Kev Tawm Ntawm Qhov Zais Cia Yog Dab Tsi?
Kev xau zais cia, tseem hu ua "leak secrets” lossis “kev nthuav tawm zais cia,” yog kev tshaj tawm cov ntaub ntawv zais cia tsis raug cai, xws li API keys, passwords, thiab daim ntawv pov thawj ntiag tug. Nws tuaj yeem tshwm sim los ntawm ntau txoj hauv kev, suav nrog kev ua yuam kev ntawm tib neeg, cov txheej txheem teeb tsa tsis raug, thiab kev tawm tsam phem.
Lub tswv yim ntawm kev xau zais cia tau pib thaum ntxov ntawm kev siv cryptography thaum cov kws tshawb fawb pib kawm txog seb cov ntaub ntawv rhiab heev yuav raug nthuav tawm yam tsis tau xav txog lossis txhob txwm ua. Txawm li cas los xij, lo lus "kev xau zais cia" tsis tau siv dav txog thaum kawg ntawm xyoo pua 20th, thaum nws pib siv los piav qhia txog kev pheej hmoo kev ruaj ntseg uas cuam tshuam nrog kev siv cov ntaub ntawv digital thiab kev sib txuas lus thev naus laus zis ntau ntxiv.
Qhov kev tawm tsam thawj zaug paub tau tshwm sim hauv xyoo 1982 thaum ib pawg neeg hackers tau nyiag cov yuam sij encryption uas siv los tiv thaiv cov ntaub ntawv zais cia ntawm tsoomfwv Meskas. Qhov kev tawm tsam no, Qhov kev tawm tsam no, hu ua VENONA, ua rau muaj kev hloov kho loj ntawm tsoomfwv cov cai thiab cov txheej txheem kev ruaj ntseg, thiab nws kuj tau pab txhawb kev paub txog qhov tseem ceeb ntawm kev tiv thaiv cov ntaub ntawv rhiab heev.
Kev nthuav dav ntawm cov kev pabcuam huab, kev koom ua ke tas mus li, thiab kev xa khoom (CI/CD) kev coj ua, thiab kev nthuav dav ntawm cov lej qhib tau ua rau muaj feem ntau rau cov lus zais kom raug hardcoded rau hauv cov chaw khaws ntaub ntawv pej xeem. Tam sim no cia peb pib nrog cov laj thawj ib txwm ua rau muaj kev xau lus zais. Nyeem ntxiv!
Ua rau muaj kev tawm tsam zais cia
Muaj ntau yam ua rau muaj kev phom sij leak secret kev tawm tsam, suav nrog:
- Tib neeg yuam kev: Qhov yuam kev ntawm tib neeg yog qhov ua rau muaj kev xau zais cia feem ntau. Piv txwv li, tus tsim tawm yuav ua yuam kev commit cov ntaub ntawv zais cia rau lub chaw khaws cia cov lej pej xeem.
- Cov txheej txheem tsis teeb tsa zoo: Cov txheej txheem uas tsis tau teeb tsa zoo yuav ua rau cov neeg siv tsis tau tso cai pom cov lus zais, xws li API keys thiab passwords. Piv txwv li, lub web server uas tsis tau teeb tsa zoo yuav ua rau cov neeg tawm tsam pom cov ntsiab lus ntawm nws cov ntaub ntawv teeb tsa, uas tej zaum yuav muaj cov lus zais.
- Kev tawm tsam phem: Cov neeg ua phem kuj tseem siv tau ntau txoj hauv kev los nyiag cov lus zais, xws li kev tawm tsam kev sib raug zoo hauv zej zog, kev tawm tsam phishing, thiab kev tawm tsam malware. Piv txwv li, tus neeg tawm tsam tuaj yeem xa email rau tus neeg ua haujlwm uas ua txuj ua tus sawv cev rau IT thiab dag tus neeg ua haujlwm kom qhia lawv cov ntaub ntawv pov thawj. Qhov tseeb, 83% ntawm cov ntaub ntawv ua txhaum cai hauv xyoo 2022 muaj feem cuam tshuam nrog cov neeg ua haujlwm sab hauv hais txog Verizon kev tshawb fawb.
- Cov cai thiab cov txheej txheem kev ruaj ntseg tsis muaj zog: Tej lub koom haum yuav tsis muaj cov cai thiab cov txheej txheem kev ruaj ntseg zoo los tiv thaiv cov lus zais. Piv txwv li, ib lub koom haum yuav tsis xav kom cov neeg ua haujlwm siv cov passwords muaj zog lossis kom muaj kev lees paub ntau yam. Piv txwv li, 81% ntawm cov kev ua txhaum cai uas tau lees paub yog vim muaj cov password tsis muaj zog, siv dua, lossis raug nyiag hauv xyoo 2022, tom qab LastPass ceeb toom.
- Tsis saib xyuas: Tej lub koom haum yuav tsis quav ntsej txog kev tiv thaiv lawv cov kab ke thiab cov ntaub ntawv kom zoo, ua rau cov neeg tawm tsam yooj yim nyiag cov lus zais. Piv txwv li, ib lub koom haum yuav tsis tau teeb tsa cov kho kom ruaj ntseg lossis hloov kho nws cov kab ke.
- Tsis muaj kev paub: Cov neeg ua haujlwm yuav tsis paub txog qhov txaus ntshai ntawm kev nthuav tawm cov lus zais, lossis lawv yuav tsis paub yuav ua li cas tiv thaiv lawv kom raug. Piv txwv li, 90% ntawm kev tawm tsam hauv cyber yog siv cov tswv yim kev tsim kho hauv zej zog.
Kev cuam tshuam ntawm kev tawm tsam zais cia
Kev tawm tsam zais cia tuaj yeem muaj kev cuam tshuam loj heev thiab dav rau cov koom haum. Cov koom haum uas raug kev tawm tsam zais cia yuav ntsib cov txiaj ntsig tsis zoo hauv qab no:
- Kev puas tsuaj ntawm cov cuab yeej tsim kho software thiab cov khoom siv hauv paus: Cov neeg tawm tsam tuaj yeem cuam tshuam cov cuab yeej tsim kho software thiab cov khoom siv, xws li cov chaw khaws cia cov lej qhov chaw, cov txheej txheem tsim kho, thiab CI/CD pipelines, kom muab cov lej phem tso rau hauv cov khoom software yam tsis raug ntes. Cov lej no tuaj yeem xa mus rau cov neeg siv khoom lub cev, muab rau cov neeg tawm tsam lub qhov rooj nkag mus rau hauv lawv cov tes hauj lwm.
- Lom Pipeline: Cov neeg tawm tsam tuaj yeem cuam tshuam cov khoom siv software ntawm tus muag khoom kom lom cov khoom lag luam ntawm lub koom haum nrog cov lej phem. Cov lej no tuaj yeem raug teeb tsa los ntawm cov neeg siv khoom ntawm tus muag khoom yam tsis paub, ua rau cov neeg tawm tsam nkag mus rau lawv cov kab ke.
- Cov ntaub ntawv ua txhaum cai: Kev tawm tsam zais cia tuaj yeem ua rau cov ntaub ntawv tseem ceeb raug tshaj tawm, xws li cov ntaub ntawv ntawm cov neeg siv khoom, cov ntaub ntawv nyiaj txiag, thiab cov cuab yeej cuab tam ntawm kev txawj ntse. Cov ntaub ntawv no tuaj yeem raug nyiag thiab siv rau kev dag ntxias, lossis nws tuaj yeem tshaj tawm rau pej xeem, ua rau lub koom haum lub koob npe puas tsuaj.
- Kev cuam tshuam ntawm kev ua haujlwm: Cov neeg tawm tsam tuaj yeem nkag mus rau hauv cov txheej txheem tseem ceeb, xws li cov servers tsim khoom lossis cov ntaub ntawv khaws cia, kom cuam tshuam lossis kaw cov haujlwm. Qhov no tuaj yeem ua rau muaj kev poob nyiaj txiag loj heev thiab ua rau lub koob npe puas tsuaj.
- Kev nyiag khoom ntiag tug thiab kev siv cov ntaub ntawv tsis raug cai: Cov neeg tawm tsam tuaj yeem nyiag cov lus zais, xws li cov lej qhov chaw lossis cov lus zais ua lag luam, los tsim cov khoom sib tw lossis nyiag lub tuam txhab qhov kom zoo dua. Qhov kev ua txhaum cai no tuaj yeem muaj kev cuam tshuam loj heev yog tias tus neeg tawm tsam ua tiav nyiag cov ntaub ntawv rhiab heev, xws li cov cim nkag lossis cov yuam sij API, los ntawm SCMNrog cov ntaub ntawv pov thawj raug nyiag no, cov neeg tawm tsam tuaj yeem nkag mus rau hauv cov txheej txheem tsim khoom tsis raug cai, uas ua rau muaj teeb meem kev ruaj ntseg loj dua. Lawv tuaj yeem nkag mus rau cov ntaub ntawv ntiag tug, tswj hwm kev ua haujlwm ntawm lub kaw lus, lossis rho tawm cov ntaub ntawv zais cia, ua rau muaj kev phom sij tsis yog rau kev ua haujlwm ntawm lub kaw lus xwb tab sis kuj rau kev ceev ntiag tug thiab kev ntseeg siab ntawm cov neeg siv.
- Kev poob nyiaj txiagKev ua txhaum cai ntawm cov ntaub ntawv, suav nrog cov uas los ntawm kev tawm tsam zais cia, tuaj yeem ua rau muaj kev poob nyiaj txiag loj rau cov koom haum. Tus nqi ntawm kev teb rau kev tawm tsam zais cia suav nrog kev tshawb nrhiav qhov xwm txheej, kho qhov tsis muaj zog, thiab ceeb toom rau cov tib neeg cuam tshuam. Cov koom haum kuj tseem yuav raug nplua thiab lwm yam kev nplua los ntawm cov neeg tswj hwm yog tias lawv tsis tiv thaiv lawv cov lus zais kom zoo. Piv txwv li, raws li txoj cai GDPR hauv EU, cov koom haum tuaj yeem raug nplua txog li 20 lab euros lossis 4% ntawm lawv cov nyiaj tau los thoob ntiaj teb, qhov twg siab dua, rau kev ua txhaum loj tshaj plaws. Hauv Tebchaws Meskas, ntau txoj cai tswjfwm ntiag tug ntawm tsoomfwv thiab xeev tsim cov kev daws teeb meem kev tswj hwm lossis kev nplua rau pej xeem rau kev tsis ua raws li qhov tuaj yeem txij li $ 100 txog $ 50,000 rau ib qho kev ua txhaum, nrog rau tag nrho $ 25,000 txog $ 1.5 lab rau txhua qhov kev ua txhaum ntawm ib qho yuav tsum tau ua hauv ib xyoos.
- Reputational puas: Kev tawm tsam zais cia tuaj yeem ua rau lub koom haum lub koob npe puas tsuaj. Cov neeg siv khoom thiab cov tub ua lag luam yuav poob kev ntseeg siab rau lub koom haum lub peev xwm los tiv thaiv lawv cov ntaub ntawv thiab kev ceev ntiag tug. Qhov no tuaj yeem ua rau poob kev lag luam thiab ua rau kev nrhiav cov neeg siv khoom tshiab thiab cov tub ua lag luam nyuaj dua.
- Kev tshuaj xyuas kev cai lij choj: Yog tias tsis tiv thaiv qhov tsis muaj zog, suav nrog kev pheej hmoo ntawm kev tawm tsam zais cia, tuaj yeem nyiam cov neeg tswj hwm uas yuav tshawb xyuas qhov xwm txheej thiab nplua thiab lwm yam kev rau txim rau lub koom haum. Qhov no tuaj yeem ua rau muaj kev nce nqi thiab kev ua raws li txoj cai. Piv txwv li, Pawg Neeg Saib Xyuas Kev Ruaj Ntseg thiab Kev Sib pauv (SEC) nyuam qhuav tshawb xyuas SolarWinds cyberattack thiab foob SolarWinds Corporation nrog kev dag ntxias thiab kev tswj hwm sab hauv uas cuam tshuam nrog kev pheej hmoo thiab qhov tsis muaj zog ntawm kev ruaj ntseg hauv cyber.
Piv txwv ntawm lub ntiaj teb tiag tiag Leak Secrets Tawm tsam
Kev ua txhaum cai ntawm cov ntaub ntawv los ntawm cov ntaub ntawv pov thawj raug nyiag yog hom kev ua txhaum cai ntawm cov ntaub ntawv feem ntau, thiab qhov no tau muaj txij li xyoo 2021, raws li Daim Ntawv Qhia Txog Kev Ua Txhaum Cai Txog Cov Ntaub Ntawv ntawm IBM Xyoo 2022Kev tawm tsam zais cia kuj tseem tuaj yeem muaj kev cuam tshuam loj heev rau cov koom haum, nrog rau tus nqi nruab nrab thoob ntiaj teb ntawm kev ua txhaum cai ntawm cov ntaub ntawv ncav cuag $ 4.35 lab hauv xyoo 2022, txog Verizon's 2022 Data Breach Investigations Report (DBIR):
Nov yog cov ntsiab lus luv luv ntawm qee qhov kev tawm tsam zais cia uas tau kaw cia rau xyoo tas los no:
- Nyob rau lub Ib Hlis 2023, GitHub tau tshaj tawm tias muaj kev ua txhaum cai ntawm cov ntaub ntawv qhov twg cov neeg tawm tsam tau ua tiav nyiag cov ntawv pov thawj kos npe rau ntau lub versions ntawm GitHub Desktop thiab Atom. Kev tshawb nrhiav tau qhia tias tus neeg ua txhaum cai tau nkag mus rau hauv GitHub sab hauv system, ua rau lawv tuaj yeem clone cov chaw khaws cia tshwj xeeb thiab tau txais cov ntawv pov thawj kos npe tsis raug cai. Qhov xwm txheej no qhia txog qhov tseem ceeb ntawm cov txheej txheem kev ruaj ntseg zoo rau kev tiv thaiv cov ntawv pov thawj kos npe thiab hais txog qhov tsim nyog rau cov neeg tsim khoom kom ua raws li cov kev coj ua zoo tshaj plaws hauv kev ruaj ntseg zais cia kom txo qhov kev pheej hmoo ntawm cov xwm txheej zoo sib xws yav tom ntej.
- Hauv lub Peb Hlis 2023, GitHub ntsib kev tawm tsam loj heev ntawm cov khoom xa tuajIb qho kev tshaj tawm yuam kev rau pej xeem commit tau tshaj tawm tus yuam sij SSH ntiag tug rau GitHub cov kev pabcuam. Qhov xwm txheej no tau muab lub sijhawm rau tus neeg tawm tsam ua raws li GitHub, ua rau muaj kev dag ntxias loj heev thiab ua rau muaj kev pheej hmoo loj heev. Txawm li cas los xij, GitHub tau daws qhov teeb meem sai sai thiab hloov lawv tus yuam sij ua kev ceev faj.
Yuav Ua Li Cas Tiv Thaiv Leak Secret Tawm tsam
Muaj ntau yam kauj ruam uas cov koom haum tuaj yeem ua tau tiv thaiv cov kev tawm tsam ntawd, Xws li:
- Qhia cov neeg ua haujlwm txog kev pheej hmoo ntawm kev xau zais cia thiab yuav ua li cas tiv thaiv cov lus zais ciaCov neeg ua haujlwm yuav tsum paub txog ntau hom kev tawm tsam zais cia thiab yuav ua li cas txheeb xyuas thiab zam lawv. Lawv kuj yuav tsum tau kawm txog kev khaws cia thiab tswj cov lus zais kom zoo.
- Siv cov kev tswj hwm kev ruaj ntseg zoo. Cov koom haum yuav tsum siv cov kev tswj hwm kev ruaj ntseg zoo, xws li firewalls, intrusion detection systems, thiab access control listings, los tiv thaiv lawv cov systems thiab cov ntaub ntawv los ntawm kev nkag tsis tau tso cai. Lawv kuj yuav tsum siv cov cuab yeej tswj kev zais cia los khaws thiab tswj cov lus zais kom ruaj ntseg.
- Siv cov cuab yeej scanning los nrhiav cov lus zais ua ntej commitxa lawv mus rau hauv cov ntaub ntawv los yog xa lawv mus rau hauv CI/CD pipelines los yog IaC kev teeb tsa. Qhov no muab cov neeg tsim khoom thiab DevOps nrog cov lus tawm tswv yim tam sim ntawd, tiv thaiv cov lus zais kom tsis txhob nkag mus rau keeb kwm version lossis cov khoom siv tsim khoom.
- Saib xyuas cov kab ke thiab cov tes hauj lwm rau cov haujlwm txawv txawv. Cov koom haum yuav tsum luam theej lawv cov kab ke thiab cov tes hauj lwm rau cov haujlwm txawv txawv uas tuaj yeem qhia tau tias muaj kev tawm tsam zais cia.
- Muaj ib txoj kev npaj rau kev teb rau cov kev tawm tsam zais cia. Yog tias pom muaj kev tawm tsam zais cia, cov koom haum yuav tsum muaj ib txoj kev npaj los teb sai thiab zoo. Txoj kev npaj no yuav tsum suav nrog cov kauj ruam rau kev tswj hwm kev puas tsuaj, txo qhov cuam tshuam, thiab tshawb xyuas qhov xwm txheej.
Xygeni Pab Tiv Thaiv Kev Xa Khoom Zais Cia Li Cas
Xygeni Secrets Security yog ib qho kev daws teeb meem dav dav uas mus dhau qhov tsuas yog tiv thaiv cov lus zais kom ntseeg tau tias muaj kev sib txuas ntxiv, kev ruaj ntseg, thiab kev ua haujlwm ntawm Cov Khoom Siv Software niaj hnub no. Nws tsis yog tsuas yog ib qho cuab yeej nrhiav pom xwb, tab sis yog ib qho commitkev txhawb nqa rau txoj cai xoom-hardcoded-secrets, ua tiav los ntawm ntau yam ntxwv zoo tshaj plaws uas ua kom muaj kev nyab xeeb rau lub neej kev tsim kho software.
Cov txiaj ntsig tseem ceeb thiab nta Xygeni Secrets Security
Xygeni Secrets Security muaj ntau yam txiaj ntsig tseem ceeb thiab nta, suav nrog:
- Kev kuaj pom thiab tiv thaiv lub sijhawm tiag tiagXygeni sib koom ua ke nrog Git hooks los luam theej thiab nrhiav cov lus zais ua ntej lawv commitxa mus rau cov chaw khaws ntaub ntawv. Qhov no muab cov neeg tsim khoom nrog cov lus taw qhia tam sim ntawd thiab tiv thaiv cov lus zais kom tsis txhob nkag mus rau hauv keeb kwm version.
- Kev tshuaj xyuas kom ntxaws: Xygeni lub peev xwm luam theej duab nthuav dav tshaj qhov kev sib phim qauv ib txwm muaj los lees paub thiab lees paub ntau hom ntawv zais cia, tsis hais hom lus, tsev qiv ntawv, lossis platform.
- Kev lees paub ntse: Xygeni txoj kev txheeb xyuas qhov tseeb ntse txo qhov tsis zoo, kom ntseeg tau tias cov neeg tsim khoom tsuas yog tau txais cov ntawv ceeb toom rau qhov tsis muaj zog uas tau txheeb xyuas lawm.
- Kev paub txog tus tsim tawm tsis muaj teeb meem: Xygeni txoj kev daws teeb meem uas tsis cuam tshuam rau kev tsim kho kom zoo dua qub nrog WebUI uas muab cov kev nkag siab uas ua tau thiab ua rau cov neeg tsim kho kawm thiab siv cov kev coj ua zoo tshaj plaws ntawm kev ruaj ntseg hauv lub sijhawm tiag tiag.
- Kev siv txoj cai thiab kev saib xyuas tas mus li: Xygeni txoj kev tiv thaiv tsim tso cai rau cov koom haum los siv cov cai kev ruaj ntseg nruj thoob plaws lub voj voog kev txhim kho thiab kom paub sai sai thiab daws txhua qhov kev hloov pauv.
Los ntawm kev daws cov hauv paus ntawm kev xau zais cia thiab muab kev daws teeb meem uas suav nrog kev ruaj ntseg rau hauv cov txheej txheem tsim kho, Xygeni pab cov koom haum tiv thaiv lawv cov lus zais los ntawm kev nkag tsis tau tso cai.
Nov yog qee qhov piv txwv tshwj xeeb ntawm seb Xygeni tuaj yeem pab cov koom haum tiv thaiv kev xau zais cia li cas:
- tsim tawm commits cov yuam sij API rau lub chaw khaws cia cov lej pej xeem: Xygeni's Git hook kev koom ua ke ntes cov yuam sij API ua ntej lawv committed thiab nres lub commit, tiv thaiv kev nthuav tawm ntawm cov lus zais.
- Tus neeg tawm tsam siv qhov tsis muaj zog kom nkag mus rau cov ntaub ntawv teeb tsa: Xygeni qhov kev tshuaj xyuas tag nrho nrhiav pom cov ntaub ntawv rhiab heev hauv cov ntaub ntawv teeb tsa thiab ceeb toom rau lub koom haum, ua rau nws kho qhov tsis muaj zog thiab tiv thaiv tus neeg tawm tsam kom tsis txhob nyiag cov ntaub ntawv yog tias muaj kev siv tsis raug.
Xygeni txoj kev nrhiav kom paub qhov zais cia yog ib qho cuab yeej tseem ceeb rau txhua lub koom haum uas xav tiv thaiv nws cov lus zais kom tsis txhob raug nkag mus yam tsis tau tso cai. Los ntawm kev siv Xygeni, cov koom haum tuaj yeem txo lawv txoj kev pheej hmoo ntawm kev raug tawm tsam zais cia thiab tiv thaiv lawv cov ntaub ntawv kom tsis txhob raug tub sab.
Yog koj xav paub ntxiv txog Leak Secret Kev tawm tsam thiab yuav ua li cas tiv thaiv lawv, thov kom muaj kev sib ntsib nrog peb pab neeg thiab lawv yuav daws tag nrho koj tej kev tsis ntseeg.
