke kama da ƙaramin sabuntawa na amfani. An binne shi a ciki, wani mai ba da gudummawa ya ƙara abin da ya zama kamar rubutun taimako mara lahani. Amma a haɗe, yana aiki a lokacin CI pipeline kuma yana haifar da wani madauki wanda ke cinye duk ƙwaƙwalwar ajiya a hankali, yana lalata ginin.
Dosfuscation wani nau'in harin hana aiki na ciki (DoS) ne da aka ɓoye ta amfani da dabarun ɓoye lambar. Yana haɗa dabaru da aka tsara don karya aiwatarwa, kamar madaukai marasa iyaka ko kumburin ƙwaƙwalwa, tare da dabarun ɓoye ainihin halayensa, wanda ke sa ya zama da wahala a gano shi yayin bita ko bincike. Wannan ba wani abu bane da ya fito daga waje; yana cikin lambar ku, yana jiran ya lalata aikin ginin ku ko samarwa.
Me ya sa za a damu? Ba kamar nau'ikan hana kai hare-haren sabis na gargajiya waɗanda ke mamaye sabar ku da zirga-zirgar ababen hawa ba, dosfuscation yana ɓoye a fili, sau da yawa yana wuce bita na lamba ko binciken fakiti. Bam ne mai ma'ana da aka gina a cikin na'urar ku. pipeline.
Misali na gaske: An kunshin npm ya ƙunshi madauki mara iyaka. Yana wucewa da kyau a cikin shigarwa, amma yana ɓoye ƙwaƙwalwar ajiya a cikin samarwa har sai app ɗinku ya faɗi. Wannan yana nuna yadda dosfuscation, wanda ke aiki ta hanyar dabarun ɓoye bayanai, ya zama nau'in ɓoye na nau'ikan hare-haren sabis mafi cutarwa.
DoS na yau da kullun vs. Dosfuscation: Bambancin Gaske a Haɗari
Dosfuscation wani nau'in hare-haren hana ayyuka ne. Ya bambanta da nau'ikan hare-haren da aka saba yi na hana ayyuka ta hanyar aiwatar da su ta hanyar lambar ɓoyewa, ba zirga-zirgar hanyar sadarwa ba.
Ka yi tunanin wannan: Ka amince da hulɗar jama'a a GitHub. Gwaje-gwaje sun wuce, ginin ya fara, sannan mai gudu ya tsaya cak. Kana gyara wani aiki na GitHub Actions wanda ya gaza wanda ke ci gaba da ƙarewa. Ya zama cewa, wani ƙaramin aiki da aka yi a cikin ƙaramin dogaro ya haifar da madauki mara iyaka a cikin rubutun bayan shigarwa.
Idan masu haɓaka manhajoji suka yi tunanin hana amfani da manhajoji, yawanci suna tunanin wani yanayi na waje, kamar tarin buƙatun da ke haifar da ɓarna ko kuma botnets da ke ƙara yawan amfani da manhajoji. Waɗannan su ne nau'ikan hana kai hare-haren sabis na yau da kullun, kuma yawancinmu mun shirya don amfani da su. Muna da WAFs a wurinmu, muna amfani da iyakancewar farashi, kuma muna gina tsarin aiki mai girma wanda zai iya jure wa wannan matsala.
Duk da haka, Dosfuscation ba ya fitowa daga waje. Ana haɗa shi kai tsaye zuwa tushen lambar ku. Yana ɓoyewa a cikin abubuwan da suka dogara da shi, yana shiga cikin CI. pipelines, kuma yana jira har sai an aiwatar da shi don ya lalata abubuwa. Babu adadin gyara ko gyara firewall Ragewar DDoS zai dakatar da shi domin ba ya taɓa tafiya ta hanyar sadarwa; ya riga ya koma gida.
Wannan ya sa yin amfani da dosfuscation wani nau'i ne na hana aiki a ɓoye. Ba ya bayyana kansa da hayaniyar hanyar sadarwa. Yana kashewa daga ciki, a lokacin ginawa, a lokacin aiki, ko lokacin da aka buga wani takamaiman reshen dabaru. Kuma saboda an binne shi a cikin lambar ta amfani da dabarun ɓoye bayanai na zamani, ba za ka kama shi ba sai dai idan kana kallon zurfinsa.
Shi ya sa Ƙungiyoyin DevSecOps Kana buƙatar yin tunani fiye da kariyar kewaye. Tsaron matakin aikace-aikace yana da mahimmanci. Idan kawai abin da kake mayar da hankali a kai shi ne hana cunkoson ababen hawa, za ka rasa kayan aikin da ke cikin rumbun ajiyarka.
Yadda Masu Kai Hare-hare Ke Amfani da Rufe Ido Don Boye Dabaru na DoS a cikin Lambar
Za ka iya ganin wannan a aikace lokacin da aikin aiki ya fara ɗaukar lokaci fiye da yadda ake tsammani, ko kuma mafi muni, ba ya ƙarewa. Misali ɗaya ya haɗa da ƙungiyar da ke gudanar da gwaje-gwaje a cikin akwati na Docker ta hanyar Ayyukan GitHubAn ƙara ƙaramin mai taimakawa gwajin JavaScript ta hanyar wani ɓangaren ɓangare na uku. An ɓoye shi don ɓoye madauri mara iyaka na rarraba ƙwaƙwalwar ajiya wanda ya sa tsarin node bai amsa ba.
Lokutan DoS da aka ɓoye sau da yawa suna zamewa ta cikin ayyukan CI ba tare da an lura da su ba. Misali, Ayyukan GitHub pipeline zai iya gudanar da wani rubutu da ba shi da lahani wanda zai rataye aikin ba zato ba tsammani saboda madauki mara iyaka da aka saka.
Domin tabbatar da wannan gaskiya ne, ga yadda za a iya ganin girman adadin da aka yi amfani da shi a cikin lambar yau da kullun.
Misali na JavaScript: Madauri mara iyaka da aka ɓoye
Wannan yana cike ƙwaƙwalwar ajiya har abada ta amfani da dabaru marasa tsari, wanda daga ƙarshe ya lalata app ɗin.
Misalin Python: CPU Hog Mai Rufewa
import base64
exec(base64.b64decode("d2hpbGUgVHJ1ZToKICBhcCA9IFtdCiAgZm9yIGkgaW4gcmFuZ2UoMTAwMDAwMDApOgogICAgYXAucHVzaChzdHIoaSkp"))
Wannan madaukin da aka rubuta base64 yana aiki ba tare da iyaka ba, yana ɓoye ƙwaƙwalwa ba tare da ya bayyana abin zargi ba a kallon farko.
Inda Abubuwan Biyan Kuɗi Ke Boye: Yanayin Bincike na Gaskiya na Duniya
Ana iya ɓoye kayan aikin da aka yi amfani da su a fili, a cikin fakitin wasu kamfanoni, a buɗe-tushen. pull requests, ko kuma rubutun cikin gida da aka sake amfani da su ba tare da an bincika su ba. Masu kai hari suna dogara ne akan saurin haɓakawa da sarrafa kansa don su zame ta cikin bama-bamai na dabaru da ba a sani ba, waɗanda ke cikin zurfin ku pipeline.
Wani yanayi na zahiri yana taimakawa wajen kwatanta yadda wannan ke faruwa:
Kana amfani da GitHub Actions don gudanar da tsarin aikin CI ɗinka. .github/workflows/build.yml yana shigar da dogaro ga ayyuka. Ɗaya daga cikinsu shine fakitin npm na wucin gadi, wanda ba kai tsaye ka shigar ba, amma a matsayin dogaro ga dogaro. Yana da'awar yana taimakawa da wani abu mara mahimmanci, kamar sarrafa igiyoyi.
Amma a cikin kunshin, wanda aka ɓoye ta amfani da dabarun ɓoye bayanai, akwai wani bam na dabaru. Yana iya zama madaurin rarraba ƙwaƙwalwar ajiya mara iyaka da aka haifar yayin wani postinstall rubutun, ko kuma shigar da lokacin gudu a cikin gwaje-gwajenku. Yana nan a kwance har sai an aiwatar da shi, babu gargaɗi, babu alamun binciken kuɗi.
Ba zato ba tsammani, mai gudu na CI ɗinku ya faɗi. CPU da ƙwaƙwalwar ajiya sun ƙaru. Aikin ya ƙare. Gina ko aiwatar da aikinku ya gaza.
Wannan ba wai kawai zato ba ne. An lura da irin waɗannan abubuwa a cikin daji. Suna nuna yadda dosfuscation ke amfani da aminci a cikin sarkar kayan aikin ku, amfani da ayyukan aiki ta atomatik, haɗuwa cikin sauri, da dogaro kai tsaye.
Ina waɗannan kayan aiki suke ɓoyewa akai-akai?
- Fakitin ɓangare na uku: musamman daga npm, PyPI, ko Maven.
- Buɗaɗɗen hanyar sadarwa ta PR: tare da dabaru masu ɓoye a ɓoye a matsayin sabuntawa masu taimako.
- Rubutun ciki: ƴan bayanai da aka sake amfani da su ba tare da ingantaccen tabbaci ko bita ba.
Masu kai hari suna amfani da ɓoye bayanai don jinkirta ganowa, suna dogaro da sake dubawa mara zurfi na lambobi da sabuntawar dogaro ta atomatik don yin sauran.
Yadda Ake Gano Dosfuscation a cikin Lambarka da Abubuwan da Ka Dogara da Su
Yi amfani da Nazarin Tsaye don Nemo Dabaru Mai Ban Mamaki
Yi amfani da kayan aikin da:
- Gano dabarun ɓoyewa kamar kwararar sarrafawa ko sake gina igiyoyi.
- Manhajar alama ta yi tsauri sosai ga na'urori masu sauƙi.
- Haskaka tsarin aiki ko rubutun da ke kama da nau'ikan hana hare-haren sabis.
Duba Abubuwan da Suka Dogara da Dubawa Fiye da Sigar Kawai
Kada ka tsaya a duba lambobin sigar:
- Duba cikin ainihin lambar.
- Ba da fifiko ga sake duba sabbin abubuwan da aka sabunta na kunshin.
- Nemi igiyoyi masu lamba, dabaru na ɓoye, ko alamun Dosfuscation.
Yi Bita da Hannu Mai Zato Pull Requests
Duba don:
- Canje-canje masu rikitarwa a cikin sabuntawa masu sauƙi.
- Manhaja mara tushe ko wacce ba a iya karantawa ba a cikin sabuwar lambar.
- PRs suna gabatar da dabarun ɓoye sirri da aka sani.
Dosfuscation yana faruwa ne lokacin da kowa ya ɗauka cewa "ƙaramin sauyi ne kawai."
Yadda Ake Hana Dofuscation Ya Faɗa Maka CI/CD
A cikin mahalli na CI kamar GitHub Actions, GitLab CI, ko CircleCI, rigakafi yana game da kafa sarrafawa waɗanda ke gano da kuma toshe abubuwan da aka ɓoye da wuri. Misali, tilasta sake duba PR don duk ayyukan aiki waɗanda ke ɗauke da rubutun harsashi ko shigarwa. hooks, da kuma saka idanu .yml pipeline saita ayyukan ɓangare na uku da ba a tabbatar ba.
CI/CD filin wasa ne na dofuscation. Ga yadda ake kulle shi:
- Ƙara na'urorin daukar hoto masu motsi a kowane PR da gini.
- Yi amfani da fakiti kawai daga majiyoyi masu aminci da aka tabbatar.
- Bin diddigin amfani da albarkatun gini; ƙaya na iya nufin ɓoyayyen dabaru.
- Haɗa kowane dogaro da wanda aka tabbatar SBOM.
- Hana amfani da dabarun ɓoye sirri na yau da kullun ba tare da wani dalili da aka rubuta ba.
Babu wani "shiga da bege." Rigakafi yana nufin samun guardrails An gina shi a cikin tsarin aikin ku. Kamo allurar da wuri yana hana nau'ikan hana kai hare-haren sabis mafi rikitarwa.
Matsayin Xygeni: Kama Dosfuscation Kafin Ya Kai Ga Samarwa
Xygeni yana taimaka wa ƙungiyoyin DevSecOps su dakatar da shan ƙwayoyi kafin ya haifar da rashin aiki ta hanyar saka bayanan sirri na tsaro a duk lokacin da kake amfani da su tsarin aiki na ci gabaTana da ƙwarewa wajen gano dabarun ɓoye bayanai da kuma aiwatar da manufofi bisa ga manufofi guardrails wanda ke hana hare-haren hana aiki a ɓoye kai tsaye zuwa ga samarwa.
A cikin Sharhin PR
Xygeni yana duba lambar don gano alamun ɓoyewa kamar:
- Amfani da eval ko kuma irin waɗannan hanyoyin aiwatar da aiki masu ƙarfi.
- Base64 ko igiyoyi masu lambar hex da aka yi amfani da su don ɓoye dabaru.
- Guduwar sarrafawa mai ban mamaki, kamar madaukai marasa tsari ko rassan dabaru masu rikitarwa.
Waɗannan alamu suna haifar da faɗakarwa a ainihin lokaci a lokacin pull request sake dubawa, ko a cikin lambar ɓangare na farko ko ta ɓangare na uku, yana taimaka wa masu nazarin tsaro su fahimci yadda ake amfani da su da wuri.
A lokacin Nazarin Dogara
Xygeni ba wai kawai yana nazarin bayanan fakiti ba, har ma da ainihin tushen sabbin abubuwan dogaro ko sabuntawa. Yana gano dabaru masu ɓoye a cikin ayyukan taimako ko rubutun bayan shigarwa, yana nuna fakitin masu haɗari ko da sun bayyana a saman.
A Lokacin Ginawa CI/CD Pipelines
Xygeni yana lura da ayyukan CI don gano abubuwan da ba su dace ba a cikin hali. Idan wani gini ya cinye CPU ko ƙwaƙwalwar ajiya ba zato ba tsammani, Xygeni yana bin diddigin ƙaruwar zuwa takamaiman lambar ko fakitin da aka gabatar kwanan nan. Yana daidaita halayen lokacin aiki ta atomatik tare da abubuwan da aka gano a tsaye don kama ɓoyayyun abubuwan da aka biya na DoS kafin su kawo cikas ga isarwa.
A Matsayin Tsarin Aiwatar da Manufofi
Zaka iya saita Xygeni don toshe alamu masu haɗari kai tsaye, kamar:
- Hana dogaro da suka haɗa da lambar base64 mai lamba ko eval
- Ana buƙatar amincewa da hannu ga duk rubutun bayan shigarwa
- Aiwatar da ƙa'idodin rashin haƙuri don kwararar sarrafawa mai ɓoye a cikin ayyukan PRs ko CI
Tare da Xygeni, tsaro ya zama mai himma. Yana ba ƙungiyoyi damar gani, gargaɗi da wuri, da kuma aiwatar da matakan manufofi kan nau'ikan dabarun ɓoye bayanai da ake amfani da su. Ta hanyar saka Xygeni a kowane mataki, PRs, scanning dependence, da CI runtime, kuna kama barazanar kafin ta zama bayan mutuwa.
Don haka, Dosfuscation yana juya lambar ku akan ku
Dosfuscation ba wai kawai haɗari ne na ka'ida ba; wani abu ne na gaske da ke ƙara girma wanda ke mayar da tsarin ci gaban ku zuwa makami. Yana bunƙasa a cikin gibin da ke tsakanin fitarwa cikin sauri, shigarwa ta atomatik, da sarƙoƙin dogaro waɗanda suka yi tsauri don a duba su da hannu. Wannan ba wai kawai batun tsaro ba ne; ƙalubale ne na injiniyan software. Hana ayyuka masu ɓoye suna ketare kariyar gargajiya ta hanyar saka kansu kai tsaye a cikin lambar sirri, inda wuraren kashe gobara da matatun zirga-zirga ba za su iya isa ba.
Ga masu haɓaka, amsar da za a bayar abu ne mai sauƙi: Idan ka rubuta lambar, ka amince pull requests, ko kuma sarrafa CI/CD pipelines, kai ne kan gaba. Gine-ginen tsaro ba wai kawai game da tsabtar lambar ba ne; suna buƙatar ganuwa, bincike, da kariyar da aka tallafa wa manufofi a kowane mataki na pipeline.
Matsawa fiye da jerin abubuwan da aka lissafa. Haɗa gano ɓoyewa cikin tsarin aikinka. Kula da igiyoyin tushe64, dabaru masu ban mamaki, ko ƙaruwar da ba a zata ba a cikin amfani da albarkatun CI. Tabbatar ba kawai abin da ka shigar, amma me yake yi. Bi da pipeline Tsari kamar lambar samarwa. Yi aiki da kansa guardrailsYi alama a kan abin da ya yi kama da na ban mamaki, koda kuwa yana "aiki."
Domin kuwa ba ya yin ihu. Yana jira. Kuma idan ba ka nema ba, zai zame.
