Բաց կոդով վնասակար ծրագրեր. Ամեն ինչ, ինչ դուք պետք է իմանաք

1. Բաց կոդով վնասակար ծրագրերի ներածություն

Ի՞նչ է բաց կոդով վնասակար ծրագիրը։

Բաց կոդով վնասակար ծրագրեր բաց կոդով ծրագրային ապահովման (OSS) փաթեթների ներսում թաքնված վնասակար կոդ է, որը նախատեսված է ձեր ծրագրերը և ենթակառուցվածքը ներթափանցելու համար: Այն արագ տարածվում է, քանի որ OSS-ը հենվում է համայնքի կողմից ղեկավարվող համագործակցության և վստահության վրա: Նույն վստահությունը կարող է չարաշահվել, հատկապես, երբ անվտանգության վերահսկողությունը թույլ է: Ահա թե ինչու բաց կոդով վնասակար ծրագրերից պաշտպանություն այլևս ընտրովի չէ՝ այն էական է։ Հուսալի բաց կոդով վնասակար ծրագրերի սկաներ օգնում է վաղ հայտնաբերել թաքնված սպառնալիքները՝ պահպանելով ձեր CI/CD pipelines, IaC ձևանմուշներ և անվտանգ արտադրական համակարգեր։

Վերջին տվյալները հաստատում են սա։ 2024 թվականին Sonatype-ի հետազոտողները պարզել են, որ ավելի քան 778,000 վնասակար OSS փաթեթներ, ինչը նախորդ տարվա համեմատ հսկայական՝ 156% աճ է։ Միևնույն ժամանակ, «Աստղագուշակ Գոբլին» արշավը օգտագործեց հազարավոր կեղծ GitHub հաշիվներ՝ վնասակար ծրագրերը օրինական բաց կոդով նախագծերի նման ներկայացնելու համար: Եվ ամենաանհանգստացնող դեպքերից մեկում XZ Utils-ի հետևի դուռը ցույց տվեց, թե ինչպես նույնիսկ Linux-ի հայտնի գործիքները կարող են զենքի վերածվել՝ հարձակվողներին հեռակա մուտք ապահովելու համար։

Մատակարարման շղթայի ռիսկերից զատ, հարձակվողներն այժմ թիրախավորում են շինարարությունը pipelineև ենթակառուցվածքների կոնֆիգուրացիաներ։ Նրանք ներդնում են վնասակար հրամաններ CI/CD և IaC, որոնք սպասում են ձեր համակարգերը առևանգելուն այն պահին, երբ դուք տեղակայեք դրանք։

Ահա թե ինչու ժամանակակից AppSec թիմերը պետք է տեղաշարժվեն ձախ, ավտոմատացնեն սպառնալիքների հայտնաբերումը և անընդհատ վերահսկեն ամեն ինչ։ Առաջ մնալու միակ միջոցը ձեր ամբողջ բաց կոդով էկոհամակարգը ծածկող լիարժեք սպեկտրի պաշտպանությունն է։

Ավելին կարդացեք խնդրի մասին մեր մանրամասն բլոգում Open Source Վնասակար փաթեթներ.

Բաց կոդով ծրագրերի և վնասակար ծրագրերի դեմ պաշտպանության կարևորությունն ու աճը

Բաց կոդով ծրագրային ապահովումը իսկապես դարձել է ժամանակակից ծրագրային ապահովման մշակման անկյունաքարը՝ փոխելով տեխնոլոգիաների նախագծման և ոլորտների ձևավորման եղանակը բոլոր հնարավոր ոլորտներում: Հետևաբար, այս էքսպոնենցիալ աճը և կիրառումը բնականաբար հնարավորություն են ստեղծում նոր ի հայտ եկող սպառնալիքների դեմ ամուր անվտանգության միջոցառումների համար: Այդ նպատակով, եկեք քննարկենք դրա կարևորության և աճի մի քանի հիմնական ասպեկտներ.

Ընդունման ավելացում.

• Կազմակերպությունների ավելի քան երեք քառորդը անցյալ տարվա ընթացքում ավելացրել է բաց կոդով ծրագրային ապահովման օգտագործումը։
• DevOps գործիքակազմի, տվյալների տեխնոլոգիաների և արհեստական ​​բանականության/մեքենայական ուսուցման գործիքակազմի ժողովրդականությունը... նպաստել է այս աճին.

Տարբեր տեխնոլոգիաներ.

• OSS-ի ներդրումը այլևս չի կենտրոնանում որոշակի տեխնոլոգիաների վրա, ինչպիսիք են ծրագրավորման լեզուները կամ Linux օպերացիոն համակարգերը։
• Կազմակերպություններն այժմ օգտագործում են բաց կոդով տվյալների բազաներ, տվյալների տեխնոլոգիաներ, օպերացիոն համակարգեր, Git պահոցներ, արհեստական ​​բանականության/մեքենայական ուսուցման շրջանակներ և այլն։ CI/CD գործիքավորում։

Հմտությունների պահանջարկը՝

• Բաց կոդով հմտությունները մեծ պահանջարկ ունեն։
• Տաղանդների պակասը շարունակում է խոչընդոտ հանդիսանալ բաց ծրագրային ապահովման (OSS) ավելի լայն կիրառման համար։

մարտահրավերներ:

• Թեև OSS-ի աճը դրական է, մարտահրավերները շարունակում են մնալ։
• Խնդիրները ներառում են կարգավորում, տեղադրում, փոխգործունակություն և թարմացումներ։
• Կազմակերպությունները նույնպես սահմանափակումների առջև են կանգնած ներքին հմտություններ՝ թեստավորման, ինտեգրման և աջակցության համար.

2. Բաց կոդով վնասակար ծրագրերի գրավչությունը կիբեռհանցագործների համար

Բաց կոդով ծրագրային ապահովումը (ԲԿԾ) երկկողմանի սուր է։ Չնայած այն խթանում է նորարարությունն ու համագործակցությունը, դրա բաց բնույթը նաև գրավում է կիբեռհանցագործներին (փորձեք ներդնել բաց կոդով վնասակար ծրագրերի սկաներ)։ Ահա, թե ինչու է ԲԿԾ-ն հատկապես գրավիչ նրանց համար.

Մուտքի և բաշխման հեշտություն

• Բաց հասանելիությունOSS-ի սկզբնական կոդը հանրությանը հասանելի է, ինչը հեշտացնում է կիբեռհանցագործների համար այն ստուգելը, փոփոխելը և վերօգտագործելը վնասակար գործողությունների համար: Մասնավորապես, սա նրանց հնարավորություն է տվել առանց մեծ դժվարության ավելացնել վնասակար ծրագրեր լայնորեն օգտագործվող նախագծերում:
• Լայն տարածում: Բացի այդOSS նախագծում ներարկվելուց հետո վնասակար կոդը կարող է շատ կարճ ժամանակահատվածում լայն տարածում գտնել npm, PyPI և Maven Central նման փաթեթների պահոցների ժողովրդականության շնորհիվ։  Արդյունքում, այս լայն տարածումը մեծացնում է վնասակար ծրագրի հնարավոր ազդեցությունը։

Վստահության շահագործում

• Վստահության վրա հիմնված էկոհամակարգOSS էկոհամակարգը գործում է բարձր վստահության հիման վրա։ Համագործակցողներն ու սպասարկողները հաճախ աշխատում են համագործակցաբար՝ սեփականատիրական ծրագրային ապահովման համեմատ ավելի քիչ խիստ անվտանգության ստուգումներով։ Cybercriminals շահագործել այս վստահությունը՝ վնասակար կոդ ներմուծելով կամ պահպանողների հաշիվները վտանգելով՝ վնասակար ծրագրեր ներարկելու համար. 
• Մատակարարման շղթայի հարձակումներ: Այս համատեքստում, ներքևի հոսանքի կիրառությունների և ծառայությունների մեծ մասը կլինի հետեւաբար տուժել մատակարարման շղթայի դեմ հարձակումներից, որոնք բոլորն էլ կախված են այդ OSS բաղադրիչից։ Օրինակ, իրադարձության հոսքի միջադեպում հայտնիորեն օգտագործվել է այս տեխնիկան, որտեղ հայտնի npm փաթեթը վնասվել է կրիպտոարժույթի գողության համար։

Ցածր մուտքի խոչընդոտներ

• Նվազագույն ստուգում: Դեռ ավելին, շատ քիչ փաթեթների պահոցներ են ստուգում իրենց մասնակիցներին։ Արդյունքում, սպառնալիքի գործակալները հեշտությամբ վերբեռնում են վնասակար փաթեթներ, քանի որ Մուտքի արգելքը ցածր է, միանգամյա օգտագործման էլեկտրոնային փոստը և այլ կեղծ մուտքագրերը օգտագործվում են լայնածավալ հարձակումներ իրականացնելու համար։
• Ավտոմատացման գործիքներ:  Նմանապես, կիբերհանցագործները օգտագործում են ավտոմատացված գործիքներ՝ մեծ թվով վնասակար փաթեթներ ստեղծելու և դրանք տարածելու համար, ինչը հետագայում նվազեցնում է հարձակում իրականացնելու համար անհրաժեշտ ջանքերը։, նրանք կարող են ստեղծել վնասակար ծրագրերի բազմաթիվ տարբերակներ՝ հայտնաբերումից խուսափելու համար։

Բարձր ազդեցության ներուժ

• Լայն կիրառություն: Հաշվի առնելով սա, շատ OSS նախագծեր ծառայում են որպես մեծ թվով կարևորագույն ծրագրերի և ծառայությունների հիմնական բաղադրիչներ։ Հետևաբար,, նման լայնորեն տարածված OSS-ի փոխզիջումը կարող է հանգեցնել ալիքային կամ կասկադային էֆեկտի՝ ազդելով աշխարհի բազմաթիվ կազմակերպությունների և օգտատերերի վրա։
• Ուշացած հայտնաբերում: Ի լրումնOSS-ի ներսում գտնվող վնասակար կոդը կարող է չհայտնաբերվել շատ երկար ժամանակ, հատկապես եթե այն մշուշոտված է կամ ակտիվացված է որոշակի պայմաններում։ Հետեւաբար, այս ուշացումը հարձակվողներին ժամանակ է տալիս օգտագործելու խոցելիությունները՝ նախքան դրանց հայտնաբերումը և թարմացումը։

3. Բաց կոդով վնասակար ծրագրերի տարածված տեսակները

Բաց կոդով վնասակար ծրագրերը կարող են ունենալ տարբեր ձևեր, որոնցից յուրաքանչյուրն ունի յուրահատուկ բնութագրեր և ազդեցություններ: Ինչպես տեսնում եք, բաց կոդով վնասակար ծրագրերից պաշտպանությունը պարտադիր է: Ահա ամենատարածված տեսակների ակնարկը.