Tsarin tsarin buɗaɗɗen tushe muhimmin ginshiƙi ne na haɓaka software na zamani, yana haɓaka kirkire-kirkire da haɗin gwiwa. Duk da haka, buɗewar sa yana sa ta zama mai sauƙin fuskantar barazanar yanar gizo daban-daban. A cewar wani rahoto daga Comparitecha shekarar 2023, an gano nau'ikan malware sama da miliyan 100 da kuma aikace-aikacen da ba a so (PUA), wanda hakan ya nuna cewa hare-haren da suka shafi malware har yanzu suna zama babbar barazana ga yanar gizo.
Sabbin Iyalan Malware a cikin Fakitin Buɗaɗɗen Tushe
Shigarwa - Tamper Malware
Yadda Suke Aiki: Wannan nau'in malware yana lalata tsarin shigarwa na fakitin buɗaɗɗen tushe. Yana saka lambar mugunta yayin shigar da fakitin, wanda daga nan zai iya aiki duk lokacin da aka yi amfani da fakitin.
Rauni da aka yi amfani da shi: Shigarwa-Tamper malware yana amfani da amincin da masu amfani ke da shi sanya shi a cikin ma'ajiyar bayanai ta hanyar buɗaɗɗen tushe da kuma rashin tsauraran bincike na tsaro yayin aiwatar da shigar da fakitin.
Dabarun Kariya: Domin kare kai daga shigar da malware mai ɓatarwa, yana da mahimmanci a yi amfani da fakitin da aka tabbatar da kuma waɗanda aka sanya wa hannu, a kunna tabbatar da abubuwa biyu don asusun ajiya, da kuma gudanar da binciken tsaro akai-akai game da abubuwan da suka dogara da su.
Misali na Shigar da Lamba Mai Taɓawa: npm Kunshin "launuka" (2022)
description:
Kunshin "launuka" sanannen ɗakin karatu ne na npm wanda ake amfani da shi don ƙara tasirin launi a cikin rajistan ayyukan wasan bidiyo. Ana amfani da shi sosai a cikin aikace-aikacen Node.js daban-daban.
Yadda Yayi Aiki:
A farkon shekarar 2022, wani sigar Kunshin "launuka" an yi masa gyara ta hanyar mugunta don haɗa da rubutun madauki mara iyaka a cikin babban fayil ɗinsa. Mai kula da aikin ne da kansa ya yi wannan sauyi, wanda ake zargin ya yi hakan ne a matsayin zanga-zanga kan amfani da kamfanoni wajen gudanar da ayyukan bude kofa ba tare da isasshen tallafi ko gudummawa ba.
Imfani:
Wannan gyare-gyaren ya sa duk wani aikace-aikacen da ke amfani da sigar "launuka" da aka lalata ya lalace, wanda ya haifar da katsewa mai yawa tsakanin kamfanoni da tsarin software da yawa waɗanda suka dogara da kunshin don ayyukansu.
Koyaswa Koyaswa:
Wannan lamari ya nuna raunin da ke tattare da tsarin kula da kunshin buɗaɗɗen tushe wanda aka dogara da aminci. Yana nuna buƙatar masu kula da su kiyaye ɗabi'a. standards da kuma ga masu amfani su gudanar da cikakken bita da gwaje-gwaje na dogaro da wasu kamfanoni a cikin yanayin ci gaban su. Shari'ar "launuka" ta kuma jaddada mahimmancin tallafawa masu kula da buɗaɗɗen tushe don hana gajiya da ramuwar gayya mara kyau.
Ƙofar Baya ta Farko da Aka Yi Amfani da Ita
Yadda Suke Aiki: Wannan ƙofar baya tana aiki lokacin da aka shigo da fakitin buɗaɗɗen tushe kuma aka yi amfani da shi a karon farko. Yana iya aika bayanan tsarin zuwa sabar nesa ko kuma sauke ƙarin kayan aiki.
Rauni da aka yi amfani da shi: Ƙofofin Baya na Amfani da Farko suna amfani da aiwatar da lambar da ba a tabbatar ba bayan fara amfani da fakiti, sau da yawa suna wucewa da kayan aikin bincike marasa tsari.
Dabarun Kariya: Yin bita da sa ido kan lambar sabbin fakitin da aka shigo da su da kuma amfani da kayan aikin bincike masu ƙarfi don gano halaye marasa kyau sune mabuɗin kariya daga ƙofofin baya na farko da ake amfani da su.
Misalin Ƙofar Baya ta Farko da Aka Yi Amfani da Ita: Lamarin Webmin na Ƙofar Baya (2019)
description:
Webmin sanannen hanyar sadarwa ce ta yanar gizo don gudanar da tsarin Unix. A cikin 2019, an gano cewa an yi wa manhajar kutse tare da wani Ƙofar baya wanda ya kasance a cikin lambar tsawon sama da shekara guda kafin a gano shi.
Yadda Yayi Aiki:
An shigar da ƙofar baya a ɓoye cikin ma'ajiyar Webmin GitHub ta hanyar sabar gini mai rauni. Lambar mugunta tana aiki ne kawai idan mai gudanarwa ya canza kalmar sirri ta amfani da hanyar haɗin Webmin. Da zarar an kunna ta, tana ba da damar aiwatar da umarni daga nesa tare da gata na tushen.
Imfani:
An aika ƙofar baya da nau'ikan Webmin daga 1.882 zuwa 1.921, wanda ya shafi gidajen yanar gizo da sabar sama da miliyan uku. Ƙofar baya ta buɗe tsarin ga masu kai hari daga nesa waɗanda za su iya samun cikakken iko akan sabar, wanda ke haifar da satar bayanai, satar sabar, da kuma ƙarin rashin jituwa tsakanin hanyoyin sadarwa.
Koyaswa Koyaswa:
Wannan lamari ya nuna mummunan raunin da ka iya faruwa idan aka yi wa tsarin ginawa illa. Yana nuna muhimmancin tabbatar da sabar ginawa da kuma gudanar da binciken tsaro akai-akai na tsawon lokacin ci gaban software. Shari'ar Webmin kuma ta nuna buƙatar tantancewa sosai na sabunta software, koda kuwa sun fito ne daga tushe masu aminci.
Tsutsar da ke Sauya Lokaci-lokaci
Yadda Suke Aiki: Wannan tsutsa tana kwance a cikin fakitin buɗaɗɗen tushe kuma tana aiki yayin lokacin aiki, mai yiwuwa ta bazu zuwa wasu fakiti da tsarin.
Rauni da aka yi amfani da shi: Tsutsotsi na Runtime-Compromise suna amfani da yanayin haɗin kai na ayyukan bude-tushen inda wani kunshin da aka yi wa rauni zai iya shafar wasu.
Dabarun Kariya: Aiwatar da tsauraran matakan sa ido kan halayen aiki da kuma tsarin gano abubuwan da ba su dace ba zai iya taimakawa wajen gano da kuma rage irin waɗannan barazanar.
Misali na Runtime-Compromise P2PInfect: Tsutsar da ke kwafi da kanta
description:
P2PI cutar tsutsar da aka gano ta hanyar tsara-zuwa-tsara (P2P) ce da masu binciken gajimare na Unit 42 suka gano.
An rubuta shi da Rust, harshe mai sauƙin daidaitawa kuma mai sauƙin amfani da girgije, wannan tsutsa tana da ikon kamuwa da cuta a dandamali daban-daban kuma tana kai hari ga Redis, wani sanannen aikace-aikacen bayanai na bude-tushen da ake amfani da shi sosai a cikin yanayin girgije.
Yadda yake aiki:
Amfani da Farko:
- P2PInfect yana amfani da raunin tserewa na akwatin sandbox na Lua, CVE-2022-0543, a cikin lokutan Redis masu rauni.
- Rashin lafiyar yana bawa tsutsa damar aiwatar da lambar da ba ta dace ba a cikin yanayin rubutun Lua.
Isarwa Mai Sauƙi:
- Da zarar an sami damar shiga ta farko, P2PInfect yana sauke nauyin farko wanda ke tabbatar da sadarwa ta P2P zuwa babbar hanyar sadarwa.
- Tsutsar za ta cire ƙarin nau'ikan binaries masu cutarwa, gami da rubutun da suka shafi OS da software na duba bayanai.
Yaduwa:
- Misalin Redis da ya kamu da cutar ya haɗu da hanyar sadarwa ta P2P, yana ba da damar samun wasu abubuwan biyan kuɗi don lokutan Redis da suka lalace a nan gaba.
- P2PInfect yana kai hari ga tsarin aiki na Linux da Windows, wanda hakan ya sa ya fi sauran tsutsotsi girma da ƙarfi.
Tasiri:
Masu bincike na Sashe na 42 sun gano sama da tsarin Redis na musamman 307,000 da ke sadarwa a bainar jama'a a cikin makonni biyu da suka gabata, wanda 934 daga cikinsu na iya fuskantar wannan nau'in tsutsar P2P.
P2PInfect ya zama misali na mummunan barazanar kai hari da masu kai hari za su iya yi ta amfani da wannan rauni.
Koyaswa Koyaswa:
Masu haɓakawa dole ne su yi bita da kuma tabbatar da fakitin su, su ci gaba da sabunta abubuwan da suka dogara da su, kuma su yi taka tsantsan game da sunayen fakiti da tushen su.
Kulawa da kuma ci gaba da sa ido suna da mahimmanci don hana irin waɗannan hare-haren sarkar samar da kayayyaki.
Harin Sarka Mai Dogara
Yadda Suke Aiki: Masu kai hari suna lalata fakiti ɗaya a cikin sarkar dogaro, wanda daga nan zai shafi duk sauran fakitin da suka dogara da shi.
Rauni da aka yi amfani da shi: Wannan harin yana amfani da aminci ga dogaro da fakitin da kuma tasirin da ke tattare da fakitin da aka yi wa rauni.
Dabarun Kariya: Amfani da kayan aikin nazarin tsarin software don bin diddigin da kuma sarrafa abubuwan da ke cikin tushen budewa da kuma abubuwan da suka dogara da su na iya kare kai daga hare-haren sarkar dogaro.
Misali na Harin Dogara-Sarkar npm Kunshin "event-stream" (2018): Yarjejeniyar Sarkar Samar da Kaya
description:
A cikin 2018, sanannen kunshin npm da ake kira "rafi-taron taron" an yi wa katsalandan.
Harin ya ƙunshi wata dabara ta hanyar amfani da sarkar dogaro da kai wadda ta shafi masu amfani da ba su da tabbas.
Yadda Yayi Aiki:
Yarjejeniyar Farko:
- Maharin ya karɓi wani abin dogaro da ba a amfani da shi sosai da ake kira "flatmap-stream."
- Sun saka mummunar lambar sirri a cikin "flatmap-stream."
Yadawa:
- An haɗa "flatmap-stream" da aka yi wa kwaskwarima a matsayin abin dogaro a cikin kunshin da ake amfani da shi sosai na "event-stream."
- Ayyuka da yawa sun shigar da kunshin "event-stream" da aka yi wa kwaskwarima ba tare da saninsu ba.
Imfani:
Maharin ya sami damar samun bayanai masu mahimmanci daga masu amfani da ba a san ko su waye ba.
Lamarin ya nuna haɗarin hare-haren sarkar samar da kayayyaki ta hanyar dogaro da kai.
Koyaswa Koyaswa:
Masu haɓakawa dole ne su yi bita da kuma tabbatar da fakitin su, su ci gaba da sabunta abubuwan da suka dogara da su, kuma su yi taka tsantsan game da sunayen fakiti da tushen su.
Kulawa da kuma ci gaba da sa ido suna da mahimmanci don hana irin waɗannan hare-haren sarkar samar da kayayyaki.
Kare Ayyukan Buɗewarku ta hanyar amfani da Xygeni
Kamar yadda aka tattauna, tsarin tushen budewa takobi ne mai kaifi biyu - yayin da yake haɓaka ƙirƙira, yana kuma fallasa software ɗinku ga manyan haɗari, kamar shigar da na'urar tatsewa malware, Ƙofofin Baya na Farko da Ake Amfani da su, da kuma Hare-haren Sarkar Dogara. Sakamakon waɗannan barazanar yana da tsanani, kuma kare tsarin samar da software ɗinku yana da matuƙar muhimmanci.
Xygeni yana ba da mafita masu ƙarfi waɗanda aka tsara don kare ayyukanku na budewa daga waɗannan barazanar da ke tasowa. Kayan aikinmu suna tabbatar da cewa dogaro da ku ya kasance cikin aminci, suna kiyaye jurewar software ɗinku da kuma tsarin haɓaka ku cikin sauƙi.
Yi Wayo Mai Kyaucisions tare da Cikakken Nazarin Kunshin
Ganin sarkakiyar fakitin buɗaɗɗen tushe, yin zaɓen da aka sani yana da matuƙar muhimmanci. Cikakken Nazarin Kunshin yana ba ku damar kimanta tsaron abubuwan da ke cikin tushen budewa cikin sauri. Tare da dandamalinmu, zaku iya zaɓar fakiti masu aminci da aminci cikin aminci, kuna guje wa haɗarin dogaro mara tsaro. Ta hanyar yin de mai wayocisA gaba, kuna gina aikace-aikace masu ƙarfi da aminci waɗanda ke jure gwajin lokaci.
Kare Kai Tsaye tare da Gano Malware na Lokaci-lokaci
Amsawa ga barazanar bayan sun kutsa cikin tsarinka bai isa ba. Shi ya sa Xygeni ke bayar da Gano Malware na Ainihin Lokaci don kama barazanar kamar malware na kwana ɗaya da zarar sun bayyana. Tsarinmu yana toshe lambar ɓarna nan take, yana hana ta isa ga yanayin ci gaban ku. Ta hanyar ɗaukar mataki da sauri, kuna tabbatar da cewa ayyukanku suna cikin aminci tun daga farko.
Kare Sarkar Kayayyakin Ka ta Hanyar Kulawa Ci Gaba
A cikin duniyar haɓaka software mai sauri, canje-canje suna faruwa koyaushe. Xygeni's Kulawa da Sarkar Samarwa Ci Gaba Yana sa ido sosai kan kowace sabuntawa. Kariyarmu mai aiki tana ganowa da kuma toshe canje-canje masu ban mamaki a cikin abubuwan da kuke dogaro da su, yana hana fakitin da aka lalata shiga ayyukanku. Tare da Xygeni, kuna kula da tsarin samar da kayayyaki mai aminci da aminci, kuna kare software ɗinku daga barazanar da ka iya tasowa.
Yi Sarrafa Tsaronka tare da Xygeni
Kamar yadda kuka gani, haɗarin da ke cikin software na bude tushen yana da gaske kuma yana ƙaruwa. Maganganun tsaro na Xygeni suna ba ku kayan aikin da za ku iya sarrafa waɗannan haɗarin yadda ya kamata. Ta hanyar mai da hankali kan gano da wuri, cikakken nazarin fakiti, da kuma ci gaba da sa ido, za ku iya kare software ɗinku daga barazanar da ke tasowa. Kada ku bar ayyukanku na bude tushen ku cikin haɗari—ku inganta dabarun tsaro a yau tare da Xygeni kuma ku sami kwanciyar hankali da sanin cewa software ɗinku da bayananku suna da aminci.
A shirye don tabbatar da ayyukanka na bude-tushen? Bari Xygeni ya taimake ka ka ci gaba da fuskantar barazanar kuma ka gina manhajar da za ta iya jure duk abin da zai biyo baya.
Kalli Bidiyon Nunin Mu
