ʻO ka OWASP Top 10 kekahi o nā kuhikuhi palekana noi i hoʻohana nui ʻia no ka ʻike ʻana a me ka hōʻemi ʻana i nā pilikia palekana noi pūnaewele koʻikoʻi loa. Hōʻike kēia alakaʻi i nā pilikia OWASP Top 10, nā hiʻohiʻona o ke ao maoli, nā hana maikaʻi loa o ka hoʻoponopono ʻana, a pehea e hoʻohana ai ʻo AppSec hou a me software supply chain security kōkua nā hoʻonā i nā hui e hōʻemi i ka pilikia ma waena o SDLC.
ʻO ka Papahana Palekana Noi Pūnaewele Hāmama (OWASP)
Ka Papahana Palekana Noi Pūnaewele Hāmama (OWASP) he hui waiwai ʻole alakaʻi i hoʻolaʻa ʻia no ka hoʻomaikaʻi ʻana i ka palekana polokalamu. Ua kaulana ʻo OWASP no kona ʻike maopopo a me commitke aʻo ʻana i nā hoʻonā i alakaʻi ʻia e ke kaiāulu, kahi i lilo ai ia i kumu waiwai no nā mea hoʻomohala, nā loea palekana, a me nā hui e ʻimi nei e hoʻohana i nā hana palekana maikaʻi loa. Ma waena o kāna mau hāʻawi he nui, ʻo kekahi o nā mea koʻikoʻi loa ʻo ia ka OWASP Top 10, kahi papa inoa i hoʻonui mau ʻia o nā pilikia palekana noi pūnaewele koʻikoʻi e pili ana i nā noi hou. Hōʻike ia i nā nāwaliwali koʻikoʻi loa i nā noi pūnaewele, ma muli o ka ʻikepili honua maoli a me nā ʻike loea.
ʻO ka misionari a OWASP ka hoʻolilo ʻana i ka palekana i mea hiki ke komo a maopopo, e hāʻawi ana i nā mea hana, nā ʻōnaehana hana, a me ka ʻike e kōkua i ka hoʻopaʻa ʻana i nā noi mai ka hoʻomaka ʻana. Hana ka OWASP Top 10 ma ke ʻano he ʻōnaehana hana kūpono e kōkua i nā mea hoʻomohala e kālele ana i nā nāwaliwali i mea nui loa, e hōʻoia ana hiki iā lākou ke hoʻokō pono i nā hopena e pono ai.
ʻO ka OWASP Top 10
ʻO ka OWASP Top 10 kahi kumuwaiwai palekana noi kumu no nā hui e hoʻopaʻa ana i nā polokalamu pūnaewele hou. No kekahi hui e hana ana e hoʻopaʻa i nā polokalamu pūnaewele. Hōʻike ia i nā hoʻoweliweli palekana koʻikoʻi loa, e hāʻawi ana i nā ʻike i nā ala maʻamau e hoʻopilikia ʻia ai nā noi. Hōʻike ka OWASP Top 10 i nā nāwaliwali i kēia mau pilikia kiʻekiʻe, e hāʻawi ana i nā ʻōlelo aʻoaʻo hana e hōʻemi iā lākou. ʻO ka hoʻoponopono ʻana i kēia mau nāwaliwali ma ke alo he mea nui ia no ka hoʻoikaika ʻana i ka palekana o kekahi noi.
He aha ka OWASP Top 10 a me kā lākou mau lāʻau lapaʻau?
ʻO ka OWASP Top 10 kahi palapala ʻike i ʻike ʻia ma ka honua holoʻokoʻa i paʻi ʻia e ka Open Web Application Security Project (OWASP). Kuhikuhi ia i nā pilikia palekana koʻikoʻi loa e pili ana i nā polokalamu pūnaewele hou e pili ana i ka ʻikepili hoʻouka kaua honua maoli, ka noiʻi kaiāulu, a me ka loiloi ʻoihana. Kōkua ka papa inoa i nā mea hoʻomohala, nā hui AppSec, nā ʻenekinia DevSecOps, a me nā alakaʻi palekana e hoʻonohonoho i nā nāwaliwali e hoʻoweliweli nui ai i nā noi, nā API, a me nā kaulahao lako polokalamu.
ʻO ka OWASP Top 10 o kēia manawa e pili ana i nā māhele palekana e like me ka Broken Access Control, Injection, Security Misconfiguration, Vulnerable and Outdated Components, Software and Data Integrity Failures, a me Server-Side Request Forgery (SSRF). He mea nui ka hoʻomaopopo ʻana i kēia mau pilikia a me ka hoʻokō ʻana i nā hoʻolālā hoʻoponopono kūpono no ke kūkulu ʻana i nā noi palekana, ka hōʻemi ʻana i ka hōʻike ʻana i ka palekana polokalamu, a me ka pale ʻana i nā hui mai nā hoʻoweliweli cyber hou.
Nā Māhele 10 Kiʻekiʻe o OWASP
Nā nāwaliwali 10 kiʻekiʻe o OWASP ma kahi nānā iki
| Māhele OWASP | Pilikia Kumu | Ka hopena maʻamau |
|---|---|---|
| ʻAhaʻi ʻAi Mana | Komo ʻole ʻia | Hōʻike ʻike |
| Nā hemahema cryptographic | Hoʻopāʻālua nāwaliwali | ʻAihue ʻikepili koʻikoʻi |
| Injection | Hoʻokō hoʻokomo ʻino | Hoʻopilikia ʻia ka waihona ʻikepili |
| Hoʻolālā Palekana ʻole | Nā nāwaliwali o ke ʻano hana | Nā nāwaliwali o ka ʻōnaehana holoʻokoʻa |
| Hoʻonohonoho hewa palekana | Hoʻonohonoho pono ʻole | Komo ʻole ʻia |
| Nā Mea Hoʻopilikia | Nā hilinaʻi kahiko | Ka hoʻopilikia ʻana i ke kaulahao lako |
| ʻAʻole hōʻoia | Nā kaohi ʻike nāwaliwali | Lawe moʻokāki |
| Nā hemahema o ka pono o ka polokalamu | Ka hoʻopilikia ʻana i ke kūkulu ʻana/hilinaʻi ʻana | Hoʻokomo ʻana i ka polokalamu ʻino |
| Nā Hana ʻole o ka Hoʻopaʻa ʻAna a me ka Nānā ʻAna | Ka ʻike lohi ʻana | Ka manawa noho lōʻihi o ka mea hoʻouka |
| SSRF | Ka hana ʻino ʻana i nā noi kūloko | Ka hoʻopilikia ʻana i ka lawelawe kūloko |
1. Ka Mana Komo Haʻihaʻi (A01:2021)
He aha ka Mana Komo Haʻihaʻi?
Hana ʻia ka Mana Komo Hakakā ke loaʻa i nā mea hoʻohana ke komo ʻae ʻole ʻia i ka ʻikepili a i ʻole nā hana. No ka laʻana, hiki i kahi mea hoʻouka ke hoʻopunipuni i kahi URL e loaʻa ai ke komo admin. Ua ʻike ʻo OWASP i kēia pilikia ma 94% o nā noi i hoʻāʻo ʻia, e lilo ia i hoʻokahi o nā nāwaliwali palekana OWASP Top 10 maʻamau.
Nā Hoʻōla no ka Mana Komo Haʻihaʻi
No ka hōʻemi ʻana i kēia pilikia, hoʻokō i ke komo ʻana me ka liʻiliʻi loa o nā kuleana, hoʻokō i ka hōʻoia multi-factor (MFA) no nā hana koʻikoʻi, a nānā mau i nā ʻae a ka mea hoʻohana.
Palekana o nā mea huna a Xygeni kōkua i ka pale ʻana i ka ʻike koʻikoʻi e like me nā kī API a me nā hōʻailona, e hōʻemi ana i ka pilikia o ka uhaki ʻana i ke kaohi komo. ʻO ka nānā mau ʻana e hōʻoiaʻiʻo i ka pono o kāu ʻōnaehana.
Laʻana o Rael-World
In 2019, ʻOihana Waiwai ʻAmelika Mua ua hōʻike ʻia ma luna 850 miliona mau moʻolelo koʻikoʻi ma muli o ke kāohi komo kūpono ʻole. Hiki i nā mea hoʻouka ke hoʻololi wale i kahi URL e komo i nā palapala huna. Ma ka hoʻopoina ʻana i ka hoʻopaʻa pono ʻana i nā wahi komo, ua waiho ka ʻoihana i ka ʻikepili koʻikoʻi i nāwaliwali. Hoʻomaopopo kēia hanana i ka pono e hōʻoia i nā kuleana o ka mea hoʻohana a hōʻoia i hiki i nā poʻe i ʻae ʻia ke komo i ka ʻike koʻikoʻi.
No ke aha he mea nui i kēia lā? Hōʻike nā noi hou i nā API, nā lawelawe ao, a me nā kuleana mea hoʻohana i hoʻolaha ʻia, e hana ana i ke komo ʻae ʻole ʻia kekahi o nā pilikia palekana maʻamau a hōʻino paha e pili ana i ka ʻikepili ʻoihana koʻikoʻi.
2. Nā Hana ʻole o ka Cryptographic (A02:2021)
He aha nā hemahema cryptographic?
Hana ʻia nā hemahema Cryptographic ke hiki ʻole i nā ʻōnaehana ke hoʻopāʻālua pono i ka ʻikepili koʻikoʻi, e ʻae ana i nā mea hoʻouka e ʻae a hoʻohana hewa. He mea nui ka hoʻopāʻālua ikaika no ka pale ʻana i ka ʻikepili koʻikoʻi.
Nā lāʻau lapaʻau no nā hemahema Cryptographic
E hoʻopāpā i ka ʻikepili i mālama ʻia me AES-256 a hoʻokō i ka TLS 1.2 a ʻoi aku paha no ka ʻikepili e hele ana. E hoʻohuli pinepine i nā kī hoʻopāpā a hoʻopaʻa iā lākou me nā kaohi komo kūpono.
ʻO ke kahua ʻo Xygeni ma ke ʻano he code (IaC) Palekana nānā i nā hoʻonohonoho hoʻopāʻālua i ka wā o ka hoʻolaha ʻana e pale aku i nā nāwaliwali i nā kulekele hoʻopāʻālua.
Laʻana Honua Maoli
I 2017, Exactis, he ʻoihana hōʻuluʻulu ʻikepili, ua hōʻike ʻia he 340 miliona mau moʻolelo pākahi ma muli o ka hoʻopāʻālua kūpono ʻole. Ua komo nā mea hoʻouka i ka ʻike pilikino e like me nā inoa, nā helu wahi, a me nā helu kelepona no ka mea ua mālama ʻia ka ʻikepili ma ke kikokikona maʻalahi. Hōʻike kēia uhaki i nā pilikia o ka hiki ʻole ke hoʻopāʻālua i ka ʻikepili koʻikoʻi. Ma ka hoʻopili ʻana i ka hoʻopāʻālua kūpono standardI nā ʻano hana like ʻole e like me AES-256 no ka ʻikepili i ka wā e hoʻomaha ai a me TLS no ka ʻikepili i ka wā e hele ana, hiki i nā hui ke pale i kā lākou ʻikepili mai ke komo ʻana i ʻae ʻole ʻia.
No ke aha he mea nui i kēia lā? Ke mālama nui nei nā hui a hoʻoili i ka ʻikepili koʻikoʻi o ka mea kūʻai aku, ke kālā, a me ka hōʻoia ma waena o nā wahi ao, e hana ana i ka hoʻopāʻālua ikaika no ka pale ʻana i ka pilikino a me ka mālama ʻana.
3. Hoʻokomo (A03:2021)
He aha nā hoʻouka ʻana i ka inikini?
ʻO nā nāwaliwali o ka injection, e like me ka SQL Injection, e ʻae i nā mea hoʻouka e hoʻokomo i ke code ʻino i loko o kāu ʻōnaehana, e hiki ai iā lākou ke hoʻopunipuni a ʻaihue paha i ka ʻikepili. ʻO nā hoʻouka injection kekahi o nā pilikia palekana noi maʻamau a me ka hopena e hoʻopilikia ana i nā polokalamu pūnaewele hou.
Nā lāʻau lapaʻau no Nā Hoʻouka ʻIniki
E hoʻohana i nā nīnau i hoʻohālikelike ʻia a hōʻoia i nā mea hoʻokomo a ka mea hoʻohana. E pale i nā nīnau loli i nā manawa hiki ke hoʻemi i nā pilikia.
Ka ʻIke ʻana i nā Anomaly o Xygeni Nānā CI/CD pipelines no nā hana maʻamau ʻole, ka hopu ʻana i nā hoʻāʻo inikini hiki ke hana i ka manawa maoli.
Laʻana Honua Maoli
In 2017, Equifax ua pilikia a hōʻeha ʻikepili nui i hōʻike i ka ʻike pilikino o 147 miliona mau mea kūʻai aku. Ua hopena ka uhaki ʻana mai kahi Ka nāwaliwali o ka hoʻokomo SQL, e ʻae ana i nā mea hoʻouka e hoʻopunipuni i ka pūnaewele o ka ʻoihana a komo i ka ʻikepili koʻikoʻi i mālama ʻia i loko o ka waihona ʻikepili. Pono nā hui e hōʻoia i ka hoʻomaʻemaʻe pono ʻana o kā lākou mau ʻōnaehana i nā mea hoʻokomo a ka mea hoʻohana. ʻO ka hoʻopili mau ʻana a me ka hoʻopaʻa ʻana i nā nīnau SQL hiki ke pale aku i kēia nāwaliwali.
No ke aha he mea nui i kēia lā? Ke hoʻomau nei ka hoʻopilikia ʻana o nā nāwaliwali o ka injection i nā polokalamu pūnaewele, nā API, a me nā kahe hana hoʻomohala i kōkua ʻia e AI kahi e hiki ai i ka mea i hoʻokomo ʻole ʻia i nā unuhi ʻōlelo, nā waihona ʻikepili, a i ʻole nā ʻōnaehana backend.
4. Hoʻolālā Palekana ʻole (A04:2021)
He aha ka Hoʻolālā Palekana ʻole?
Hana ʻia ka Hoʻolālā Palekana ʻole ke hiki ʻole i nā mea hoʻomohala ke hoʻohui i ka palekana i ka pae hoʻolālā mua, kahi e hana ai i nā nāwaliwali i paʻakikī ke hoʻoponopono ma hope. He paʻakikī ke hoʻoponopono i kēia mau nāwaliwali ke hiki nā noi i nā wahi hana.
Nā lāʻau lapaʻau no Hoʻolālā Palekana ʻole
E hoʻokomo i nā loina hoʻolālā palekana a me ke kumu hoʻohālike hoʻoweliweli i ka wā mua o ke ola hoʻomohala. E loiloi mau i kāu hoʻolālā no nā nāwaliwali kūpono a hoʻoponopono iā lākou ma mua o ko lākou lilo ʻana i mau pilikia koʻikoʻi.
ʻO Xygeni Application Security Posture Management (ASPM) ʻike i nā hemahema hoʻolālā kūpono ma mua o ka hiki ʻana o nā mea hoʻouka ke hoʻohana iā lākou, e hōʻoia ana i ka hoʻokomo ʻana o nā mea hoʻomohala i ka palekana i kā lākou huahana mai ka hoʻomaka.
Laʻana Honua Maoli
ʻO kahi laʻana maoli hou aku nei o Hoʻolālā Palekana ʻole no ka Nā nāwaliwali o Microsoft Exchange ProxyShell i ka makahiki 2021Ua hoʻohana nā mea hoʻouka i nā hemahema hoʻolālā i nā ʻano hōʻoia a me ke komo ʻana o Microsoft Exchange, e ʻae ana iā lākou e hoʻokō mamao i ke code ma nā kikowaena palupalu. ʻAʻole kēia mau nāwaliwali he mau hewa hoʻokō, akā, he mau nāwaliwali hoʻolālā koʻikoʻi i hiki ai ke hoʻohana pono ʻia ma hope o ka hoʻopili hewa ʻia ʻana o nā ʻāpana. Hōʻike kēia uhaki i ke koʻikoʻi o ka hoʻohui ʻana i ka palekana ma ka pae hoʻolālā e pale aku i nā nāwaliwali mai ke kūkulu ʻia ʻana i loko o ka ʻōnaehana.
No ke aha he mea nui i kēia lā? He paʻakikī a he pipiʻi hoʻi ka hoʻoponopono ʻana ma hope nā nāwaliwali palekana i hoʻolauna ʻia i ka wā hoʻolālā, ʻoiai hoʻi i nā wahi hoʻomohala ao maoli a me nā wahi hoʻomohala e loli wikiwiki ana.
5. Hoʻonohonoho hewa ʻana o ka palekana (A05:2021)
He aha ka hoʻonohonoho hewa ʻana o ka palekana?
Hana ʻia nā hoʻonohonoho hewa palekana ke hoʻohana pono ʻole nā mea hoʻouka i nā ʻōnaehana i hoʻonohonoho pono ʻole ʻia, e like me nā mea e hoʻohana ana i nā hoʻonohonoho paʻamau a i ʻole e waiho ana i nā awa pono ʻole e wehe. ʻO nā hoʻonohonoho hewa kekahi o nā kumu nui o nā hanana palekana ao a me nā noi.
Nā lāʻau lapaʻau no Hoʻonohonoho hewa palekana
E hana aunoa i nā nānā hoʻonohonoho me ka hoʻohana ʻana ʻOihana e like me ke Code (IaC) a hana i nā loiloi palekana maʻamau. E hoʻomau i nā ʻōnaehana āpau me nā hoʻoponopono hou loa.
ʻO Xygeni IaC Security nānā i nā hoʻonohonoho hewa ma mua o ka hoʻolaha ʻana a hoʻokō mau i nā kulekele palekana ma nā wahi āpau.
Laʻana Honua Maoli
I 2018, NASA ua loaʻa i kahi uhaki no ka mea nā hoʻonohonoho i hoʻonohonoho hewa ʻia in ʻO Atlassian JIRA ua hōʻike ʻia ka ʻikepili koʻikoʻi o ka papahana a me nā limahana. Ua komo nā mea hoʻouka i ka ʻike ma muli o ka hoʻonohonoho wehe. ʻO nā nānā palekana aunoa a me ka hoʻokō ʻana i nā kulekele hoʻonohonoho kūpono e hiki ke pale i kēia uhaki. ʻO nā loiloi maʻamau e ʻike i ka nāwaliwali ma mua o ka hoʻohana ʻana o nā mea hoʻouka iā ia.
No ke aha he mea nui i kēia lā? Nā lawelawe ao i hoʻonohonoho hewa ʻia, CI/CD pipelineʻO nā mea hoʻohana, nā ipu, a me nā ʻaoʻao hoʻomalu i hōʻike ʻia kekahi o nā kumu nui o nā uhaki palekana o kēia wā.
6. Nā ʻĀpana Palupalu a Kahiko (A06:2021)
He aha nā ʻāpana palupalu a me nā ʻāpana i pau i ka wā?
Loaʻa nā ʻāpana palupalu a kahiko ke hoʻohana ʻoe i nā hale waihona puke ʻaoʻao ʻekolu a i ʻole nā papa hana me nā hemahema palekana i ʻike ʻia. Hiki i nā mea hoʻouka ke hoʻohana i kēia mau nāwaliwali e hoʻopilikia i kāu noi. He hoʻoweliweli weliweli loa kēia, ʻoiai a hiki i ka 60% o nā noi hou i kūkulu ʻia me nā ʻāpana ʻaoʻao ʻekolu.
Nā lāʻau lapaʻau no Nā ʻāpana palupalu a me nā ʻāpana kahiko
Hoʻohou pinepine i nā hale waihona puke a me nā mea hilinaʻi o nā ʻaoʻao ʻekolu, a hoʻohana i ka Software Composition Analysis (SCA) nā mea hana e ʻike a hoʻoponopono i nā nāwaliwali.
ʻO Xygeni Open Source Security e nānā i kāu mau mea hilinaʻi e pale aku i ka hoʻohana ʻana i nā ʻāpana kahiko a ʻino paha, e kōkua ana iā ʻoe e mālama i kahi noi palekana.
Laʻana Honua Maoli
In 2017, ʻO Apache Struts he nāwaliwali i pale ʻole ʻia i alakaʻi i ka ʻAha Equifax, e hoʻopilikia ana i nā miliona o nā mea hoʻohana. Aia ka nāwaliwali i loko ʻO Apache Struts 2, kahi ʻōnaehana i hoʻohana nui ʻia, a ua hāʻule ʻo Equifax i ka hoʻopili ʻana i ka patch i ka manawa kūpono. Ua waiho kēia i kā lākou mau ʻōnaehana i hōʻike ʻia i ka hoʻohana pono ʻole ʻana. ʻO nā mea hou i ka manawa kūpono a me ka nānā ʻana i ka nāwaliwali maʻamau e pale aku i kēia uhaki.
No ke aha he mea nui i kēia lā? Ua hilinaʻi nui nā polokalamu hou i nā pūʻolo open source a me nā hale waihona puke ʻaoʻao ʻekolu, e hana ana i nā hoʻouka kaua kaulahao lako polokalamu a me nā hilinaʻi nāwaliwali i mea hopohopo nui no AppSec.
7. Nā Hana ʻole o ka Hōʻoia (A07:2021)
He aha nā hemahema ʻike a me ka hōʻoia ʻana?
Hiki mai kēia mau nāwaliwali i ka wā e nāwaliwali ai nā ʻano hōʻoia a hoʻokō pono ʻole ʻia paha, e ʻae ana i nā mea hoʻouka kaua e kāpae i nā kaohi palekana.
Nā lāʻau lapaʻau no Nā hemahema o ka ʻike a me ka hōʻoia ʻana
Hoʻokō i nā kulekele ʻōlelo huna ikaika, hoʻokō i ka hōʻoia multi-factor (MFA), a nānā i nā log hōʻoia e pale aku i ke komo ʻae ʻole ʻia.
Kōkua ka Xygeni's Secrets Security i ka hoʻopaʻa ʻana i kāu mau hōʻoia, e hōʻemi ana i ka pilikia o nā leaks i ka wā o ke kaʻina hana hōʻoia.
Laʻana Honua Maoli
In 2020, ka Kāmeʻa palekana kani ua hana ʻia ka uhaki ʻana e nā ʻōlelo huna nāwaliwali. Ua hoʻohana nā mea hoʻouka i nā ʻōlelo huna maʻalahi a loaʻa ke komo i nā hānai wikiō ola mai nā kāmela o nā tausani o nā mea hoʻohana. Hōʻike kēia uhaki i ka pono koʻikoʻi no nā hana hōʻoia ikaika. No laila, ke hoʻokō nei hōʻoia multi-factor authentication (MFA) a hoʻokō nā kulekele ʻōlelo huna ikaika inā ua pale maʻalahi i ke komo ʻae ʻole ʻia.
No ke aha he mea nui i kēia lā? Ke hoʻomau nei nā ʻano hōʻoia nāwaliwali i ka hiki ke lawe i nā moʻokāki, nā hoʻouka kaua hōʻoia, a me ke komo ʻae ʻole ʻia ma o SaaS, cloud, a me enterprise noi.
8. Nā hemahema o ka pono o ka polokalamu a me ka ʻikepili (A08:2021)
He aha nā hemahema o ka pono o ka polokalamu a me ka ʻikepili?
Hiki mai kēia mau nāwaliwali ke pale ʻole ke code a i ʻole ke kahua mai ka hoʻopunipuni ʻia. Hiki i nā mea hoʻouka ke hoʻopilikia i ke kūkulu ʻana pipelines, nā mea hilinaʻi, a i ʻole nā kaʻina hana hoʻolaha, e hoʻokomo ana i ke code ʻino i loko o nā mea hou i hilinaʻi ʻia. Ua lilo kēia ʻano hemahema i mea hopohopo nui ma muli o ka piʻi ʻana o nā hoʻouka kaua kaulahao lako, kahi i kuhikuhi ʻia ai nā ʻāpana ʻaoʻao ʻekolu i hilinaʻi ʻia e komo i nā pūnaewele.
Nā lāʻau lapaʻau no Nā hemahema o ka pono o ka polokalamu a me ka ʻikepili
No ka hoʻēmi ʻana i kēia, hoʻokō i ke kau inoa ʻana o ke code, e hoʻohana i nā kaʻina hana kūkulu palekana, a e hōʻoia i ka pono o nā ʻāpana ʻaoʻao ʻekolu.
ʻO Xygeni CI/CD maluhia hōʻoia i kou pipelineUa palekana a nānā ʻia nā mea āpau no nā ʻano ʻē. Hiki i ka ʻIke ʻAnomaly a Xygeni ke ʻike i nā hana kānalua e hōʻike ana paha i ka hoʻopunipuni ʻia.
Laʻana Honua Maoli
In 2024, kahi hoʻouka kaua koʻikoʻi i kuhikuhi ʻia i ke kaulahao lako Nā Mea Hana XZ, kahi waihona hoʻopili i hoʻohana nui ʻia ma nā ʻōnaehana Linux. He mea hana koʻikoʻi ʻo XZ Utils i hoʻohana ʻia no ka hoʻopili ʻana i nā faila, i hilinaʻi ʻia e nā tausani o nā hui. Eia nō naʻe, ua hoʻopilikia maikaʻi nā mea hoʻouka i ke kaʻina hana kūkulu o ka papahana ma ka hoʻokomo ʻana i kahi backdoor i loko o ke code.
ʻAʻole i ʻike ʻia nā mea hoʻouka no kekahi manawa, ʻo ia hoʻi nā ʻōnaehana e hilinaʻi nei i ka waihona puke i hoʻopilikia ʻia ua palupalu i ka hoʻokō code mamao a me ka hoʻohana hou ʻana. ʻO ka hopena, ua loaʻa i kēia mau mea hoʻouka ka mana ma luna o nā ʻōnaehana i hoʻopilikia ʻia, e alakaʻi ana i ka uhaki ʻikepili a me ka hoʻopilikia ʻana i ka ʻike koʻikoʻi.
He mea hoʻomanaʻo maopopo kēia hanana i nā pōʻino i kau ʻia e nā hoʻouka kaua kaulahao lako. Hiki ke hoʻopunipuni ʻia kahi waihona puke i hilinaʻi nui ʻia e hoʻopilikia i nā ʻōnaehana he nui. Ma ka hōʻoia ʻana i nā kaʻina hana kūkulu palekana, me ka hoʻohana ʻana i nā ʻano hana kau inoa code, a me ka nānā mau ʻana i nā ʻāpana ʻaoʻao ʻekolu, hiki i nā hui ke pale i kēlā mau nāwaliwali mai ke komo ʻana i kā lākou ʻōnaehana.
No ke aha he mea nui i kēia lā? Nā hoʻouka kaua kaulahao lako polokalamu e kuhikuhi ana i ke kūkulu ʻana pipelines, nā papa inoa pūʻolo, nā mea hilinaʻi, a me CI/CD ua lilo nā ʻōnaehana i mea pilikia nui no ka hoʻomohala polokalamu hou.
9. Nā Hana ʻole o ka Hoʻopaʻa ʻana a me ka Nānā ʻana i ka Palekana (A09:2021)
He aha nā hemahema o ka hoʻopaʻa inoa ʻana a me ka nānā ʻana i ka palekana?
Hiki mai kēia mau hemahema ke hoʻopaʻa pono ʻole nā noi i nā hanana palekana a nele paha i nā ʻano hana nānā. Me ka ʻole o nā log kikoʻī, lilo ka ʻike ʻana a me ka pane ʻana i nā hoʻouka kaua i mea paʻakikī. Hoʻopaneʻe pinepine kēia mau nāwaliwali i ka ʻike ʻana i ka uhaki ʻana, e ʻae ana i nā mea hoʻouka kaua e hoʻohana i nā ʻōnaehana i nā wā lōʻihi.
Nā lāʻau lapaʻau no Nā hemahema o ka hoʻopaʻa inoa palekana a me ka nānā ʻana
E hoʻā i ka hoʻopaʻa inoa piha no nā hana koʻikoʻi āpau, e mālama pono i nā log, a e hōʻoia i ka nānā ʻia ʻana no nā hana kānalua. Eia kekahi, e hoʻohana i nā mea hana hana ponoʻī e hoʻomaopopo iā ʻoe i nā hoʻoweliweli hiki.
Ka ʻIke ʻana i nā Anomaly o Xygeni kōkua i ka ʻike ʻana i nā hana maʻamau ʻole i ka manawa maoli. Eia kekahi, CI/CD Hoʻomaopopo ka palekana e hoʻopili mau ʻia nā hoʻonohonoho hoʻopaʻa inoa a me ka nānā ʻana ma nā wahi āpau.
Laʻana Honua Maoli
In 2023, Uber ua loaʻa iā ia kahi uhaki ʻikepili i ua hoʻopilikia ʻia ka ʻike pilikino o nā tausani o nā mea hoʻokeleUa hana ʻia ka uhaki ʻana i ka wā i hana ʻia ai kahi ʻoihana loio ʻaoʻao ʻekolu, ʻO Genova Burns, ua loaʻa i kahi hanana palekana, e hōʻike ana i ka ʻikepili. ʻOiai ua hoʻāla ʻia nā makaʻala, ʻaʻole i ʻike koke nā ʻōnaehana nānā a Uber i ka hoʻouka kaua.
Ua loaʻa i nā mea hoʻouka ke komo i ka ʻike koʻikoʻi, me nā inoa, nā helu kelepona, a me nā moʻolelo hoʻokele. ʻO ke kumu nui o kēia lohi ʻana, ʻo ia ka nele o ka hoʻopaʻa inoa piha a me nā ʻōnaehana nānā pono ʻole.
Inā ua nānā pono ʻo Uber i ke komo ʻana i kāna mau ʻōnaehana a hoʻokō i nā hana hoʻopaʻa ʻāina ʻoi aku ka maikaʻi, ua hiki iā lākou ke ʻike koke i ka uhaki ʻana. ʻO ka hopena, ua hiki i ka ʻoihana ke hōʻemi i ka hōʻino ʻia o ka inoa a me nā pohō kālā. Hōʻike kēia uhaki ʻana i ke koʻikoʻi o ka mālama ʻana i nā ʻōnaehana hoʻopaʻa ʻāina a me ka nānā pono ʻana e ʻike a hōʻemi i nā hoʻoweliweli i ka wā mua.
No ke aha he mea nui i kēia lā? Me ka ʻike ʻole ʻia a me ka nānā ʻana, hakakā nā hui e ʻike mua i nā hoʻouka kaua, e ʻae ana i nā mea hoʻouka kaua e noho ʻike ʻole ʻia no ka wā lōʻihi.
10. Noi Hoʻopunipuni ʻAoʻao Kikowaena (SSRF) (A10:2021)
He aha ka hoʻopunipuni noi ma ka ʻaoʻao kikowaena?
Hana ʻia ka SSRF i ka wā e hoʻopunipuni ai nā mea hoʻouka i kahi kikowaena e hana i nā noi i nā wahi i manaʻo ʻole ʻia, e komo pinepine ana i nā lawelawe kūloko e pono e kaupalena ʻia. ʻAe kēia nāwaliwali i nā mea hoʻouka e komo i ka ʻikepili koʻikoʻi a hoʻokō paha i nā kauoha ma nā ʻōnaehana kūloko.
Nā lāʻau lapaʻau no ka SSRF
No ka pale ʻana i ka SSRF, e hōʻoia i nā mea hoʻokomo a pau a kaupalena i ka hiki o ke kikowaena ke hana i nā noi i waho. Eia kekahi, e hoʻohana i nā papa inoa ʻae e kāohi i nā URL e hiki ai i ke kikowaena ke komo.
ʻO Xygeni CI/CD Kōkua ka palekana i ka nānā ʻana pipelines no nā nāwaliwali SSRF hiki. Eia kekahi, hiki i ka ʻike ʻano ʻē a Xygeni ke hopu i nā ʻano noi i manaʻo ʻole ʻia a kānalua paha.
Laʻana Honua Maoli
In 2022, he nāwaliwali koʻikoʻi i loko Microsoft Exchange (CVE-2022-41040) ua hoʻohana ʻia e nā mea hoʻouka me ka hoʻohana ʻana i nā ʻano hana SSRF. Ua hiki i nā mea hoʻouka ke hoʻouna i nā noi ʻino i ke kikowaena Exchange, e pale ana i nā palekana palekana kūloko.
I loko, ua komo nā mea hoʻouka i nā ʻōnaehana kūloko a ua hoʻopilikia i ka ʻikepili koʻikoʻi. Ma ka hoʻohana ʻana iā SSRF, ua loaʻa iā lākou ke komo ʻae ʻole ʻia i nā kumuwaiwai kūloko i kaupalena ʻia, e alakaʻi ana i nā uhaki palekana nui.
He mea weliweli loa nā nāwaliwali o ka SSRF no ka mea hāʻawi lākou i nā mea hoʻouka i ke komo ʻana i nā ʻōnaehana kūloko ʻaʻole pono e hōʻike ʻia i ka lehulehu. Inā ua hoʻokō ʻo Microsoft i ka hōʻoia hoʻokomo koʻikoʻi a me nā kapu noi i waho, ua hiki iā lākou ke ālai i nā hoʻāʻo a nā mea hoʻouka e hoʻohana i kēia nāwaliwali. Hōʻike kēia uhaki i ke koʻikoʻi o ka kaohi ʻana i nā noi kikowaena i nā kumuwaiwai kūloko koʻikoʻi a me ka hōʻoia ʻana e hiki i nā kumu hilinaʻi a hōʻoia ʻia ke launa pū me lākou.
No ke aha he mea nui i kēia lā? Ua hoʻonui nā hoʻolālā ao-native a me nā API kūloko i ka hopena o nā nāwaliwali SSRF, ka mea a nā mea hoʻouka e hoʻohana ai e komo i nā lawelawe kūloko koʻikoʻi a me nā ʻōnaehana metadata.
No ke aha he mea nui ka OWASP Top 10
ka Nā nāwaliwali 10 kiʻekiʻe o OWASP he mea koʻikoʻi ia no nā hui e manaʻo ana e palekana i kā lākou mau noi mai nā hoʻoweliweli maʻamau a weliweli hoʻi. ʻAʻole kēia mau pilikia he kumumanaʻo; hōʻike lākou i nā pilikia o ke ao maoli e hiki ke alakaʻi i ka uhaki ʻikepili, ka pohō kālā, a me ka hōʻino ʻana i ka inoa. Ma ka hoʻoponopono mua ʻana i kēia mau nāwaliwali, hiki i nā hui ke hōʻemi nui i ka pilikia o nā hoʻouka kaua holomua a hōʻoia i ka kūpaʻa o kā lākou mau ʻōnaehana i nā hoʻoweliweli e ulu nei.
Eia kekahi, ʻo ka hoʻokō ʻana i nā hoʻoponopono i ʻōlelo ʻia ma ka papa inoa o nā nāwaliwali OWASP Top 10 e kōkua i nā hui e lawe i kahi ala hoʻolālā i ka palekana. No ka laʻana, ʻo ka hoʻoikaika ʻana i ka mana komo, ka hoʻopaʻa ʻana i nā hana hoʻopāʻālua, a me ka hoʻēmi ʻana i nā pilikia kaulahao lako e pāʻani i nā kuleana koʻikoʻi i ka hoʻoponopono ʻana i kēia mau nāwaliwali. ʻO ka hopena, hōʻemi nā hui i ka ʻili hoʻouka, e paʻakikī ai i nā mea hoʻouka ke hoʻohana i nā nāwaliwali i loko o ka ʻōnaehana.
I ka ulu ʻana o nā hoʻoweliweli pūnaewele, he mea nui i nā hui e noho ma mua o nā nāwaliwali hiki. Ma ka hana mua ʻana, hōʻoia nā hui i ka palekana lōʻihi no kā lākou mau noi a mālama i ka hilinaʻi o kā lākou mea hoʻohana.
Ma waho aʻe o nā nāwaliwali OWASP Top 10 kuʻuna, ke kū nei nā hui i nā pūʻolo open source ʻino, nā hoʻouka kaua huikau hilinaʻi, nā hoʻolaha typosquatting, nā code i hana ʻia e AI palekana ʻole. CI/CD pipeline ʻae ʻole ʻia, ka hōʻike ʻana i nā mea huna, a me nā polokalamu ʻino i loko o ke kaulahao hoʻolako polokalamu.
Hoʻohui nui nā polokalamu AppSec hou i ke alakaʻi OWASP me software supply chain security, ka palekana AI, a me ka nānā ʻana i ka pilikia runtime e hoʻoponopono i nā ʻili hoʻouka e ulu nei.
Pehea e kākoʻo ai ʻo Xygeni iā OWASP a me nā hana OWASP SAMM
E hai ana i ka Nā nāwaliwali 10 kiʻekiʻe o OWASP he mea nui ia no ka hoʻomaikaʻi ʻana i nā polokalamu pūnaewele. Eia naʻe, ʻaʻole i pau ka palekana ʻana i kāu noi ma laila. Ke Kumu Hoʻohālike Hoʻopaʻa Polokalamu OWASP (SAMM) hāʻawi i kahi ʻōnaehana no ka loiloi ʻana a me ka hoʻomaikaʻi ʻana i kou oʻo palekana ma ke ola holoʻokoʻa o ka hoʻomohala polokalamu (SDLC). Ma ka hoʻohuiʻana nā pono hana palekana piha a Xygeni, ʻaʻole hiki i nā hui ke hōʻemi wale i ka Nā nāwaliwali palekana 10 kiʻekiʻe o OWASP akā e hoʻonui pū i ko lākou oʻo palekana holoʻokoʻa, e like me ka mea i hōʻike ʻia e OWASP SAMM.
Hoʻoikaika i ka palekana noi me Xygeni
Hoʻoikaika ʻo Xygeni i nā hui e hoʻoponopono i ka papa inoa o nā nāwaliwali 10 kiʻekiʻe o OWASP ʻoiai e hoʻolalelale ana i ka hoʻohana ʻana o OWASP SAMM, e kōkua ana i nā hui e hoʻomaikaʻi mau i ka oʻo ʻana o ka palekana polokalamu. Ma ka hoʻokele pono ʻana i nā kaohi palekana, e hiki ai ke hoʻonohonoho mua ʻia ma muli o ka pilikia, a me ka hoʻoikaika ʻana i ka hoʻokele hanana, kōkua ʻo Xygeni i nā hui e kūkulu i nā polokalamu palekana a paʻa, e hōʻemi pono ana i ka pilikia o ka uhaki ʻana i ka palekana.
Ma o ka nānā ʻana i ka manawa maoli, ka ʻike ʻana i ka nāwaliwali hana ponoʻī, a me ka hoʻokō ʻana i nā kulekele ma waena o nā SDLC, Hoʻomaʻalahi ʻo Xygeni i nā hana palekana a me ka hoʻokō ʻana, e kūlike ana me nā hana maikaʻi loa a OWASP SAMM. Hiki i kēia i nā hui ke hoʻonui mālie i ko lākou oʻo palekana, me kahi palapala alanui maopopo no ka hoʻomaikaʻi mau ʻana.
E hana i kēia manawa e palekana i kāu mau polokalamu
ka Nā nāwaliwali 10 kiʻekiʻe o OWASP e hōʻike i nā pilikia palekana koʻikoʻi loa e kū nei i nā noi hou. Ma ka hahai ʻana i ka Nā alakaʻi OWASP a me ka hoʻokō ʻana i nā hana maikaʻi loa i hōʻike ʻia ma ʻaneʻi, hiki iā ʻoe e hoʻopaʻa i kāu hui mai kēia mau hoʻoweliweli a kūkulu i nā polokalamu e kū i nā hoʻouka kaua paʻakikī.
E hoʻoikaika i ka palekana o kāu noi a Software Supply Chain Security.
Pono nā polokalamu hou i nā mea hou aʻe ma mua o ka nānā ʻana i nā nāwaliwali maʻamau. ʻO Xygeni kōkua i nā hui e ʻike, hoʻonohonoho i ka mea nui, a hoʻoponopono i nā pilikia OWASP Top 10 ma waena o ke code kumu, nā hilinaʻi open source, CI/CD pipelines, ke kahua ao, a me nā kahe hana hoʻomohala i kōkua ʻia e AI.
E ʻike pehea e kōkua ai ʻo Xygeni i nā hui AppSec a me DevSecOps e hōʻemi i ka pilikia ma o ke au hou. SDLC!
