A raunin rashin lafiya na babu rana yana ɗaya daga cikin manyan haɗari a cikin tsaron yanar gizo. Laifi ne da babu wanda ya sani game da shi har sai an riga an yi amfani da shi.
Lokacin da maharan suka same shi suka kuma yi amfani da shi, sakamakon shine amfani da sifili na rana, wani yanki na lambar ko dabara da ke mayar da raunin da aka ɓoye zuwa barazana ta gaske. Ga ƙungiyoyin software da DevSecOps, waɗannan amfani da raunin da ba a iya jurewa ba na tsawon yini ɗaya ƙirƙirar wuraren da ba a gani ba inda na'urorin daukar hoto na yau da kullun, kayan aikin riga-kafi, da faci ba za su iya taimakawa ba.
Masu kai hari yanzu suna tafiya da sauri, suna kai hari ga lambar hari, abubuwan da suka dogara da su, da kuma CI/CD pipelines.
Fahimtar yadda a amfani da sifili na rana aiki, da kuma yadda ake gano shi da wuri, yanzu muhimmin ɓangare ne na kiyaye duk wani tsarin ci gaba na zamani lafiya.
Abin da Yake Sa Rashin Lafiyar Zero-Day Ya Yi Haɗari Sosai
A amfani da sifili na rana yana amfani da rauni kafin mai siyarwa ya san akwai shi.
Ba kamar kurakuran da aka sani ba, babu faci, babu gyara, kuma sau da yawa babu wata hanyar da za a iya gano ta har sai bayan harin ya faru.
Waɗannan raunin galibi suna ɓoye a cikin ɗakunan karatu na software, masu bincike, ko sassan wasu kamfanoni. Da zarar an gano su, masu kai hari za su iya amfani da su da sauri su kuma yaɗa lambar cutarwa ta hanyar kayan aiki da ma'ajiyar bayanai.
Saboda wannan, amfani da raunin da ba a iya jurewa ba na tsawon yini ɗaya zai iya tafiya da sauri a cikin sarƙoƙin samar da kayayyaki da muhallin girgije.
Dogara ɗaya a cikin aikin buɗaɗɗen tushe na iya fallasa dubban gine-gine kafin kowa ya lura.
Fahimtar Amfani da Rauni na Zero-Day
Domin fahimtar yadda maharan ke amfani da waɗannan raunin, yana da kyau a duba jerin abubuwan da ake amfani da su a cikin sifili:
- Mai bincike ko mai kai hari ya sami wani lahani da ba a san shi ba.
- Mai kai harin yana ƙirƙirar lambar amfani don amfani da wannan lahani.
- Ana amfani da wannan dabarar a hare-hare na gaske ko kuma a raba ta a intanet.
- Masu siyarwa suna gano matsalar kuma suna sakin faci.
- Ƙungiyoyin tsaro suna aiki da sauri don aiwatar da sabuntawa da rage fallasa.
Misali, IBM X-karfi ya bayar da rahoton wani lamari inda maharan suka yi amfani da wata matsala ta rashin lafiya ta kwana ɗaya a cikin manhajar canja wurin fayil ta GoAnywhere cikin awanni 24 da gano ta.
Wannan yana nuna yadda taga take da ƙanƙanta tsakanin ganowa da cin zarafi, wani lokacin 'yan awanni ne kawai.
Waɗannan hare-haren ba wai kawai a ka'ida ba ne. Sun riga sun haifar da mummunar barna a enterprise tsarin, manhajar bude-tushen, da kuma hanyoyin samar da kayayyaki na duniya.
Misalan Hare-haren Zero-Day na Gaskiya
Hare-haren 'Zero-day' ba kasafai ake samun su ba. Suna faruwa a kowane fanni na manhajoji na zamani, tun daga masu bincike zuwa tsarin ginawa da kayan aikin masu haɓakawa.
Misalan masu zuwa suna nuna yadda maharan ke amfani da raunin da ba a san su ba kafin masu kare su iya mayar da martani:
- Canja wurin MOVEit (2023): Masu kai hari sun yi amfani da raunin allurar SQL na sifili (CVE-2023-34362) a cikin Progress MOVEit Transfer. Wannan cin zarafin ya ba da damar satar bayanai mai yawa daga ɗaruruwan ƙungiyoyi, gami da bankuna da hukumomin gwamnati, kafin a fitar da wani faci.
- Google Chrome (2025)An yi amfani da raunin da ba a saba gani ba (CVE-2025-10585) a cikin injin JavaScript na Chrome V8 a cikin daji. Google ya fitar da wani tsari na gaggawa bayan ya tabbatar da cewa ana ci gaba da kai hare-hare.
- SolarWinds Supply Chain Attack (2020): Masu kai hari sun saka lambar mugunta a cikin ingantaccen sabunta software na dandamalin Orion na SolarWinds, wanda hakan ya lalata ƙungiyoyi sama da 18,000. Ko da yake ba cin zarafi ɗaya ba ne, ya yi aiki kamar sifili a cikin sarkar samar da kayayyaki.
- Sabar Sadarwa ta Microsoft (2021, "ProxyLogon"): Raunuka huɗu na rashin lafiya na tsawon kwanaki sifili sun ba wa maharan damar samun damar shiga sabar Exchange daga nesa a duk faɗin duniya. Faci-faci sun iso da sauri, amma an riga an lalata dubban tsarin.
- Abokin Hulɗa na Zoom (2022): Wani mummunan aiki na tsawon kwana sifili ya ba wa masu kai hari daga nesa damar aiwatar da lambar sirri yayin kiran bidiyo ga abokan cinikin Windows da ba a gyara ba. An yi ciniki da wannan lahani a sirri kafin a bayyana shi ga jama'a.
Kowane hali yana nuna yadda amfani da raunin da ba a iya jurewa ba na tsawon yini ɗaya zai iya yaɗuwa a tsakanin abubuwan da suka dogara da shi, pipelines, da kuma yanayin girgije a cikin awanni.
Shi ya sa ganin abubuwa, gano abubuwan da ba su dace ba, da kuma gargaɗin farko suna da matuƙar muhimmanci don dakatar da waɗannan barazanar kafin su yaɗu.
Waɗannan abubuwan da suka faru kuma suna nuna sauyi a dabarun masu kai hari, daga hare-haren ƙarshen hanya zuwa kutse cikin tsarin gini, abubuwan da suka dogara da su, da DevOps. pipelines.
Cin Zarafin Zero-Day a cikin Sarkar Samar da Manhaja
Abubuwan da ake amfani da su a zamanin yau a cikin sifili galibi suna kai hari ga tsarin samar da software, ba wai kawai a ƙarshen hanyoyin ko tsarin aiki ba.
Masu kai hari suna amfani da abubuwan da suka dogara da su, rubutun mugunta, da CI/CD rashin daidaito don matsawa sama a cikin tsarin haɓakawa.
Wasu daga cikin hanyoyin kai hari da aka fi amfani da su sun hada da:
- Publishing fakitin kamuwa da cutar zuwa rajistar buɗaɗɗen tushe.
- Shigar da nauyin biyan kuɗi na sifili a cikin rubutun bayan shigarwa.
- Amfani da ayyukan gini ko takardun shaidar da ba a sa ido a kansu ba.
- Hijabi masu kula da halal ko asusunsu.
Kayan aikin ƙarshen gargajiya ba za su iya ganin waɗannan barazanar ba saboda suna faruwa kafin software yana gudana, yayin haɓakawa, gini, ko haɗa kai.
Shi ya sa ganuwa ta DevSecOps da kuma duba ta atomatik su ne muhimman abubuwa.
Tsarin Rayuwa da Gibin Ganowa
| horo | Ayyukan Mai Hari | Kalubalen Mai Tsaro |
|---|---|---|
| Ganowa da Makamai | Nemo wani lahani da ba a sani ba kuma gina aikin da aka yi kafin a bayyana shi. | Babu wani sa hannu ko faci da aka sani; masu tsaron baya ba su da gani. |
| Shigar da Amfani | Isar da kayan aiki ta hanyar leƙen asiri, fakitin da suka kamu, ko sabuntawar cutarwa. | Ganowa yana faruwa ne kawai bayan an aiwatar da shi; lokacin amsawa yana da iyaka. |
| Faci & Bayyanawa | Mai siyarwa ya fitar da sabuntawa kuma cinikin ya zama na jama'a. | Tsarin zai ci gaba da kasancewa a buɗe har sai an gwada faci kuma an tura su. |
Gibin ganowa shine lokaci mafi haɗari. Idan akwai rashin lafiyar da ba ta da amfani kuma ƙungiyoyi ba su da sa hannu ko faci, masu kai hari za su iya yin sauri. Rufe wannan gibin yana buƙatar ganowa da wuri, ci gaba da sa ido, da kuma kariyar da ta dogara da ɗabi'a.
Bayanan da ke Bayan Barazanar Zamani ta Zero-Day
Rahotanni na baya-bayan nan sun nuna yadda ayyukan sifili suka zama ruwan dare gama gari kuma cikin sauri:
- The Rukunin Barazana na Google (GTIG) ruwaito Rauni 75 na rashin lafiya na kwana ɗaya An yi amfani da shi a daji a shekarar 2024, karuwar kashi 30 cikin 100 idan aka kwatanta da shekarar da ta gabata.
- Game da Kashi 44 cikin ɗari na waɗannan kwanaki sifili niyya enterprise tsarin kamar VPNs, firewalls, da kayan aikin gudanarwa, wanda ke nuna cewa maharan yanzu sun fi mayar da hankali kan kayayyakin more rayuwa masu daraja.
- The Ma'aunin Bayanan Barazana na IBM 2025 rubuta fiye da Raunuka 65,000 tare da amfani da abubuwan da jama'a ke samu, an sake amfani da su da yawa kuma an sake shirya su a cikin sabbin hare-haren sifili.
Waɗannan alkaluma sun nuna dalilin da yasa ƙungiyoyi dole ne su gano alamun raunin da ba a yi ba a kowace rana kafin a sami faci.
Abin da Mafi Kyawun Kariyar Zero-Day Ya Kamata Ya Haɗa
Don iyakance tasirin wani amfani da sifili na ranaKariya tana buƙatar matakai da yawa da kuma sanya ta a farkon tsarin ci gaba. Cikakken tsari ya haɗa da:
- Ana duba rajistar a ainihin lokaci kamar npm da PyPI don gano fakitin da ake zargi kafin su shiga ginin
- Tsarin gargaɗi da wuri wanda ke nuna sabbin fakiti ko canje-canje kwatsam na masu bugawa wanda zai iya nuna alamun rauni na sifili a cikin daji
- Tashar wuta mai dogaro da kai wanda ke toshe ko keɓe abubuwan haɗari ta atomatik
- Gano Anomaly a fadin CI/CD pipelines don nemo wani hali na musamman na lokacin ginawa wanda zai iya nuna dogaro da aka yi amfani da shi
- Masu haɗin gwiwa suna bin diddigin suna don gano asusun da aka sace ko na bogi waɗanda za su iya buga sakin da aka cika da cin zarafi
- Ci gaba da aiwatar da manufofi don hana lambar da ba ta da aminci haɗuwa cikin manyan rassan
A cewar Cibiyar Bayanai ta Ƙasa kan Raunin da ke Fuskantar Cutar, an rubuta sabbin CVEs sama da 29,000 a cikin 2024. Duk da cewa an lissafa batutuwa na sifili ne kawai bayan an bayyana su, wannan ci gaban ya nuna yadda raunin ke bayyana da sauri da kuma dalilin da yasa ake dakatar da amfani da sifili na rana al'amuran farko.
Yadda Xygeni ke Taimakawa Rage Cin Zarafin Kwana na Zero-Day
Xygeni yana sanya gano wuri da kuma kariyar atomatik cikin tsarin DevOps ɗinku don rage tasirin da ba zai yiwu ba ga amfani da sifili. Manyan fasaloli sun haɗa da:
- Ci gaba da sa ido kan sabbin fakiti da na yanzu don alamun farko na halayen haɗari
- An Tsarin Gargaɗi na Farko wanda ke sanar da ƙungiyoyi lokacin da wani tsarin amfani da zai iya bayyana a cikin rajista
- Toshewa ta atomatik ko keɓewa daga abubuwan da ake zargi ta atomatik don haka amfani da sifili ba zai iya shiga kayan ginin ku ba
- Gano Anomaly yayin ginawa wanda ke nuna canje-canjen fayil da ba a zata ba ko kiran nesa waɗanda suka dace da halayen cin zarafi
- Bin diddigin suna ga masu kula da masu wallafa don gano canje-canje kwatsam waɗanda zasu iya nuna sulhu
- Fifiko a cikin mahallin da ya dace wanda ke taimaka wa ƙungiyoyi su tantance ko matsalar da aka gano za ta iya rikidewa zuwa wani abu da ba a saba gani ba a muhallinsu
Xygeni yana haɗuwa da tsarin CI na gama gari da kuma sarrafa tushe don haka kuna samun waɗannan kariyar ba tare da ƙarin rubutun ko saitin nauyi ba.
Mafi kyawun Dabaru Don Shiryawa Don Ranar Zero Mai Zuwa
- Kula SBOMs don sanin waɗanne lambobi da fakiti ne ke cikin kowane gini
- Sigogin dogaro da fil kuma ku guji alamun da ba a sani ba waɗanda ke barin wani kunshin da ba a sani ba ya shiga kuma ya yi amfani da shi ba tare da wata rana ba
- Gudanar da duban layi: duban tsaye, gwaje-gwaje masu ƙarfi, da sa ido kan halaye
- Tsarin gyarawa da sake juyawa ta atomatik don rage fallasa lokacin da amfani da sifili ya zama na jama'a
- Iyakance sirri da izini a cikin ayyukan gini don haka cin zarafi ba zai iya ƙaruwa cikin sauƙi ba
- Horar da ƙungiyoyi don gano haɗarin sarkar samar da kayayyaki da kuma mayar da martani da sauri lokacin da alamun cin zarafi na sifili suka bayyana
Kayan aiki kamar Xygeni suna taimakawa wajen sarrafa yawancin waɗannan ayyuka ta atomatik da kuma rage aikin hannu yayin da suke inganta gano wani abu da ba a yi amfani da shi ba a sifili.
Tunani na Ƙarshe: Tsayawa Mataki Ɗaya Gaba da Cin Zarafin Ranar Zero-Day
Barazanar da ba ta wuce kwana ɗaya ba za ta ci gaba da tasowa. Shi ya sa dole ne tsaro ya canza. Kare maki kawai bai isa ba. Ƙungiyoyi suna buƙatar ganuwa da kariya waɗanda suka fara a cikin lambar, abubuwan da suka dogara da su, da kuma pipelines.
Ta hanyar haɗa na'urar daukar hoto ta ainihin lokaci, gargaɗin farko, da toshewa ta atomatik, za ku iya rage damar da za ku iya kaiwa ga samar da sifili. Gano da wuri, toshewa da sauri, kuma ku ci gaba da samar da software ɗinku mataki ɗaya a gaba.
