Hauv kev tsim kho software, kev ua txhaum cai tsawg dua yog hais txog firewalls thiab ntau dua yog hais txog qhov tsis zoo hauv cov ntaub ntawm cov codebases thiab pipelines. Yog li, kev ua txhaum cai ntawm cov ntaub ntawv los ntawm qhov kev xav ntawm tus tsim tawm? Nws yog kev nthuav tawm lossis kev nyiag cov ntaub ntawv rhiab heev tsis yog los ntawm qhov tsis zoo ntawm cov khoom siv xwb tab sis los ntawm cov kab laum, kev teeb tsa tsis raug, thiab kev coj ua tsis zoo hauv cov lej, CI/CD pipelines, thiab kev sib koom ua ke. Cia peb tshawb nrhiav seb qhov twg hauv qab no yog cov ua rau muaj kev ua txhaum cai thiab tshawb nrhiav seb qhov twg hauv qab no yog cov ua rau muaj kev ua txhaum cai.
Kev Ua Txhaum Cai Ntaub Ntawv Yog Dab Tsi? Kev Txhais Lus Uas Tsom Mus Rau Tus Tsim Khoom
Cov lus txhais ib txwm muaj tsom mus rau cov khoom siv uas raug puas tsuaj. Txawm li cas los xij, rau cov neeg tsim khoom, qhov kev ua txhaum cai ntawm cov ntaub ntawv txhais tau tias yog kev ua tsis tiav hauv kev ruaj ntseg ntawm daim ntawv thov, kev ua haujlwm tsis raug teeb tsa, lossis kev coj ua tsis zoo uas ua rau pom cov ntaub ntawv rhiab heev. Piv txwv li? Cov ntaub ntawv pov thawj hardcoded yog commitmus rau Git repository los yog ib qho CI/CD txoj haujlwm nrog cov cai nkag mus dav dhau.
In CI/CD-kev loj hlob uas tsav los ntawm, pipelines thiab code yog qhov chaw tawm tsam tshiab. Qhov no ua rau nws tseem ceeb heev rau kev hloov mus rau sab laug, kho pipeline code (xws li Kev ua GitHub lossis GitLab CI configurations) ua ib feem ntawm daim ntawv thov thiab ua kom nws ruaj khov raws li qhov tsim nyog. Hauv cov ntsiab lus ua tau zoo, cov neeg tsim khoom yuav tsum nkag siab txog qhov kev ua txhaum cai ntawm cov ntaub ntawv hauv cov ntsiab lus ntawm txhua qhov commit, workflow, thiab kev vam khom ntawm cov neeg thib peb.
Cov hauv qab no yog cov ua rau muaj kev ua txhaum cai hauv cov chaw niaj hnub Dev
- Cov Kev Tsis Ruaj Ntseg Hauv CI/CD Pipelines. Cov cuab yeej CI xws li Jenkins, GitHub Actions, lossis GitLab CI feem ntau siv cov qauv tso cai. Ib txoj haujlwm ua haujlwm nrog kev tso cai sau dav dav (piv txwv li, kev tso cai: sau-tag nrho) tuaj yeem raug nyiag yog tias PR phem raug pom zoo. Qhov no yog ib qho piv txwv ntawm cov hauv qab no uas yog cov ua rau muaj kev ua txhaum cai.
- Cov Lus Zais Qhia Hauv Cov Chaw Khaws Khoom. Cov lus zais xws li AWS cov ntaub ntawv pov thawj, cov passwords database, lossis API tokens feem ntau pom muaj nyob rau hauv YAML, Dockerfiles, lossis cov lej qhov chaw. Cov no tuaj yeem raug xau thaum cov chaw khaws ntaub ntawv raug tshaj tawm rau pej xeem lossis raug luam theej los ntawm cov neeg tawm tsam. Hauv Uber qhov kev ua txhaum cai xyoo 2022, cov ntaub ntawv pov thawj hardcoded ua rau muaj kev cuam tshuam loj heev.
- Kev Tsis Sib Haum Xeeb ntawm Kev Sib Txuas Lus thiab Cov Pob Khoom Phem. Cov apps niaj hnub nim no vam khom cov tsev qiv ntawv sab nraud ntau heev. Kev ntaus ntawv tsis raug, cov pob khoom tsis tau saib xyuas, thiab cov lej phem zais rau hauv cov kev vam khom ua rau qhov no yog ib qho ntawm cov laj thawj tsis pom tseeb tab sis loj heev uas ua rau muaj kev ua txhaum cai. SBOM (Software Bill of Materials) thiab kev tshuaj xyuas tas mus li yog qhov tseem ceeb rau kev tiv thaiv cov xwm txheej ua txhaum cai ntawm cov ntaub ntawv.
- Teeb tsa IAM thiab Kev Tswj Xyuas Kev Nkag Mus Tsis Zoo. Cov luag haujlwm IAM uas tso cai dhau heev hauv cov lej (piv txwv li, tso cai s3:*) tuaj yeem tso cai rau cov neeg tawm tsam txav mus rau sab hauv cov chaw khaws ntaub ntawv huab. Cov kev tswj hwm kev nkag mus uas muab tso rau hauv cov lej (cov hloov pauv ib puag ncig, cov cim) feem ntau tsis muaj kev tshuaj xyuas zoo thiab kev lees paub tsis siv neeg.
- Cov Tokens Rov Siv Dua thiab Kev Nkag Mus Rau Pej Xeem CI. Cov cim tsis muaj hnub tas sij hawm lossis CI dashboards nkag tau yam tsis muaj kev tso cai sawv cev rau cov kab ke ua txhaum cai zais cia tab sis muaj feem cuam tshuam. Kev tso cov cav tsim kho lossis CI tokens hauv cov URL pej xeem yog qhov sib npaug niaj hnub no ntawm kev tso cov yuam sij rau hauv qhov rooj. Qhov no kuj yog ib qho ntawm cov lus teb tseem ceeb rau qhov twg ntawm cov hauv qab no yog cov ua rau muaj kev ua txhaum cai.
CI/CD: Qhov Chaw Tshiab Uas Muaj Kev Tawg
CI/CD pipelines tam sim no yog ib qho kev tawm tsam uas nquag ua. Cov neeg ua phem siv cov haujlwm tsis raug teeb tsa, cov ntaub ntawv YAML uas tso cai, cov PR txhaj tshuaj, thiab cov scopes nkag mus uas tau txais los uas yeej tsis tau tshuaj xyuas. Cov no pipelines ua tiav nrog cov cai tswj hwm qib automation uas, yog tias muaj kev cuam tshuam, tuaj yeem xa tawm malware, xau cov ntaub ntawv pov thawj, lossis nthuav tawm cov khoom muaj nqis. Qhov kev hloov pauv no hauv kev tawm tsam txhais tau tias cov neeg tsim khoom yuav tsum rov ntsuam xyuas dua qhov kev ua txhaum cai ntawm cov ntaub ntawv hauv CI/CD era.
Dhau li ntawm qhov chaw teeb tsa ua ntej, qhov teeb meem tseem ceeb yog cov ciam teb ntawm kev ntseeg siab: pipelines feem ntau koom ua ke cov lej sab nraud, xws li cov pob khoom qhib lossis cov ntawv sau sab nraud. Yog tias kev lees paub tsis muaj zog lossis ploj lawm, qhov no qhib lub qhov rooj rau kev tawm tsam ntawm cov khoom siv softwarePiv txwv li, kev txhim kho qhov kev vam khom phem thaum lub sijhawm tsim kho tuaj yeem ua rau cov neeg tawm tsam nkag mus rau cov ntaub ntawv pov thawj lossis cov khoom siv tsim khoom.
Tsis tas li ntawd, pipelines tsis tshua raug tshuaj xyuas zoo li daim ntawv thov code. Cov cav yuav muaj cov lus zais. Cov khoom cuav yuav raug khaws cia yam tsis muaj kev zais cia. Cov hloov pauv ib puag ncig nrog kev tso cai siab yuav nyob thoob plaws cov haujlwm. Txawm tias tsis muaj kev faib tawm ntawm lub sijhawm khiav, qhov twg txoj haujlwm raug cuam tshuam tuaj yeem nkag mus rau lwm txoj haujlwm qhov chaw ua haujlwm, tuaj yeem ua rau muaj kev txav mus los sab hauv pipeline.
Yuav tsum ua li cas thiaj li tiv thaiv tau kev ua txhaum cai ntawm cov ntaub ntawv pipeline security kev sim, kev siv txoj cai tsis siv neeg, thiab kev txwv cov haujlwm. Cov neeg tsim khoom yuav tsum kho CI/CD cov lus txhais ua cov lej uas yuav tsum tau dhau los ntawm kev tshuaj xyuas, kev luam theej duab, thiab kev tso cai hardening.
Thaum kawg, kev kho mob pipelineyog cov pej xeem zoo tshaj plaws hauv kev tsim kho software thiab kev ruaj ntseg rau lawv zoo li daim ntawv thov nws tus kheej yog qhov tseem ceeb heev. Nws tsis yog hais txog yam koj tsim xwb, nws yog hais txog koj tsim nws li cas.
Cov Tswv Yim Dev-First los Tiv Thaiv Kev Ua Txhaum Cai ntawm Cov Ntaub Ntawv
Yuav kom nkag siab txog yuav ua li cas tiv thaiv cov ntaub ntawv ua txhaum cai los ntawm tus tsim tawm lub zeem muag, nws yog ib qho tseem ceeb kom txav mus dhau qhov kev kho kom rov ua dua thiab siv cov kev tswj hwm kev ruaj ntseg ncaj qha rau hauv cov txheej txheem kev tsim kho. Kev ruaj ntseg Dev-ua ntej txhais tau tias kev koom ua ke cov kev coj ua tiv thaiv qhov twg cov neeg tsim khoom ua haujlwm: hauv code, hauv CI pipelines, thiab nyob rau hauv cov txheej txheem tswj kev vam khom.
Pib los ntawm kev muab kev lees paub kev tso cai tso rau hauv koj qhov kev teeb tsa CI. Siv kev ua haujlwm tsis siv neeg los luam theej cov lus txhais ntawm cov haujlwm rau cov chaw teeb tsa uas tso cai ntau dhau thiab tiv thaiv kev sib koom ua ke tshwj tsis yog txhua kauj ruam ua raws li txoj cai ntawm qhov tsawg tshaj plaws txoj caiQhov kev ua ntej no ncaj qha hais txog yuav ua li cas tiv thaiv kev ua txhaum cai ntawm cov ntaub ntawv los ntawm kev ua kom cov txheej txheem ua haujlwm ruaj khov.
Kev tswj hwm zais cia yog lwm qhov chaw uas cov neeg tsim khoom yuav tsum tswj hwm. Tsis txhob khaws cov ntaub ntawv pov thawj lossis cov cim hauv cov lej qhov chaw. Siv cov cuab yeej nrhiav zais cia hauv pre-commit hooks thiab CI kev kuaj xyuas kom ntes tau qhov yuam kev ua ntej lawv mus rau qhov chaw khaws ntaub ntawv. Ua ke nrog cov kev daws teeb meem zais cia xws li AWS Secrets Manager lossis HashiCorp Vault thiab koom ua ke kev hloov pauv zais cia rau hauv koj cov txheej txheem xa tawm.
Cov ntawv sau sab hauv, txawm tias bash, Python, lossis node.js, yuav tsum raug suav hais tias yog cov khoom muaj nqis tseem ceeb. Tshuaj xyuas lawv rau kev ua haujlwm pheej hmoo xws li kev txhaj tshuaj plhaub, kev tuav cov ntaub ntawv tsis raug, lossis kev siv cov hloov pauv ib puag ncig tsis muaj kev nyab xeeb. Siv cov cuab yeej tshuaj xyuas static thiab ua kom muaj kev tshuaj xyuas cov phooj ywg rau txhua qhov kev ua haujlwm lossis cov ntawv xa tawm.
Cov cai tswjfwm kev nkag mus yuav tsum tau sau ua kev tsim kho vaj tse raws li cov lej (IaC) cov cuab yeej, tsis yog siv tes hauv cov huab consoles. Qhov no ua rau muaj kev tswj hwm version, kev tshuaj xyuas, thiab kev lees paub tsis siv neeg. Cov cuab yeej zoo li AWS IAM Access Analyzer lossis Open Policy Agent tuaj yeem pab lees paub cov kev tso cai no ntawm qib code ua ntej xa tawm. Qhov no yog lwm qhov piv txwv ntawm yuav ua li cas tiv thaiv kev ua txhaum cai ntawm cov ntaub ntawv los ntawm kev txheeb xyuas code-first IAM.
Thaum kawg, kev pom tseeb rau hauv software dependency yog qhov tseem ceeb. tsim SBOMs tau txais ua ib feem ntawm koj txoj kev tsim kho thiab taug qab lawv tas li. Qhov no tso cai rau kev txheeb xyuas sai ntawm cov pob khoom tsis tau saib xyuas lossis cov pob khoom phem. Txhim kho qhov tsis muaj zog scanning nrog cov cuab yeej uas cim cov cwj pwm txawv txawv xws li kev hu xov tooj hauv network lossis cov lej zais hauv cov tsev qiv ntawv sab nraud.
Los ntawm kev tsim cov kev coj ua no rau hauv cov txheej txheem ua haujlwm txhua hnub ntawm cov neeg tsim khoom, koj tsis yog tsuas yog teb cov lus nug txog yuav ua li cas tiv thaiv kev ua txhaum cai ntawm cov ntaub ntawv, tab sis koj kuj txo qhov kev sib txhuam thiab txhawb kom muaj kev nyab xeeb ntawm kev sau code. Kev ruaj ntseg dhau los ua qhov kev nthuav dav ntawm kev txhim kho, tsis yog kev thaiv kev. Tag nrho cov kev coj ua no ncaj qha txo cov laj thawj ntawm kev ua txhaum cai.
Kev Ua Txhaum Cai Hauv Lub Ntiaj Teb Tiag Los Ntawm Pipelines thiab Code
- Uber 2022Cov neeg tawm tsam tau nkag mus rau Uber cov txheej txheem sab hauv tom qab pom cov ntaub ntawv pov thawj AWS uas tau raug tshaj tawm hauv GitHub repository ntiag tug. Thaum lawv nkag mus rau hauv, lawv tau tsiv mus rau sab nraud ntawm cov kev pabcuam siv cov tokens nkag mus siv dua thiab cov luag haujlwm IAM uas tsis muaj kev txwv. Cov ntaub ntawv no qhia tau tias ib qho yuam kev hauv kev tshaj tawm cov lej tuaj yeem nce mus rau qhov kev puas tsuaj tag nrho thiab yog ib qho piv txwv meej ntawm qhov kev ua txhaum cai ntawm cov ntaub ntawv los ntawm kev saib xyuas kev txhim kho.
- EquifaxIb qho ntawm cov kev ua txhaum loj tshaj plaws hauv keeb kwm, Equifax raug kev txom nyem vim nws tsis tau kho qhov tsis zoo hauv Apache Struts. Thaum CVE yog pej xeem, lawv CI/CD pipeline tsis muaj kev tshuaj xyuas tsis siv neeg thiab cov txheej txheem tswj kev kho, ua rau muaj ntau lub hlis ntawm kev raug cuam tshuam tsis tau kho. Cov neeg tawm tsam tau siv qhov no los nkag mus rau cov ntaub ntawv rhiab heev ntawm ntau lab tus, qhia tias qhov twg ntawm cov hauv qab no yog cov laj thawj feem ntau ntawm kev ua txhaum cai hauv cov lej qub. pipelines.
- Codecov 2021Ib tug neeg ua phem tau hloov kho Codecov's Bash uploader script, uas tau siv dav hauv CI pipelines. Los ntawm kev txhaj cov lej rau hauv tsab ntawv sau, lawv tau rho tawm cov hloov pauv ib puag ncig (uas feem ntau suav nrog cov cim thiab cov ntaub ntawv pov thawj) los ntawm ntau txhiab tus neeg siv khoom ib puag ncig. Qhov kev ua txhaum cai no qhia txog kev pheej hmoo ntawm kev rub cov ntawv sau los ntawm cov chaw sab nraud yam tsis muaj kev txheeb xyuas kev ncaj ncees thiab muab kev nkag siab txog yuav ua li cas tiv thaiv kev ua txhaum cai ntawm cov ntaub ntawv los ntawm kev lees paub qhov kev vam khom sab nraud.
- Cov Khoom Siv Hluav Taws Xob: Qhov kev tawm tsam txog kev muab khoom tsis zoo tau tsom mus rau CI/CD lub kaw lus ntawm SolarWinds. Cov neeg tawm tsam tau ntxig malware rau hauv cov khoom siv tsim kho ntawm Orion software, uas tom qab ntawd tau muab faib rau cov neeg siv khoom ua cov hloov tshiab ntseeg siab. Qhov kev ua txhaum cai tau qhia txog cov teeb meem tob nrog kev ua tiav ntawm kev tsim kho thiab tsis muaj kev saib xyuas tus cwj pwm thaum lub sijhawm tsim khoom siv, lwm qhov piv txwv zoo ntawm qhov kev ua txhaum cai ntawm cov ntaub ntawv los ntawm sab hauv pipeline nws tus kheej.
- Kev Siv Tsis Zoo ntawm GitHub ActionsMuaj ntau qhov xwm txheej tau qhia tias cov neeg tawm tsam siv GitHub Actions workflows uas tso cai ntau dhau li cas. Piv txwv li, cov neeg tawm tsam tau xa PRs nrog cov lej phem uas ua tiav nrog kev tso cai siab vim yog qhov tsis zoo ntawm kev ntsuas hauv tso cai: cov teb. Cov rooj plaub no qhia txog qhov tseem ceeb ntawm kev cais txoj haujlwm thiab kev lees paub cov txheej txheem ua haujlwm thiab qhia tau tias qhov twg ntawm cov hauv qab no yog cov laj thawj feem ntau ntawm kev ua txhaum cai ntsig txog CI kev ruaj ntseg tsis raug.
Txhua qhov piv txwv hauv ntiaj teb no qhia tau tias qhov twg ntawm cov hauv qab no yog cov ua rau muaj kev ua txhaum cai, los ntawm cov lus zais hauv cov lej thiab cov qhov tsis muaj zog uas tsis tau kho rau pipeline siv tsis raug thiab kev tswj hwm kev vam khom. Lawv kuj ua kom pom tseeb tias yuav tsum siv cov kev tswj hwm zoo li ib feem ntawm txoj kev tiv thaiv kev ua txhaum cai ntawm cov ntaub ntawv.
Xygeni Pab Tiv Thaiv Kev Ua Txhaum Cai Los Ntawm Cov Neeg Tsim Khoom Li Cas
Xygeni muab lub sijhawm tiag tiag pipeline security los ntawm kev koom ua ke ncaj qha rau hauv GitHub Actions, GitLab CI, thiab Jenkins. Nws luam theej YAML rau qhov tsis ruaj ntseg, txheeb xyuas cov kev tso cai, thiab ntes cov lus zais ua ntej lawv ntaus koj qhov chaw taws teeb. Nws cov cuab yeej IAM validation tshuaj xyuas kev siv kev tso cai los ntawm hauv lub codebase, tsis yog hauv huab console xwb.
Rau kev vam khom, Xygeni muab kev txuas ntxiv mus SBOM taug qab thiab cim cov pob khoom phem lossis tsis muaj zog ua ntej lawv ua rau nws tsim tawm. Nws saib xyuas kev siv token, ceeb toom txog kev siv dua, thiab qhia txog kev raug rau pej xeem hauv CI/CD cov cheeb tsam.
Hauv ntej, Xygeni ua rau tus tsim tawm ua ntej txoj hauv kev los tiv thaiv kev hem thawj ntawm kev ua txhaum cai ntawm cov ntaub ntawv los ntawm kev ntes cov teeb meem thaum ntxov thiab kho lawv qhov chaw pib, hauv cov lej. Nws qhov kev ua haujlwm tsis siv neeg yog tsim los tawm tsam cov laj thawj tseem ceeb ntawm kev ua txhaum cai los ntawm kev ntes cov teeb meem tsis ruaj ntseg thiab cov kev pheej hmoo zais cia.
Cov lej ruaj ntseg, Ruaj ntseg Pipelines, Tiv Thaiv Kev Ua Txhaum Cai
Yuav kom nkag siab tiag tiag txog kev ua txhaum cai ntawm cov ntaub ntawv, cov neeg tsim khoom yuav tsum saib dhau ntawm cov firewalls thiab tsom mus rau cov code, pipelines, thiab cov txheej nkag mus. Los ntawm kev nkag siab tias qhov twg ntawm cov hauv qab no yog cov ua rau muaj kev ua txhaum cai, cov pab pawg tuaj yeem hloov kev ruaj ntseg mus rau sab laug thiab tsim kev ywj pheej ncaj qha rau hauv lawv cov txheej txheem ua haujlwm.
Txawm yog los ntawm kev ua kom huv si zoo dua, kev kuaj xyuas kev tso cai tsis siv neeg, lossis kev luam theej zais cia, txoj hauv kev los tiv thaiv cov xwm txheej ua txhaum cai ntawm cov ntaub ntawv pib hauv tus tsim tawm IDE thiab CI. pipelineCov cuab yeej zoo li Xygeni ua qhov no siv tau thiab ua tau zoo, tig mus pipelinelos ntawm cov chaw tsis muaj zog mus rau hauv cov chaw ruaj khov. Thaum ua li ntawd, lawv pab tshem tawm cov laj thawj feem ntau ntawm kev ua txhaum cai hauv cov khoom siv software niaj hnub no.
