Table of Contents
Hoʻomaka i Build Security i ka SDLC
ʻO ke ola hoʻomohala polokalamu palekana (SDLC) hōʻike i kahi ala holoʻokoʻa, e hoʻokomo ana i nā hana palekana a me nā loina ma nā pae āpau o ka hoʻokumu ʻana a me ka hoʻolaha ʻana o nā polokalamu. Ma waena o kēia mau mea, he mea koʻikoʻi loa ka pae kūkulu. ʻO ia kahi e hoʻololi ʻia ai ke code kumu i ke code binary, e hoʻonohonoho ana i ke kahua no ka hoʻokō ʻana. He mea koʻikoʻi kēia pae no ka hoʻokomo ʻana i ka palekana i loko o ka polokalamu, e pili ana i ka nānā pono ʻana i ke code no nā nāwaliwali, ka hoʻokō ʻana i nā kulekele palekana, a me ka hōʻoia ʻana he mea kumu nā manaʻo palekana, ma mua o nā manaʻo i hala.
Ka mea nui o Build Security ma ka Hoʻomohala Polokalamu
Build security he mea nui ia no ka hana ʻana i nā polokalamu palekana, e lawelawe ana ma ke ʻano he pale proactive e kūʻē i nā nāwaliwali hiki, a me ka hōʻoia ʻana i ka mālama ʻana me standards. ʻO kēia pae o ke kaʻina hana hoʻomohala ka mea e hōʻeha nui ai i ka pono a me ka pilikino o ke code. Hiki i kahi hala ʻole ke hoʻolaha i nā polokalamu i hoʻopilikia ʻia ma kahi ākea, e lilo ana i mea nui e pale i kēia pae e pale i nā mea hoʻohana hope a mālama i ka hilinaʻi a me ka mālama ʻana. Eia kekahi, he mea nui ke kahua kūkulu i ka hōʻemi ʻana i nā pilikia e pili ana i ke kaulahao lako polokalamu, kahi e hiki ai i nā nāwaliwali ma kekahi ʻāpana ke loaʻa nā hopena ākea. build security hoʻonoho i ke kahua no ka hana hou e hiki mai ana, e ʻae ana i nā hui e hoʻomohala i kā lākou mau hana hoʻomohala me ka palekana.
Ke hōʻike nei i nā hopena o ke ao maoli
ʻO ke koʻikoʻi o ka ikaika build security Ua hōʻike maopopo ʻia nā hana e nā hanana e like me ka uhaki ʻana o SolarWinds Orion, ka hoʻopilikia ʻana o Codecov Bash Uploader, ka hanana Event-Stream, ka uhaki ʻana i ka ʻikepili Equifax, a me ka Ledger Attack. Hana kēia mau hiʻohiʻona i mea hoʻomanaʻo koʻikoʻi no nā hopena ākea o nā mākaʻikaʻi palekana i ka wā kūkulu, mai ka hoʻomaʻamaʻa ʻana i nā hoʻouka kaua kaulahao lako a hiki i ka hōʻike ʻana i ka ʻikepili koʻikoʻi ma kahi pae nui.
ʻO ka Hoʻouka Ledger
Hōʻike ka hoʻouka kaua Ledger i kahi hoʻohana pono ʻana i nā nāwaliwali o ke kaulahao lako polokalamu, e hōʻailona ana i kahi hanana koʻikoʻi ma ke kahua o ka palekana pūnaewele. Hoʻomaka ʻia ma o kahi hoʻouka kaua phishing ihe i kuhikuhi i ka moʻokāki NPM o kahi limahana Ledger mua, ua hiki i nā mea hoʻouka ke hoʻopuka i nā mana ʻino o ka mea hana hoʻopili polokalamu a Ledger. ʻO kēia uhaki ʻana i hopena i ka nalowale ʻana o $600,000 ma ka liʻiliʻi mai nā ʻeke lako o nā mea hoʻohana. ʻAʻole like me nā hoʻouka kaua pololei ma ke kaʻina hana kūkulu, ua hoʻohana kēia hanana i ka hilinaʻi i kau ʻia ma nā mea hilinaʻi ʻaoʻao ʻekolu a me ke kaulahao lako polokalamu, e hōʻike ana i nā hoʻoweliweli nuanced e kū nei i ka hoʻomohala polokalamu hou. ʻAʻole wale ka uhaki ʻana i hōʻike i ke koʻikoʻi koʻikoʻi o ka hoʻopaʻa ʻana i nā mea hilinaʻi polokalamu akā ua hōʻike pū i ka pono no nā kaohi komo koʻikoʻi, ka hoʻokele hōʻoia, a me ka nānā pono ʻana i nā ʻāpana ʻaoʻao ʻekolu. Hana ka hanana Ledger ma ke ʻano he hoʻomanaʻo koʻikoʻi o nā hopena hiki ke nānā ʻole i ka palekana ma ke kaulahao lako polokalamu a me ke koʻikoʻi o ka hoʻohana ʻana i nā hana palekana piha e pale aku i nā hoʻouka kaua pololei a pololei ʻole.
ʻO ka uhaki ʻana o SolarWinds Orion
Ma waena o nā mea i ʻoi aku ka laulā a me ka ʻoi loa o ka ʻike i nā manawa i hala iho nei, ua ʻimi ka uhaki ʻana o SolarWinds Orion e hoʻohana i nā nāwaliwali i ke kaʻina hana kūkulu o ka polokalamu SolarWinds. Ua kanu nā mea hoʻouka i ke code maikaʻi ʻole ma o ka ʻōnaehana kūkulu i loko o ke kaʻina hana o ka hoʻonui ʻana i ka polokalamu a hoʻouna aku i 18,000 mau mea kūʻai aku, me nā keʻena aupuni nui a me nā hui. Ua hōʻike ʻia i ka weliweli a me ka laulā o ia mau hoʻouka kaua ma nā kaulahao lako.
ʻO ka Codecov Bash Uploader Script Compromise
He polokalamu ʻo Codecov no ka hoʻāʻo ʻana i nā ana uhi code i uhaki ʻia. Ua hiki i nā mea hoʻouka ke hoʻololi i kāna palapala Bash Uploader a hoʻopau pono i ka ʻikepili mai nā ʻano kaiapuni o nā mea kūʻai aku he mau tausani. No laila, ke hōʻike nei kēia uhaki pehea e hiki ai i nā mea hana kūkulu ke pilikia a hōʻoia i ka pono o nā palapala kūkulu a me nā mea hana e pono e palekana.
Ka Hanana-Kahe Hanana
I ke ʻano o ka hanana Event-Stream, ua hoʻopilikia ʻia kahi pūʻolo NPM kaulana loa. Ma kēia pūʻolo, ua hāʻawi kahi mea mālama mua i ka mana i kahi mea hoʻouka i hoʻohālike iā ia iho he mea mālama makemake nui. Ma hope mai, ua hoʻokomo ka mea hoʻouka i kahi ukana i loko o ka pūʻolo nona ka manaʻo ʻino, e kuhikuhi ana i hoʻokahi kahua cryptocurrency kikoʻī. ʻO kēia ka laʻana kūpono o kahi hihia noiʻi e hōʻike ana i ka ʻikepili pilikia o nā nāwaliwali hilinaʻi a me kahi pae maoli o ka nānā ʻana e pono ai kahi hui e hana ma nā pūʻolo a me nā mea mālama ʻaoʻao ʻekolu.
ʻO ka uhaki ʻikepili Equifax
ʻO ka uhaki ʻikepili Equifax, ʻoiai ʻaʻole ia he nāwaliwali wale nō i ke kahua kūkulu, ua hoʻonui ʻia ka ʻino ma muli o ka hiki ʻole ke hoʻohou i kahi waihona puke ʻaoʻao ʻekolu i pono e hoʻohou ʻia a nāwaliwali (i kēia hihia, ʻo Apache Struts). Ua hoʻopilikia kēia i ka nui o 147 miliona mau kānaka. ʻO ka uhaki ʻikepili Equifax, ma nā ʻano āpau, he moʻolelo aʻo e pili ana i ka hoʻokele hilinaʻi.
Nā Hoʻoweliweli e Kū mai ana i Build SecurityHe Kiʻi Paʻi
Ma ka pūnaewele paʻakikī o ka hoʻomohala polokalamu hou, kū ke kahua kūkulu ma ke ʻano he wahi koʻikoʻi kahi e hoʻololi ʻia ai ke code kumu i polokalamu hiki ke hoʻokō ʻia. ʻAʻole wale kēia pae e pili ana i ka hōʻuluʻulu ʻana akā e pili ana hoʻi i ka hōʻoia ʻana i ka palekana a me ka pono o ka huahana hope loa. ʻO ka ʻike ʻana i nā hoʻoweliweli maʻamau i kū i kēia pae he mea nui ia no ka mālama ʻana i ka paʻa. software supply chain securityNo ka luʻu hohonu ʻana i kēia mau hoʻoweliweli a me nā hoʻolālā piha no ka hoʻēmi ʻana, e noʻonoʻo e ʻimi i nā ʻike kikoʻī i loko Nā Hoʻoweliweli o ke Kaulahao Hoʻolako Polokalamu ma ke Kahua Kūkulu.
- Kuhi hewa CI/CD PipelinesKe pale aku nei i nā palekana o CI/CD ʻae nā kaʻina hana i nā mea hoʻouka e hoʻokomo pololei i ke code ʻino i loko o ke kūkulu ʻana, e pale ana i nā nānā palekana koʻikoʻi.
- Ke hoʻololi nei i ke code ma hope o ka mana kumu: Nā hoʻololi i hana ʻia i ke code kumu ma hope o kona commithiki i ka hoʻoholo ʻana i ka kaohi kumu ke hoʻolauna i nā loli i ʻae ʻole ʻia, e hoʻohaʻahaʻa ana i ka pono o ka polokalamu.
- Ke hoʻopilikia nei i ke kaʻina hana kūkuluʻO ka hoʻopunipuni pololei ʻana i ke kaʻina hana kūkulu hiki ke alakaʻi i ka hoʻokomo ʻana i ke code ʻino, ka hoʻopilikia ʻana i ke kumu o ke kūkulu ʻana a i ʻole ka hoʻopilikia ʻana i ke kaʻina hana holoʻokoʻa.
- Nā Waihona Mea Hana Kūʻē: ʻO ke komo ʻae ʻole ʻia, a i ʻole ka hoʻopunipuni ʻana i nā waihona artifact hiki ke hoʻopilikia i ke kaʻina hana hoʻolaha a hoʻokomo i nā polokalamu i hoʻopilikia ʻia i loko o ke kaulahao hoʻolako.
Poisoned Pipeline Hoʻopau Kino (PPE): He Hoʻoweliweli Hohonu
Poisoned Pipeline Hoʻomaka ka nāwaliwali o ka hoʻokō ʻana (PPE) i ka wā e hoʻopunipuni ai nā mea hoʻouka i ke kaʻina hana kūkulu, ma o ka hoʻololi ʻana i ka CI/CD pipeline hoʻonohonoho pololei (Direct PPE, a i ʻole D-PPE) a i ʻole ma ka hoʻololi ʻana i nā faila pipeline nā kuhikuhi (Indirect PPE, a i ʻole I-PPE). Hiki i kēlā mau hoʻouka kaua ke hoʻopilikia nui i ka pono o ka polokalamu, e hana ana i nā ʻano hana ʻike mua a me ka pale ʻana he mea nui.
Ke hoʻomaopopo nei i nā ʻano like ʻole o ka PPE
- PPE Pololei (D-PPE) hana ʻia ke hoʻololi nā mea hoʻouka i ka faila hoʻonohonoho CI e holo i nā kauoha ʻino i loko o ke kaiapuni kūkulu, e kāpae ana standard nā protocols palekana.
- PPE ʻaʻole pololei (I-PPE) hoʻolaha ʻia ma o nā hoʻololi ʻana i nā faila waho pipeline hoʻonohonoho, e like me nā palapala, e hiki ai i nā mea hoʻouka ke hoʻokomo i ke code ʻino ma ke ʻano ʻole.
Hoʻokō pono Build Security Pākuhi
I mea e kūʻē ai i kēia mau hoʻoweliweli a me nā nāwaliwali i ke kahua kūkulu, pono e hoʻomaʻamaʻa ʻia kahi ʻōnaehana i hoʻohana pono ʻia a me ka mālama ʻana i nā hana maikaʻi loa e like me ka mea i hōʻike ʻia e nā luna e like me NIST. Hiki ke hoʻomaikaʻi ʻia nā mea a pau i luna ma o kahi noi a me ka mālama ʻana me ʻO ke ʻōnaehana hoʻomohala polokalamu palekana o NIST (SSDF)), ma waena o nā kumuwaiwai ʻē aʻe, e hoʻomaikaʻi ana i kou kūlana ma nā ʻano aʻe.
nui Build Security Nā hana maikaʻi loa:
- Ke code palekana: e hoʻokō i nā hana palekana coding maikaʻi loa ma o ka hoʻomohala ʻana. E ʻike i nā nāwaliwali hiki ke loaʻa ma ka hoʻohana ʻana i nā mea hana loiloi code static i mua loa i ke kaʻina hana kūkulu e like me ka hiki ke pono.
- Ka Nānā ʻana i ka Hoʻonohonoho ʻana o ka Polokalamu (SCA): Hoʻohui SCA mea paahana me kou CI/CD pipeline e ʻike i nā hilinaʻi open-source i hoʻohana ʻia i loko o ka polokalamu me nā nāwaliwali i ʻike ʻia a mālama i kahi o kēia manawa Palapala Hoʻonohonoho Polokalamu (SBOM).
- Kaiapuni Kūkulu Palekana: E hoʻohana i nā mana komo ikaika loa e hiki ai ke kaupalena i nā wahi komo ʻole i ʻae ʻia i loko o nā kikowaena kūkulu a me nā waihona.
- Nā mea hana nānā mau ʻo ia hoʻi, ma ke ʻano nui, e kuhikuhi ana i ka ʻike ʻana i kekahi ʻano hana kānalua e hana nei i loko o ke kahua kūkulu. E hōʻoia ʻia kēia a e hoʻouna palekana ʻia ma lalo o ka pipeline ma ke kau inoa ʻana me kahi pūlima kikohoʻe. Pono e hoʻokumu ʻia nā ʻano hōʻoia like ʻole e hōʻoia i ka ʻoiaʻiʻo o ka mea hana ma mua o ka hoʻolaha ʻana.
Ka Mana o Build Attestations
ʻO nā hana maikaʻi loa e like me ke code palekana a me nā wahi kūkulu palekana he mea nui ia, akā me Xygeni Build Security Hoʻonā, hana lākou i kēlā. Hoʻohui kā mākou hoʻonā me kāu mau kahe hana e hāʻawi i kahi ala piha o build security ʻo ia hoʻi ka mana o ka hōʻoia.
E noʻonoʻo i kahi hōʻoia kūkulu ʻana he palapala i kau inoa ʻia e hōʻoiaʻiʻo ana i ka ʻoiaʻiʻo a me ka pono o kahi kūkulu. ʻO ia ke ʻano o ka hōʻoia kūkulu—he hōʻiliʻili metadata i kau inoa ʻia e ka cryptographically e hōʻike ana i nā kikoʻī o ke kaʻina hana kūkulu. He mau kiaʻi kēia i ke kaʻina hana kūkulu a lawelawe me nā pono he nui e loaʻa mai ana mai kēia mau mea.
- Ua hoʻomaikaʻi ʻia ka ʻalohilohi: Hōʻoia ka Build Attestation i ka hilinaʻi mai ka loaʻa ʻana o ka ʻike maopopo ʻana i ke kaiapuni kūkulu, nā mea hana, nā hoʻonohonoho ʻana, a me nā mea hilinaʻi i hoʻohana ʻia i ke kūkulu ʻana i ka Build. E hoʻoulu kēlā ʻano kaiapuni moakaka i ka hilinaʻi a me ka laulima paha.
- Hōʻoia Ma o ka Pipeline: Hōʻoia nā hōʻoia no nā pae āpau o ka CI/CD pipeline, mai ke code kumu a hiki i nā mea hana hope loa i kūkulu ʻia, hiki ke hōʻoia ʻia ka ʻoiaʻiʻo. Nānā ia ʻaʻohe loli i ʻae ʻole ʻia i loko o ke kaʻina hana kūkulu.
- Kumu Paʻa e Nānā ai a Loiloi: ʻO ka ʻikepili kikoʻī i loko o nā hōʻoia e kūkulu i ke kumu no ka hoʻomau ʻana o ka nānā ʻana i ka palekana i ka wā o ke ola o ka hoʻomohala ʻana, e ʻae ana i kekahi e ʻike mua i kekahi nāwaliwali hiki ke hoʻēmi ʻia.
Pehea Xygeni Build Security Hoʻohana i nā hōʻoia
ʻO kēia kahi Build Security Lawe ka hoʻonā i ka manaʻo o Build Attestations hoʻokahi ʻanuʻu hou aʻe me ka automation ma kahi, a lawe ʻo Xygeni i hoʻokahi ʻanuʻu nui hou aʻe me kahi ala ākea.
- ʻAutomatic Hana ʻana i ka Hōʻoia: ʻO Xygeni, kahi e pono ai ke hana ʻakomi i ka hana hōʻoia, e hana i nā hōʻoia hōʻoia ʻaʻole pono e hoʻopilikia ʻia me ka ʻole o ka hana lima ʻana, a ma ke ʻano e hāʻawi ai i ka hōʻoia mau i nā kūkulu āpau.
- Ka Hōʻiliʻili a me ka Mālama ʻana i nā Hōʻike Palekana: Hāʻawi ʻo Xygeni i ka palekana no ke ʻano o ka hōʻiliʻili ʻana a me ka mālama ʻana i nā hōʻike. Hōʻiliʻili ia i nā hōʻike me ke akahele loa mai kēlā me kēia kihi o ke kaʻina hana kūkulu. Mālama ia i ka hōʻiliʻili ʻana i loko o kā mākou ʻōnaehana mālama palekana, e hōʻoiaʻiʻo ana he kūpaʻa ka hōʻoia.
- Nā Mana Hōʻoia Granular: Hoʻokele kā mākou hopena i ka hōʻoia, kahi e hahai mau ana. Hāʻawi ia i kahi hoʻonohonoho o nā kulekele hiki ke hoʻonohonoho ʻia; hiki ke hoʻokomo ʻia a haʻalele ʻia paha nā nānā i ke kaʻina hana, e hoʻomaikaʻi ana i ka mea hope i nā pono o kekahi.
- Ka ʻIke ʻana i ka Hoʻoweliweli Manawa Maoli: ʻOi aku ka nui o nā hiʻohiʻona hōʻike mai Xygeni ma mua o nā leka hoʻomaopopo maʻalahi no ka hala ʻana/hāʻule ʻana. Hāʻawi kā mākou ʻōnaehana i nā ʻike hana i kāu kaʻina hana kūkulu e kōkua iā ʻoe e ʻike a hoʻoponopono i nā nāwaliwali hiki ke hiki ma mua o ka manawa.
ʻO ka Pōmaikaʻi Xygeni: Nā Pōmaikaʻi Hiki iā ʻOe ke Hilinaʻi
Ma ka hoʻolimalima Xygeni Build Security, loaʻa iā ʻoe nā pono he nui:
- Hoʻomaikaʻi ʻia ka Hilinaʻi a me ka Māliko: Hōʻoia ka hōʻoia kūkulu ʻana i ka hōʻike ʻia ʻana o nā mea kuleana āpau i kahi kiʻi maopopo o ke kaʻina hana kūkulu ʻana, a i ke kaʻina hana, e hoʻonui ʻia ka hilinaʻi a me ka hana like ʻana.
- Ka Hoʻēmi ʻana i ka Makaʻu o nā Hewa a me nā Nawaliwali: ʻO ka hana ʻana a me ka hōʻoia ʻakomi e hōʻemi i ka pilikia o ka hewa a me ka nāwaliwali i ka palena iki hiki i ke kanaka, no laila e hāʻawi mau ana i ka palekana ma waena o ke kūkulu ʻana pipeline.
- Hoʻomaikaʻi ʻia ka maikaʻi o ka polokalamu: E loaʻa i ka ʻike hoʻoweliweli i hoʻonui ʻia a me nā ʻike hohonu e hōʻoia i hiki iā ʻoe ke hāʻawi i nā huahana polokalamu ʻoi aku ka maikaʻi a palekana hoʻi.
- Hoʻokō maʻalahi: ʻO ka hoʻohālikelike ʻana o Xygeni me nā ʻōlelo aʻoaʻo NIST SP 800-204D e hoʻomaʻalahi i nā hana hoʻokō.
Mākaukau e aʻo hou? E kāhea iā Xygeni i kēia lā e ʻike pehea mākou Build Security hiki i ka hoʻonā ke hoʻoikaika i kāu mau hui hoʻomohala.
E nānā i kā mākou Hōʻikeʻike Wikiō
