Aia ka hoʻomohala ʻana o nā polokalamu hou i nā ʻāpana open-source he nui. Hoʻolalelale kēlā me kēia waihona puke i ka lawe ʻana, akā hiki iā ia ke hana i nā pilikia huna. Hiki i kahi hilinaʻi kahiko a palekana ʻole paha ke hōʻike i kāu pipeline a i ʻole ke kaiapuni hana.
ʻo ia ke kumu nā mea hana nānā hilinaʻi he kuleana koʻikoʻi ko lākou i nā DevSecOps hou. Kōkua lākou i nā mea hoʻomohala e ʻike, hahai, a hoʻoponopono i nā nāwaliwali i ka wā mua, e mālama ana i ka polokalamu palekana a hilinaʻi hoʻi. Eia nō naʻe, ʻaʻole lawa ka nānā ʻana i ka hilinaʻi maʻalahi. Hou nā mea hana palapala ʻāina hilinaʻi noi hoʻohui i ka pōʻaiapili, ka ʻike ʻana, a me ka automation. Hōʻike lākou ʻaʻole wale i nā ʻāpana āu e hoʻohana ai akā pehea hoʻi lākou e pili ai, pehea lākou e hana ai, a me nā mea hiki ke hoʻohana ʻia.
No ke aha he mea nui nā mea hana nānā hilinaʻi
I ka hoʻokē ʻai o kēia lā CI/CD nā kahe hana, ʻike ʻia nā hilinaʻi hou ma aneane kēlā me kēia kūkulu. Loaʻa paha i kekahi mau CVE i ʻike ʻia, nā hoʻonohonoho palekana ʻole, a i ʻole ke code ʻino. No laila, hilinaʻi nā hui ma luna o nā mea hana nānā hilinaʻi e ʻike a hoʻoponopono i nā pilikia ma mua o ka hoʻokuʻu ʻana.
Hoʻopili kēia mau mea hana i nā hōʻike papahana, nā ipu, a me nā faila kūkulu. A laila hoʻohālikelike lākou i kāu mau ʻāpana me nā waihona ʻikepili nāwaliwali lehulehu e like me ka ʻIkepili Pilikino Pilikino (NVD) a OSV.devMa muli o ka hana ʻakomi ʻana o kēia, hiki i nā mea hoʻomohala ke kālele i ke code ma kahi o nā loiloi lima.
Eia nō naʻe, ʻo nā mea hana nānā hilinaʻi e hōʻike wale ana i nā pilikia i ʻike ʻia. No ka hoʻomaopopo hohonu ʻana, hoʻohana nā hui i kēia manawa nā mea hana palapala ʻāina hilinaʻi e nānā pono i nā pilina ma waena o nā ʻāpana a ʻike i nā ala hoʻohana maoli. ʻO ka hopena, neʻe nā hui mai ka hoʻopili hou ʻana i ka pale proactive a hoʻomau.
Nā Mea Hana Nānā Hilinaʻi 101
A ka nānā ʻana i ka hilinaʻi Hoʻopilipili i nā mea hilinaʻi o kahi papahana, e ʻimi ana i nā hale waihona puke e kūlike me nā nāwaliwali i ʻike ʻia. Hōʻiliʻili ia i nā metadata, e like me nā inoa pūʻolo a me nā mana, a hoʻohālikelike iā lākou i nā waihona ʻikepili lehulehu. Kuhi kēia kaʻina hana i nā polokalamu kahiko a nāwaliwali paha ma mua o ka hiki ʻana i ka hana.
Ke Kuleana o ka OWASP Dependency Check
Ma waena o nā mea scan āpau, ʻO ka nānā hilinaʻi o OWASP oia kekahi o na nā hoʻonā open-source i ʻike nui ʻiaʻIke ia i nā hale waihona puke me nā CVE i ʻike ʻia, hāʻawi i nā helu koʻikoʻi (CVSS), a hana i nā hōʻike no nā mea hoʻomohala e hana ai.
No ka mea he manuahi a alakaʻi ʻia e ke kaiāulu, he wahi komo pono ia no nā hui he nui e hoʻomaka ana me SCA (Ka Nānā ʻana i ka Hoʻonohonoho ʻana o ka Polokalamu).
ʻOiai pēlā, he mau palena ko OWASP Dependency-Check. Ke nānā wale nei ia i nā nāwaliwali i ʻike ʻia a hilinaʻi i ka hou o ka waihona ʻikepili. Eia kekahi, ʻaʻole ia e ana i ka hiki ke hoʻohana a hiki ke hiki. No laila, pono nā mea hoʻomohala e hoʻoholo lima i nā pilikia koʻikoʻi loa.
Hoʻoponopono nā mea hana palapala ʻāina hilinaʻi hou i kēia ma ka hoʻohui ʻana i ka pōʻaiapili runtime, ka wānana exploitability, a me nā hoʻoponopono hana ponoʻī.
Mai ka nānā ʻana i ka hilinaʻi a i ka palapala ʻāina hilinaʻi
Pane nā scanner kuʻuna i hoʻokahi nīnau: "ʻO wai nā mea hilinaʻi i nāwaliwali?"
Eia nō naʻe, pono nā papahana hou i ka pōʻaiapili hou aku. Ke nīnau nei nā hui i kēia manawa: "Ma hea e hoʻohana ʻia ai kēia hilinaʻi?", "Hiki ke kiʻi ʻia ke code palupalu?", a "Ke pili nei anei ia i nā ʻōnaehana koʻikoʻi?"
A mea hana hoʻohālikelike hilinaʻi kūkulu i kahi pakuhi piha o kāu mau hale waihona puke a pehea lākou e pili ai. Hahai ia i nā hilinaʻi pololei a me nā hilinaʻi transitive, e hōʻike ana pehea e laha ai kahi nāwaliwali hoʻokahi ma nā lawelawe a i ʻole nā pahu.
Nā Mea Hana Palapala ʻĀina Hilinaʻi Hou e Hāʻawi nei
- Ka loiloi hiki ke hiki aku: E ʻike inā hoʻohana maoli ʻia nā ala code palupalu.
- Ka helu ʻana o ka hoʻohana pono ʻana: E hoʻohui i ke koʻikoʻi o CVSS me ka ʻikepili likelihood EPSS.
- Pōʻaiapili waiwai: E hōʻike i nā lawelawe a i ʻole nā polokalamu e hilinaʻi nei i kahi pilikia.
- Hoʻohui mau: E holo i nā nānā ʻana CI/CD pipelines no ka manaʻo hoʻopuka manawa maoli.
- Kākoʻo hoʻokō: paha SBOMs a hōʻoia i nā laikini open-source aunoa.
No laila, hoʻololi ka palapala ʻāina hilinaʻi i nā hōʻike paʻa i ka ʻike palekana hiki ke hana ʻia.
Nā Mea Hana Nānā Hilinaʻi vs. Nā Mea Hana Palapala ʻĀina Hilinaʻi
Aia ma lalo iho kahi hoʻohālikelike maopopo ma waena o nā ʻano ʻelua:
| hiʻona | Nā Mea Hana Nānā Hilinaʻi | Nā Mea Hana Palapalaʻāina Hilinaʻi |
|---|---|---|
| manao | E ʻike i nā nāwaliwali i ʻike ʻia. | Hōʻike i nā pilina hilinaʻi a me ka hopena. |
| PūnaekeʻIkepili | NVD, OSV.dev. | Nā hānai NVD + OSV + hiki ke hoʻohana ʻia (EPSS, KEV). |
| ka hohonu | Ka nānā paʻa ʻana o nā papahana. | Ka hiki ke hiki i ka manawa holo a me ka pōʻaiapili ʻoihana. |
| hana nona iho | Nā scan lima a i ʻole i hoʻonohonoho ʻia. | Holomua CI/CD ka hoʻohui ʻana. |
| ʻOkiʻoki | Ka hoʻopili lima ʻana. | hana nona iho pull requests a me nā hōʻano hou o ka mana palekana. |
| ʻike pono | Ka nānā ʻana i ka papahana hoʻokahi. | Ka uhi piha ʻana o ke kaulahao lako. |
No laila, hoʻokumu nā mea hana nānā hilinaʻi i kahi kahua paʻa, ʻoiai nā mea hana palapala ʻāina hilinaʻi hoʻohui i ka ʻike maka ʻana, ka automation, a me ka precision.
Pehea e hoʻomaikaʻi ai ʻo Xygeni i ka nānā ʻana i ka hilinaʻi
Hoʻokumu nā mea hana hōʻoia hilinaʻi i kahi kahua paʻa no ka palekana. Eia nō naʻe, hoʻohui nā mea hana palapala hilinaʻi i ka ʻike, ka hana aunoa, a me ka nānā mua ʻanacision ʻaʻole hiki i nā scan maʻalahi ke hāʻawi.
ʻO ka mīkini nānā hilinaʻi Xygeni lawe i kēia i hoʻokahi ʻanuʻu hou aʻe. Hoʻopili ia i ka ʻike ʻana me ka pōʻaiapili maoli, ka hana automation, a me nā kahe hana hoʻomohala.
Ma kahi o ka hana ʻana i nā hōʻike paʻa, hāʻawi ia i nā hui i ka ʻike ola a me nā ʻike maopopo a hiki ke hana ʻia mai ke code a i ka runtime.
oiai ʻO ka nānā hilinaʻi o OWASP ke nānā aku nei i ka ʻike ʻana i nā nāwaliwali i ʻike ʻia, ʻO Xygeni kūkulu ʻia ma luna o kēlā standardHoʻohui ia i ka pilina, ka helu ʻana i ka hoʻohana ʻana, a me ka hoʻoponopono hou ʻana i loko o CI a me CD pipelines.
No laila, hoʻolōʻihi ka manawa o nā mea hoʻomohala i ka nānā ʻana i nā leka hoʻomaopopo a ʻoi aku ka manawa e hāʻawi ana i ke code palekana a paʻa.
Mai ka ʻIke ʻana a i ka Decision
ʻAʻole wale ka ʻike ʻana i nā pilikia ke hana nei ʻo Xygeni. Kōkua ia i nā hui e hoʻoholo i nā mea nui maoli.
Ke ʻike ʻia kahi nāwaliwali hou, nānā koke ka scanner:
- Ma hea e noho ai: ʻo wai nā waihona a i ʻole nā hale e hoʻohana ana i ka hilinaʻi i hoʻopilikia ʻia.
- Inā holo ia: inā paha e hana ana ke ala code nāwaliwali i ka wā holo.
- Pehea ke koʻikoʻi: Hoʻohui pū i ka ʻikepili CVSS, EPSS, a me KEV e hoʻomaopopo i ka hopena maoli.
- He aha ka hana aʻe: manaʻo i kahi mana palekana, patch, a i ʻole ka hoʻololi hoʻonohonoho.
Hoʻololi kēia kaʻina hana i ka ʻike maʻalahi i ka hoʻoponopono alakaʻi a hilinaʻi hoʻi.
ʻOihana Hoʻomohala i Kālele ʻia
ʻAʻole e like me nā scanner kuʻuna, holo ʻo Xygeni ma kahi e hana ai nā mea hoʻomohala: i loko CI/CD pipelines, GitHub Actions, a i ʻole kā lākou IDE.
Ke nānā nei ia i kēlā me kēia pull request a commit ʻakomi, e ālai ana i nā hui palekana ʻole a me ka hāpai ʻana i nā mea hou palekana i ka wā e pono ai.
ʻO nā hiki nui:
- Ke nānā mau nei: Nānā i nā waihona a pau i ka wā e ʻike ʻia ai nā ʻōlelo aʻoaʻo hou.
- Ka hiki ke hoʻokokoke a me ka hoʻohana ʻana: Hoʻohālikelike i nā mea i loaʻa me ka ʻikepili runtime e hōʻike i nā pilikia maoli a hiki ke hoʻohana pono ʻia.
- Hoʻonohonoho akamai: Hoʻokaʻawale i nā nāwaliwali ma o ke koʻikoʻi, ka hiki ke hoʻomaopopo ʻia, a me ke koʻikoʻi o ka ʻoihana.
- Nā hoʻoponopono ʻakomi: ka ʻO ka Xygeni Bot wehe palekana pull requests, hoʻāʻo i nā mea hou, a hoʻohui iā lākou ke hōʻoia ʻia.
- SBOM a me ka nānā ʻana i nā laikini: Nā mea hana SPDX a CycloneDX hōʻike a hōʻoia i ka mālama ʻana i nā laikini.
Ma muli o kēia hana automation, ʻo ka mea i hala mau i nā hola i kēia manawa e hana ʻia ana i ke kaʻina hana hoʻomohala maʻamau.
Ma ʻō aku o ke Kānana Paʻa
Hoʻōki nā scanner kuʻuna i ka ʻike ʻana. Hele hou aku ʻo Xygeni ma ka hoʻolilo ʻana i nā hopena i holomua hiki ke ana ʻia.
Hoʻokomo pū kēlā me kēia makaʻala i ka hiki ke hiki ke hoʻokokoke aku, ka hiki ke hoʻohana ʻia, a me nā kikoʻī hoʻoponopono. Hāʻawi kēia i ka ʻike piha mai ka ʻike ʻana a i ka hoʻonā ʻana.
Hoʻopaʻa inoa ʻia kēlā me kēia hana no ka loiloi ʻana, kahi e kōkua ai i nā hui e hoʻokō i nā lula e like me NIS2, ʻO Dora, a SSDF.
Hōʻike pū kēia ʻike ʻana ua loaʻa nā nāwaliwali, loiloi ʻia, a hoʻoponopono ʻia i ka manawa kūpono.
Laʻana: Ka Palapala ʻĀina Hilinaʻi ma ka Hana
E noʻonoʻo i kāu papahana e komo pū ana ʻO ke kumu log4j ma kekahi mau lawelawe.
E hōʻailona kahi hōʻoia hilinaʻi maʻamau i ka pilikia akā ʻaʻole e wehewehe i kona hopena.
me Ka palapala ʻāina hilinaʻi o Xygeni, hiki iā ʻoe ke ʻike koke:
- ʻO wai nā lawelawe e hoʻohana ana i ka waihona puke.
- Inā paha e hiki ke hoʻokokoke aku i ka papa palupalu.
- He aha ka mana e palekana e hōʻano hou.
A laila, ka ʻO ka Xygeni Bot hana i ka pull request, hoʻāʻo i ka hoʻoponopono i kāu pipeline, a hoʻopau i ka pilikia ke hui pū ʻia.
Hoʻemi kēia kaʻina hana i ka hana lima, pale i nā lohi, a hoʻōki i nā hilinaʻi palupalu mai ka hiki ʻana i ka hana.
No ke aha he mea nui
Ma ka hoʻohui ʻana ka nānā ʻana i ka hilinaʻi, kŰia, a hoʻoponopono hana ponoʻī, hoʻolilo ʻo Xygeni iā AppSec i kahi kaʻina hana maʻalahi a hoʻomau.
Kōkua ia i nā hui e ʻike mua, hoʻonohonoho wikiwiki i nā mea nui, a hoʻoponopono me ka wiwo ʻole, me ka ʻole o ka hoʻolohi ʻana i ka hoʻomohala ʻana.
I ka pōkole, hana ʻo Xygeni i ka palekana hilinaʻi e hoʻomau, maopopo, a hana aunoa. ʻO ia ke ala akamai no nā hui DevSecOps e pale i kā lākou polokalamu mai ka hoʻomaka a hiki i ka hoʻokuʻu ʻana.
Manaʻo Hope Loa: Mai ka Nānā ʻana i ka Hilinaʻi a i ka Palapala ʻĀina Hoʻomau
Neʻe wikiwiki ka hoʻomohala polokalamu hou. He mea pono nō nā mea hana nānā hilinaʻi kuʻuna e like me OWASP Dependency Check, akā hōʻike wale lākou i nā mea i ʻike ʻia he palupalu. ʻAʻole lākou e wehewehe i nā pilikia koʻikoʻi loa a i ʻole kahi i loaʻa ai i kāu code.
ʻO ia ke kumu e hoʻohana ai nā hui i nā mea hana palapala hilinaʻi noi. Hoʻohui kēia mau mea hana i ka pōʻaiapili a me ka ʻike. Hōʻike lākou i nā ʻāpana e hana nei, nā nāwaliwali hiki ke hiki aku, a me nā mea hiki ke hoʻopilikia i kāu mau kūkulu. Ke hana pū nā ʻano ʻelua, loaʻa i nā mea hoʻomohala ka mana piha a hiki ke hoʻoponopono wikiwiki.
Hoʻohui pū ʻo Xygeni i kēia mau manaʻo. Kūkulu ʻia ia ma luna o ke kumu hāmama i hōʻoia ʻia standards a hoʻohui i ka automation, nā hōʻoia hiki ke hiki, a me ka hoʻoponopono alakaʻi. Lilo ka palekana i ʻāpana o ke kaʻina hana hoʻomohala, ʻaʻole he ʻanuʻu lohi hou.
I ka pōkole, e ʻike mua, e hoʻomaopopo pono i kāu mau mea hilinaʻi, a e hoʻoponopono koke i nā pilikia. Pēlā nā hui hou e pale ai i kā lākou polokalamu me Xygeni.
About ke kākau
i kakauia ma Fatima Said, Luna Hoʻokele Kūʻai Aku ʻIke loea i ka Palekana Noi ma Palekana Xygeni.
Hoʻokumu ʻo Fátima i nā ʻike noiʻi e pili ana i nā mea hoʻomohala ma AppSec, ASPM, a me DevSecOps. Unuhi ʻo ia i nā manaʻo loea paʻakikī i nā ʻike maopopo a hiki ke hana e hoʻopili ai i ka hana hou no ka palekana pūnaewele me ka hopena o ka ʻoihana.
