Բաց կոդով էկոհամակարգը ժամանակակից ծրագրային ապահովման մշակման անկյունաքարն է, որը խթանում է նորարարությունն ու համագործակցությունը: Այնուամենայնիվ, դրա բացությունն այն դարձնում է խոցելի տարբեր կիբեռսպառնալիքների նկատմամբ: Comparitech-ի զեկույցը2023 թվականին նույնականացվել է վնասակար ծրագրերի և պոտենցիալ անցանկալի հավելվածների (PUA) ավելի քան 100 միլիոն շտամ, ինչը ցույց է տալիս, որ վնասակար ծրագրերի հետ կապված հարձակումները շարունակում են լուրջ կիբեռսպառնալիք լինել։
Բաց կոդով փաթեթներում նոր վնասակար ծրագրերի ընտանիքներ
Վնասակար ծրագրի տեղադրում-խափանում
Ինչպես են նրանք աշխատում. Այս տեսակի վնասակար ծրագիրը խանգարում է բաց կոդով փաթեթների տեղադրման գործընթացին: Այն փաթեթի տեղադրման ընթացքում ներարկում է վնասակար կոդ, որը կարող է գործարկվել փաթեթի օգտագործման ժամանակ:
Շահագործված խոցելիություններ՝ Տեղադրում-Խախտում վնասակար ծրագիրը շահագործում է օգտատերերի վստահությունը բաց կոդով պահոցներում տեղակայումը և փաթեթների տեղադրման գործընթացում խիստ անվտանգության ստուգումների բացակայությունը։
Պաշտպանության ռազմավարություններ. Տեղադրման կեղծման վնասակար ծրագրերից պաշտպանվելու համար կարևոր է օգտագործել ստուգված և ստորագրված փաթեթներ, միացնել երկփուլանի նույնականացումը պահոցային հաշիվների համար և պարբերաբար անցկացնել կախվածությունների անվտանգության աուդիտներ:
Install-Tamper վնասակար կոդի օրինակ՝ npm փաթեթ «colors» (2022)
Նկարագրություն:
«Colors» փաթեթը հայտնի npm գրադարան է, որն օգտագործվում է կոնսոլի գրանցամատյաններում գունային էֆեկտներ ավելացնելու համար: Այն լայնորեն օգտագործվում է տարբեր Node.js ծրագրերում:
Ինչպես է այն գործել
2022 թվականի սկզբին թողարկվեց դրա մի տարբերակ «Գույներ» փաթեթ չարամիտ կերպով փոփոխվել է՝ իր հիմնական ֆայլում անվերջ ցիկլի սկրիպտ ներառելու համար։ Այս փոփոխությունը կատարվել է հենց նախագծի պահպանողի կողմից, ով, ենթադրաբար, դա արել է որպես բողոքի նշան բաց կոդով նախագծերի կորպորատիվ օգտագործման դեմ՝ առանց համապատասխան աջակցության կամ նվիրատվությունների։
Ազդեցություն:
Այս փոփոխությունը հանգեցրեց «գույների» վնասված տարբերակը օգտագործող ցանկացած ծրագրի խափանմանը, ինչը հանգեցրեց լայնածավալ խափանումների բազմաթիվ բիզնեսների և ծրագրային համակարգերի շրջանում, որոնք կախված էին այդ փաթեթից իրենց գործունեության համար։
Քաղված դասերը:
Այս միջադեպը ընդգծում է բաց կոդով փաթեթների կառավարման վստահության վրա հիմնված մոդելին բնորոշ խոցելիությունները։ Այն ընդգծում է պահպանողների կողմից էթիկական կանոնների պահպանման անհրաժեշտությունը։ standardև օգտատերերի համար՝ իրենց մշակման միջավայրերում երրորդ կողմի կախվածությունների մանրակրկիտ վերանայումներ և փորձարկումներ անցկացնելու համար: «Գույների» դեպքը նաև ընդգծում է բաց կոդով ծրագրավորողներին աջակցելու կարևորությունը՝ գերհոգնածությունը և անբարոյական փոխհատուցումները կանխելու համար:
Առաջին օգտագործման հետևի դուռ
Ինչպես են նրանք աշխատում. Այս հետին դուռը ակտիվանում է, երբ բաց կոդով փաթեթը ներմուծվում և առաջին անգամ օգտագործվում է։ Այն կարող է համակարգային տեղեկատվություն ուղարկել հեռակա սերվերի կամ ներբեռնել լրացուցիչ օգտակար բեռներ։
Շահագործված խոցելիություններ՝ Առաջին օգտագործման հետևի դռները (Backdoors) օգտվում են փաթեթի առաջին օգտագործման ժամանակ չստուգված կոդի կատարումից՝ հաճախ շրջանցելով ստատիկ վերլուծության գործիքները։
Պաշտպանության ռազմավարություններ. Նոր ներմուծված փաթեթների կոդի վերանայումն ու մոնիթորինգը, ինչպես նաև դինամիկ վերլուծության գործիքների օգտագործումը՝ անսովոր վարքագիծը հայտնաբերելու համար, կարևորագույն գործոններ են «First-Use Backdoors»-ից պաշտպանվելու համար։
Առաջին օգտագործման հետևի դռան օրինակ. Webmin Backdoor միջադեպ (2019)
Նկարագրություն:
Webmin-ը Unix-ի համար համակարգի կառավարման համար նախատեսված հայտնի վեբ-հիմնված ինտերֆեյս է: 2019 թվականին, պարզվել է, որ ծրագիրը վնասվել է backdoor որը առկա էր կոդում հայտնաբերումից մեկ տարուց ավելի։
Ինչպես է այն գործել
Հետևի դուռը գաղտնի կերպով ներդրվել էր Webmin GitHub պահոց՝ վարակված կառուցման սերվերի միջոցով: Վնասակար կոդը ակտիվ էր միայն այն դեպքում, եթե ադմինիստրատորը փոխում էր գաղտնաբառը Webmin ինտերֆեյսի միջոցով: Ակտիվանալուց հետո այն թույլ էր տալիս հեռակա հրամանների կատարում root արտոնություններով:
Ազդեցություն:
Հետին դուռը մատակարարվել է Webmin-ի 1.882-ից մինչև 1.921 տարբերակներով, հնարավոր է՝ ազդելով ավելի քան երեք միլիոն կայքերի և սերվերների վրա։ Հետին դուռը բացում էր համակարգերը հեռակա հարձակվողների համար, ովքեր կարող էին լիակատար վերահսկողություն ստանալ սերվերի նկատմամբ, ինչը հանգեցնում էր տվյալների գողության, սերվերի առևանգման և ցանցի հետագա վարակման։
Քաղված դասերը:
Այս միջադեպը ընդգծում է այն կարևոր խոցելիությունը, որը կարող է առաջանալ, երբ կառուցման գործընթացները վտանգված են։ Այն ընդգծում է կառուցման սերվերների անվտանգության և ծրագրային ապահովման մշակման կյանքի ցիկլի կանոնավոր անվտանգության աուդիտների անցկացման կարևորությունը։ Webmin-ի դեպքը նաև ցույց է տալիս ծրագրային թարմացումների մանրակրկիտ ստուգման անհրաժեշտությունը, նույնիսկ երբ դրանք գալիս են վստահելի աղբյուրներից։
Գործողության ժամանակի խախտման որդ
Ինչպես են նրանք աշխատում. Այս որդը գտնվում է անգործուն վիճակում բաց կոդով փաթեթում և ակտիվանում է աշխատանքի ընթացքում՝ հնարավոր է տարածվելով այլ փաթեթների և համակարգերի վրա։
Շահագործված խոցելիություններ՝ Գործարկման ժամանակի խախտման որդերը շահագործում են բաց կոդով նախագծերի փոխկապակցված բնույթը, որտեղ մեկ խախտված փաթեթը կարող է ազդել մյուսների վրա:
Պաշտպանության ռազմավարություններ. Գործողության ժամանակ վարքագծի խիստ մոնիթորինգի և անոմալիաների հայտնաբերման համակարգերի ներդրումը կարող է օգնել բացահայտել և մեղմել նման սպառնալիքները։
Գործողության ժամանակի խախտում P2PInfect-ի օրինակ. The Rusty Peer-to-Peer ինքնավերարտադրվող որդ
Նկարագրություն:
P2PInfect peer-to-peer (P2P) որդ է, որը հայտնաբերվել է Unit 42 ամպային հետազոտողների կողմից։
Գրված լինելով Rust-ով, որը բարձր մասշտաբայնությամբ և ամպային օգտագործման համար հարմար ծրագրավորման լեզու է, այս որդը կարող է վարակվել տարբեր հարթակներում և թիրախավորում է Redis-ը՝ ամպային միջավայրերում լայնորեն օգտագործվող հայտնի բաց կոդով տվյալների բազայի ծրագիր։
Ինչպես է այն աշխատում:
Սկզբնական շահագործում.
- P2PInfect-ը շահագործում է Lua sandbox escape խոցելիությունը՝ CVE-2022-0543-ը, Redis-ի խոցելի օրինակներում։
- Խոցելիությունը թույլ է տալիս որդին կատարել կամայական կոդ Lua սկրիպտային միջավայրում։
Բեռնվածության առաքում.
- Սկզբնական մուտքի հաստատումից հետո P2PInfect-ը թողնում է սկզբնական բեռ, որը հաստատում է P2P կապ ավելի մեծ ցանցի հետ։
- Այնուհետև որդը հեռացնում է լրացուցիչ վնասակար երկուական ֆայլեր, այդ թվում՝ օպերացիոն համակարգին հատուկ սկրիպտներ և սկանավորման ծրագրեր։
Բազմացում:
- Վարակված Redis օրինակը միանում է P2P ցանցին՝ ապահովելով այլ օգտակար բեռների հասանելիություն ապագա վարակված Redis օրինակների համար։
- P2PInfect-ը թիրախավորում է և՛ Linux, և՛ Windows օպերացիոն համակարգերը, ինչը այն դարձնում է ավելի մասշտաբային և հզոր, քան մյուս որդերը։
հարված:
Վերջին երկու շաբաթների ընթացքում 42-րդ ստորաբաժանման հետազոտողները բացահայտել են ավելի քան 307,000 եզակի Redis համակարգեր, որոնք հրապարակայնորեն շփվել են միմյանց հետ, որոնցից 934-ը կարող են խոցելի լինել այս P2P որդերի տարբերակի նկատմամբ։
P2PInfect-ը ծառայում է որպես լուրջ հարձակման օրինակ, որը կարող են իրականացնել գործող անձինք՝ օգտագործելով այս խոցելիությունը։
Քաղված դասերը:
Մշակողները պետք է վերանայեն և ստուգեն իրենց փաթեթները, թարմացնեն կախվածությունները և զգույշ լինեն փաթեթների անունների և աղբյուրների հարցում։
Զգոնությունը և շարունակական մոնիթորինգը կարևոր են մատակարարման շղթայի նման հարձակումները կանխելու համար։
Կախվածության շղթայի հարձակում
Ինչպես են նրանք աշխատում. Հարձակվողները վտանգում են կախվածության շղթայի մեկ փաթեթ, որն այնուհետև ազդում է դրան կախված մնացած բոլոր փաթեթների վրա։
Շահագործված խոցելիություններ՝ Այս հարձակումը շահագործում է փաթեթների կախվածությունների նկատմամբ վստահությունը և մեկ կոտրված փաթեթի կասկադային էֆեկտը։
Պաշտպանության ռազմավարություններ. Բաց կոդով բաղադրիչները և դրանց կախվածությունները հետևելու և կառավարելու համար ծրագրային կազմի վերլուծության գործիքի օգտագործումը կարող է պաշտպանել կախվածության շղթայի հարձակումներից։
Կախվածության շղթայի հարձակման npm փաթեթի «event-stream» օրինակ (2018). մատակարարման շղթայի փոխզիջում
Նկարագրություն:
2018 թվականին հայտնի npm փաթեթը, որը կոչվում էր «Միջոցառումների հոսք» վտանգված էր.
Հարձակումը ներառում էր կախվածության շղթայի մանիպուլյացիա, որը ազդել էր անտեղյակ օգտատերերի վրա։
Ինչպես է այն գործել
Սկզբնական փոխզիջում.
- Հարձակվողը ստանձնեց ավելի քիչ օգտագործվող կախվածություն, որը կոչվում է «flatmap-stream»։
- Նրանք վնասակար կոդ են ներարկել «flatmap-stream»-ի մեջ։
Տարածում:
- Կոտրված «flatmap-stream»-ը ներառվել է որպես կախվածություն լայնորեն օգտագործվող «event-stream» փաթեթում։
- Շատ նախագծեր անգիտակցաբար տեղադրել են վնասված «event-stream» փաթեթը։
Ազդեցություն:
Հարձակվողը հասանելիություն է ստացել անտեղյակ օգտատերերի զգայուն տեղեկատվությանը։
Միջադեպը ընդգծեց կախվածությունների միջոցով մատակարարման շղթայի հարձակումների ռիսկերը։
Քաղված դասերը:
Մշակողները պետք է վերանայեն և ստուգեն իրենց փաթեթները, թարմացնեն կախվածությունները և զգույշ լինեն փաթեթների անունների և աղբյուրների հարցում։
Զգոնությունը և շարունակական մոնիթորինգը կարևոր են մատակարարման շղթայի նման հարձակումները կանխելու համար։
Պաշտպանեք ձեր բաց կոդով նախագծերը Xygeni-ի միջոցով
Ինչպես քննարկվեց, բաց կոդով էկոհամակարգը երկկողմանի սուր է. չնայած այն խթանում է նորարարությունը, այն նաև ձեր ծրագրակազմը ենթարկում է զգալի ռիսկերի, ինչպիսիք են՝ տեղադրել կեղծարարություն վնասակար ծրագրեր, առաջին օգտագործման հետին դռներ և կախվածության շղթայի հարձակումներ: Այս սպառնալիքների հետևանքները լուրջ են, և ձեր ծրագրային ապահովման մատակարարման շղթայի պաշտպանությունը կարևորագույն նշանակություն ունի:
Քսիգենի առաջարկում է հզոր լուծումներ, որոնք նախատեսված են ձեր բաց կոդով նախագծերը այս զարգացող սպառնալիքներից պաշտպանելու համար: Մեր գործիքները ապահովում են, որ ձեր կախվածությունները մնան անվտանգ՝ պահպանելով ձեր ծրագրային ապահովման կայունությունը և մշակման գործընթացը սահուն:
Ավելի խելացի դարձրուcisիոններ՝ համապարփակ փաթեթավորման վերլուծությամբ
Հաշվի առնելով բաց կոդով փաթեթների բարդությունը, տեղեկացված ընտրություն կատարելը կարևորագույն նշանակություն ունի։ Xygeni's Փաթեթի ամբողջական վերլուծություն հնարավորություն է տալիս արագ գնահատել բաց կոդով բաղադրիչների անվտանգությունը: Մեր հարթակի միջոցով դուք կարող եք վստահորեն ընտրել անվտանգ և հուսալի փաթեթներ՝ խուսափելով անապահով կախվածությունների ռիսկերից: Խելացի դիզայն դարձնելով՝cisնախապես իոններով, դուք կառուցում եք ավելի ամուր և անվտանգ հավելվածներ, որոնք կդիմանան ժամանակի փորձությանը։
Պաշտպանվեք կանխարգելիչ միջոցներով՝ իրական ժամանակում վնասակար ծրագրերի հայտնաբերմամբ
Ձեր համակարգ ներթափանցելուց հետո սպառնալիքներին արձագանքելը բավարար չէ: Ահա թե ինչու Xygeni-ն առաջարկում է Իրական ժամանակում վնասակար ծրագրերի հայտնաբերում որսալու համար զրոյական օրվա վնասակար ծրագրերի նման սպառնալիքները դրանց ի հայտ գալու պահին։ Մեր համակարգը անմիջապես արգելափակում է վնասակար կոդը՝ կանխելով դրա ներթափանցումը ձեր մշակման միջավայր։ Արագ գործելով՝ դուք ապահովում եք, որ ձեր նախագծերը անվտանգ մնան հենց սկզբից։
Ապահովեք ձեր մատակարարման շղթան շարունակական մոնիթորինգի միջոցով
Ծրագրային ապահովման մշակման արագ զարգացող աշխարհում փոփոխությունները տեղի են ունենում անընդհատ։ Xygeni-ի Մատակարարման շղթայի շարունակական մոնիթորինգ զգոնորեն հետևում է յուրաքանչյուր թարմացմանը: Մեր նախաձեռնողական պաշտպանությունը հայտնաբերում և արգելափակում է ձեր կախվածություններում կասկածելի փոփոխությունները, կանխելով վարակված փաթեթների մուտքը ձեր նախագծեր: Xygeni-ի միջոցով դուք պահպանում եք անվտանգ և հուսալի մատակարարման շղթա՝ պաշտպանելով ձեր ծրագրակազմը հնարավոր սպառնալիքներից:
Վերահսկեք ձեր անվտանգությունը Xygeni-ի միջոցով
Ինչպես տեսաք, բաց կոդով ծրագրային ապահովման ռիսկերը իրական են և աճում են: Xygeni-ի անվտանգության լուծումները ձեզ գործիքներ են տալիս այդ ռիսկերը արդյունավետ կառավարելու համար: Կենտրոնանալով վաղ հայտնաբերման, փաթեթների համապարփակ վերլուծության և շարունակական մոնիթորինգի վրա՝ դուք կարող եք պաշտպանել ձեր ծրագրային ապահովումը ի հայտ եկող սպառնալիքներից: Մի թողեք ձեր բաց կոդով նախագծերը խոցելի. բարելավեք ձեր անվտանգության ռազմավարությունը այսօր Xygeni-ի միջոցով և ձեռք բերեք հոգեկան հանգստություն՝ իմանալով, որ ձեր ծրագրային ապահովումն ու տվյալները անվտանգ են:
Պատրա՞ստ եք պաշտպանել ձեր բաց կոդով նախագծերը։ Թույլ տվեք Xygeni-ին օգնել ձեզ մնալ սպառնալիքներից առաջ և ստեղծել դիմացկուն ծրագրակազմ, որը կարող է հաղթահարել ցանկացած հետևանք։
Դիտեք մեր տեսանյութ-ցուցադրությունը
