Mwakpo nke usoro nnyefe ngwanrọ na-aghọwanye ihe a na-ahụkarị ma na-emebi ihe. Dịka ọmụmaatụ, Gartner na-ebu amụma na pasentị iri anọ na ise nke azụmaahịa niile ga-enweta mmebi iwu site na 2025. Na mgbakwunye, Ogologo Cybersecurity na-emesi ike oke ihe iyi egwu a, na-atụ anya mmebi kwa afọ nke ruru ijeri dọla $138 ka ọ na-erule 2031. N'ozuzu, amụma ndị a na-egosi mkpa dị ngwa maka òtù dị iche iche itinye ihe n'ọrụ software supply chain security ma tinye usoro siri ike iji chebe data dị mkpa, ọrụ, na aha ọma.
Maka na ọgbara ọhụrụ pipelines dabere nke ukwuu na akụkụ mpụga, mmụba nke ọbá akwụkwọ ndị ọzọ, usoro mmepe ngwanrọ ngwa ngwa, usoro ọkọnọ dị mgbagwoju anya, enweghị visibiliti, usoro mwakpo ọhụrụ, nnabata SaaS, na obere akụrụngwa niile na-akwalite mmụba ahụ na mwakpo nkesa ngwanrọYa mere, òtù dị iche iche ga-agbaso ụzọ zuru oke ma na-arụsi ọrụ ike iji dozie nsogbu ndị a ma chebe usoro nnyefe ngwanrọ ha.
Gịnị bụ mwakpo nke Ngwanrọ Ngwanrọ?
ENISA na-akọwa a Mwakpo Ngwanrọ Ngwanrọ Mwakpo as "nkwekọrịta nke ihe onwunwe kpọmkwem, dịka akụrụngwa na ngwanrọ azụmaahịa nke onye na-enye ngwanrọ, iji mebie ebumnuche ụfọdụ ma ọ bụ ebumnuche ụfọdụ, dịka ọmụmaatụ ndị ahịa nke onye na-enye ngwanrọ." N'ikwu ya n'ụzọ ọzọ, Mwakpo Ngwanrọ bụ ihe ọjọọ nke na-elekwasị anya na usoro ngwanrọ, na-achọ imebi ma tinye adịghị ike ma ọ bụ malware n'ime usoro mmepe na nkesa. N'ihi ya, ụdị mwakpo a na-eji netwọk njikọ aka na nke na-adịkarị mgbagwoju anya nke usoro, ngwaọrụ, na ihe ndị metụtara iwuli na nnyefe ngwanrọ.
Isi ihe na echiche ndị metụtara Mwakpo Ngwanrọ Ngwanrọ
Ngụgụ isi ihe egwu cyber na akwụkwọ ozi na-emebikarị mwakpo nkesa ngwanrọ n'ime ụdị dị iche iche maka nyocha na nchekwa ka mma. N'ihi ya, ngalaba a na-ewebata echiche ise dị mkpa nke ndị akọwapụtara Katalọgụ Ụkpụrụ Mwakpo MITREKatalọgụ a na-enye usoro mwakpo usoro iji mee ka nyocha dị mfe site na iji isi mmalite dị iche iche, gụnyere ihe iyi egwu mmegide nke NIST chịkọtara.
Iwu Mwakpo: Ihe
Mmegide ahụ bụ ihe a na-eme kpọmkwem nke na-ebute ibu arọ ma ọ bụ ebumnuche ọjọọ na sistemụ. N'ihi ya, ọ na-akpata mmerụ ahụ kpọmkwem.
- Ihe atụ nke 1: Malware etinyere n'ime ngwanrọ sistemụ n'oge usoro nrụpụta.
- Ihe atụ nke abụọ: Ihe achọrọ na sistemụ ma ọ bụ akwụkwọ nhazi agbanweela n'ụzọ ọjọọ.
Vektọ mwakpo: Otu esi eme ya
Ihe mgbochi mwakpo bụ ụzọ ndị iro si eji adịghị ike eme ihe ma ọ bụ hazie adịghị ike. N'ihi ya, ọ na-egosi otu ndị mwakpo si enweta ma jiri elu mwakpo ahụ mee ihe n'ụzọ na-ezighị ezi.
- Ihe atụ nke 1: Onye mwakpo na-agbanwe koodu isi mmalite na ebe nchekwa ihe mebiri emebi.
- Ihe atụ nke abụọ: Onye mwakpo na-enweta ohere ịnweta akwụkwọ teknụzụ dị n'ime n'enweghị ikike.
Chọpụta ihe ọzọ na ngalaba anyị Nkọwa Okwu Vektọ Mwakpo maka nghọta ndị ọzọ.
Mmalite Mwakpo: Onye
Ebe o si malite na-achọpụta ebe o si bịa. Ya mere, ọ na-akọwa ọrụ, ọnọdụ, ma ọ bụ mmekọrịta onye wakporo ya na sistemụ ahụ.
- Ihe atụ nke 1: Onye nọ n'ime ụlọ nwere ohere pụrụ iche iji wuo sava na-agbanwe edemede.
- Ihe atụ nke abụọ: Onye na-eme ihe iyi egwu n'èzí na-ebugo ngwugwu trojan na ndekọ ọha.
Ebumnuche Mwakpo: Ihe Mere
Ebumnuche ahụ na-akọwa ihe kpatara mwakpo ahụ. Karịsịa ihe niile, ọ na-egosipụta ihe ndị mmegide chọrọ imezu.
- Mmebi: ịkwụsị ọrụ ma ọ bụ ihe owuwu.
- Nrụrụ aka: ibelata ntụkwasị obi site na ịgbanwe ihe ochie ma ọ bụ koodu isi mmalite.
- Ngosipụta: ịgbasa ihe nzuzo dị nro ma ọ bụ ihe onwunwe ọgụgụ isi.
Mmetụta Mwakpo: Ihe Ndị Ga-esi na Ya Pụta
N'ikpeazụ, mmetụta ahụ na-akọwa ihe ga-esi na mwakpo pụta, na-egosi ihe ga-esi na ya pụta nye ndị na-enye ngwanrọ na ndị ahịa.
- Ihe atụ nke 1: Ọrụ ọ bụla nke na-eji mmemme ọjọọ ga-emebi ma emechaa.
- Ihe atụ nke abụọ: Ndị mmadụ na-etinye ngwanrọ ọjọọ n'ime sistemụ ọrụ ha n'amaghị ama.
Mwakpo Ngwanrọ Ndị A Na-ahụkarị
Ọtụtụ ụdị mwakpo nkesa ngwanrọ dị adị, òtù dị iche iche ga-amarịrị maka ihe dị iche iche na-ebute ihe iyi egwu n'oge ọ bụla nke usoro ndụ. usoro SLSA, Ụlọ Ọrụ Mba nke US nke Standards na Teknụzụ (NIST), na Ụlọ Ọrụ Nchekwa Nchekwa na Akụrụngwa (Cybersecurity and Infrastructure Security Agency)CISA), enwere ike ịkekọta ihe iyi egwu ndị a n'ime ụdị anọ: isi mmalite, ihe owuwu, ngwugwu, na ihe egwu ịdabere na ya.
Mwakpo Ngwanrọ n'usoro Mwakpo nke Ngwanrọ n'oge Isi Iyi
- Zipu koodu ọjọọ → lee otu esi eme ya Arịrịọ Flask. nweta mmejọ na-ezighị ezi or ntụpọ ndị na-adịghị mma nke na-enweghị nchekwa mepụta ebe mwakpo kpọmkwem.
- Ebe nchekwa isi iyi nkwekọrịta
- Rụọ site na isi mmalite emezigharịrị
- Dee koodu na-enweghị nchekwa
- Ịmebi faịlụ ndị dị mkpa → dịka akọwara na Nyocha azụ chmod 777.
Mwakpo Ngwanrọ Ngwanrọ n'oge Mmepụta Ihe
na Ogbo Iwuli, ndị mmepe na-achịkọta ma tinye koodu n'ime ụdị na-arụ ọrụ. n'ihi na usoro a dị oke mkpa, ihe egwu gụnyere ịhapụ nyocha nchekwa na CI/CD pipeline, ịgbanwe koodu mgbe njikwa ụdị gasịrị, ma ọ bụ imebi usoro nrụpụta ahụ. N'ihi ya, koodu ọjọọ nwere ike ịbanye n'ime ihe ochie a na-amaghị ama.
- Nzọụkwụ CI/CD → ejikọtara na GitHub na-ewulite malware.
- Gbanwee koodu mgbe njikwa isi mmalite gasịrị
- Usoro nhazi nkwekọrịta → belatara ya Nchọpụta ịdọ aka ná ntị mbụ nke DevSecOps.
- Ebe nchekwa ihe ochie nke nkwekọrịta
Mwakpo Ngwanrọ nke Ngwanrọ n'oge Ngwugwu
The Ogbo ngwugwu bụ mgbe anyị tinyere koodu niile ọnụ iji mepụta ngwaahịa ikpeazụ. Akụkụ a dị ize ndụ n'ihi na mmadụ nwere ike iji ngwugwu ọjọọ ma ọ bụ gbanwee ebe dị n'ịntanetị ebe anyị na-enweta ha. Ndị na-awakpo nwere ike ibugo ụdị ngwugwu ndị na-emerụ ahụ na weebụsaịtị ndị a.
- Jiri ngwugwu → ekpuchiri nyocha malware.
- Ndekọ ngwugwu nkwekọrịta
- Bulite ngwugwu emezigharịrị → nyochachara na Namso-gen adịgboroja na-emepụta malware.
Mwakpo Ngwanrọ Ngwanrọ n'oge Ndabere
na Ọkwa Ndabere, anyị na-agbakwunye ọbá akwụkwọ na ngwugwu ndị ọzọ na ngwanrọ anyị. Nke a dị ize ndụ n'ihi na nsogbu ọ bụla dị na akụkụ ndị ahụ nwere ike gbasaa ngwa ngwa na nwayọ ruo na akụkụ ndị ọzọ nke ọrụ ahụ.
- Jiri Ndabere A Na-emebi → kọwaa ya na Ihe egwu DoS na ntụkwasị obi ndị a na-amaghị ama.
- Ndabere Ndị Kacha Njọ ma ọ bụ Ndị Na-adịghị Ike
- Ihe Ize Ndụ nke Ịdabere n'Agafe
- Ndebanye aha Ngwugwu Ọjọọ → ebelatala ya Ngwa nchekwa DevOps na njikwa ihe egwu nke ndị ọzọ.
Ihe Ize Ndụ A Na-ahụkarị n'Ahịa Ngwa Ahịa n'Ọkwa Ọ bụla nke SDLC
| ogbo | Ihe iyi egwu a na-ahụkarị | atụ |
|---|---|---|
| Source | • Inyefe koodu ọjọọ ma ọ bụ nke na-enweghị nchekwa • Imebi faịlụ ndị dị mkpa • Imebi ebe nchekwa isi mmalite | XcodeGhost (2015): Koodu ọjọọ etinyere n'ime ihe nrụpụta Xcode nke Apple, gbasaa na ngwa iOS. |
| Mee | • Ịgafefe CI/CD ndenye ego • Ịgbanwe koodu mgbe njikwa isi mmalite gasịrị • Ebe nchekwa ihe ochie na-emebi emebi | SolarWinds Orion (2020): Ndị wakporo gbabatara n'ime ụlọ ahụ pipeline, itinye ọnụ ụzọ azụ n'ime mmelite ngwanrọ mbinye aka. |
| ngwugwu | • Na-ebugote ngwugwu emezigharịrị • Ndebanye aha ngwugwu nsi • Kesaa ihe ochie ndị e mebiri emebi | NPM EventStream (2018): onye wakporo tinyere ọnụ ụzọ azụ n'ime ngwugwu NPM a ma ama ebudatara ọtụtụ puku ugboro. |
| dependency | • Iji ihe ndị ochie ma ọ bụ ndị na-adịghị ike eme ihe • Iji ihe ndị na-agbanwe agbanwe eme ihe • Mbipụta ngwugwu ndị yiri ihe ọjọọ | XZ Utils Backdoor (2024): Ọ fọrọ obere ka e ziga ọbá akwụkwọ mkpakọ trojan n'ime nkesa Linux. |
Usoro Mwakpo Ngwanrọ A Na-ahụkarị
Dị ka CISAkụkọ A na NIST, mwakpo usoro ọkọnọ ngwanrọ na-adabakarị n'ime ngalaba atọ bụ isi.
Agbanyeghị, ihe ndị mere n'oge na-adịbeghị anya na-egosi vektọ ndị ọzọ nke ndị mmepe ga-aghọta.
N'okpuru ebe a, anyị na-agbasa usoro ndị kacha mkpa site na iji ihe atụ bara uru.
Mmelite Nhichapụ
Ndị na-awakpo na-emebi usoro mmelite ziri ezi iji kesaa malware.
Dịka ọmụmaatụ, mwakpo NotPetya na 2017 jiri sava mmelite ngwanrọ ụtụ isi nke Ukraine MEDoc mee ihe, na-ebuga
malware nke na-ebibi ihe nke e ji ihe mkpuchi kpuchie dị ka ihe mgbochi. Iji chebe onwe ya pụọ n'ihe egwu a, ndị otu kwesịrị itinye akwụkwọ Nchọpụta na nzaghachi maka ihe iyi egwu maka DevOps omume ndị na-egosi omume na-adịghị mma na mmelite.
Ịkwụsị Mbinye aka Koodu
Usoro a gụnyere iji ma ọ bụ izu ohi asambodo mbinye aka dị mma iji mee ka koodu ọjọọ yie ihe ziri ezi.
Otu ihe doro anya bụ nkwekọrịta CCleaner na 2017, ebe ndị wakporo kesara ngwanrọ trojanized nke ejiri asambodo ziri ezi bịanye aka na ya.
N'ihi ya, òtù dị iche iche chọrọ njikwa iguzosi ike n'ezi ihe dị n'otu dịka ndị a kọwara na atụmatụ ikpo okwu nchekwa cybersecurity
Koodu Open-Source Na-emebi Iwu
Ndị mmegide na-etinye ụzọ azụ n'ime ngwugwu ndị a ma ama maka mmepe, nke e mechara tinye n'ime ọtụtụ puku ọrụ.
Ihe merenụ na EventStream NPM na XZ Utils backdoor (2024) na-egosi etu vektọ a si dị oke mkpa.
Ndị mmepe kwesịrị inyocha akụrụngwa dịka Ajụjụ Ndị A Na-ajụkarị Banyere Nchekwa NPM na ihe omume ngwugwu edehiere edehie ịmụta otu esi ezere ịdabere na ndị na-egbu egbu.
Mgbagha nke Ndabere
Alex Birsan kọwara nke mbụ na 2021, mwakpo a na-eji aha ndị mmadụ na-akpọ aha n'etiti ndị na-edebanye aha ngwugwu dị n'ime na ndị ọha, na-aghọgbu sistemụ owuwu iji dọta ụdị ọjọọ kama iji ngwugwu dị n'ime a pụrụ ịtụkwasị obi.
Ịkpụcha ihe na ngwugwu ọjọọ
Ndị mwakpo na-ebipụta ngwugwu ọjọọ nwere aha yiri ọbá akwụkwọ ama ama (dịka ọmụmaatụ, "achọrọ" kama "arịrịọ").
Ndị mmepe na-etinye ihe ndị a n'amaghị ama, na-ewebata malware n'ime ọrụ ha.
A na-enyocha ezigbo ihe atụ na Namso-gen malware na na ndepụta anyị nke ihe nyocha malware nke mepere emepe.
Mee Pipeline Na-emetụta
Dịka a hụrụ na nkwekọrịta SolarWinds Orion, ndị na-awakpo nwere ike ịbanye na sava owuwu iji tinye koodu ọjọọ n'oge nchịkọta.
Nke a na-eme ka a ghara ịtụkwasị usoro ihe ochie niile e ji aka dee obi. Usoro maka igbochi ya gụnyere nlekota. CI/CD iguzosi ike n'ezi ihe na nchọpụta ịdọ aka ná ntị mbụ na nyocha
Mgbasa ozi malware nke GitHub na-ewulite.
Otu Mwakpo Ngwanrọ Si Dị Ka Ya: Ikpe SolarWinds
Karịsịa, mwakpo SolarWinds Orion bụ ihe atụ a kacha mara nke mmebi usoro ọkọnọ ngwanrọ. Ọ na-egosi otu ndị na-awakpo nwere ike isi gaa n'ihu na usoro nrụpụta ahụ wee gbasaa koodu na-emerụ ahụ nye ọtụtụ puku ndị ọrụ.
Nke mbụ, ndị wakporo batara na sava ndị SolarWinds wuru.
Mgbe nke ahụ gasịrị, ha tinyere koodu ọjọọ n'ime mmelite Orion nwayọ.
Ebe ọ bụ na emelitere mmelite ndị a dịka ngwanrọ a pụrụ ịtụkwasị obi, ọtụtụ ụlọ ọrụ tinyere ha n'amaghị ihe egwu dị na ha.
Na mkpokọta, ihe karịrị òtù 18,000 metụtara, ndị mwakpo nwetakwara ohere ịnweta sistemụ dị oke mkpa.
Site n'echiche onye mmepụta ihe, mwakpo a na-enye ihe mmụta atọ dị mfe:
- Nchebe gburugburu ezughi oke: ndị mwakpo gbanwere ihe owuwu ahụ pipeline onwe ya.
- Nnyocha na-aga n'ihu dị oke mkpa: nchekwa build attestations, nlele iguzosi ike n'ezi ihe, na nchọpụta ihe na-adịghị mma na-enyere aka igbochi mmebi.
- Otu ihe e ji egbu egbu nwere ike ịba ụwa niile: otu pipeline nkwekọrịta nwere ike ịkpata nsogbu nchekwa zuru ụwa ọnụ.
Xygeni: Ikpo okwu AppSec kachasị mma nke zuru oke n'otu
N'ihi na mwakpo nkesa ngwanrọ nwere ike ịdaba na nzọụkwụ ọ bụla nke SDLC,
ikpo okwu AppSec niile dị n'otu, Xygeni, na-echebe usoro isi mmalite, iwuli, ngwugwu, na ndabere. Ọ na-enye ndị mmepe na ndị otu nchekwa otu ebe iji gbochie, chọpụta, na idozi ihe egwu n'ụzọ dị mfe. N'ihi ya, ịkwesighizi ijikọ ọtụtụ ngwaọrụ, Xygeni na-ekpuchi usoro ndụ zuru oke.
Nchedo Ogbo Isi Iyi
N'oge mmalite, ihe egwu gụnyere ihe na-adịghị mma commits, ebe nchekwa ihe ndị e ji egbu egbu, ma ọ bụ faịlụ ndị gbanwere agbanwe. Xygeni na-enyocha koodu ahụ n'oge dị adị na miri emi SAST na nchọpụta nzuzo.
Ọ na-egbochikwa ihe ọjọọ commitgafere CI/CD guardrails.
N'ụzọ dị otu a, a na-akwụsị nsogbu tupu ha apụọ n'ebe nchekwa ahụ.
Nchedo Ogbo Wuo
N'oge mmepe ahụ, ndị na-awakpo nwere ike ịnwa ịgafe pipelinema ọ bụ gbanwee ihe ochie.
Xygeni na-echekwa usoro owuwu ahụ yana nlele ndị kwekọrọ na SLSA, nkwenye iguzosi ike n'ezi ihe, na mbinye aka na-enweghị igodo. Ọ na-elekwa anya maka omume na-adịghị ahụkebe n'ime CI/CD Ọrụ. N'ihi ya, a na-egosi ihe ndị mebiri emebi ozugbo ma gbochie ha tupu ewepụta ha.
Nchekwa Ogbo Ngwugwu
N'oge ngwugwu ahụ, ndekọ ndị mebiri emebi ma ọ bụ ọbá akwụkwọ emezigharịrị na-ebutekarị malware. Nchọpụta na nyocha ikike nke Xygeni maka malware nyochaa ihe ochie ọ bụla, mgbe AutoFix na-atụ aro ụzọ nkwalite dị nchebe na nyocha ya nke Ihe Ize Ndụ Mweghachi. Naanị ngwugwu ndị a kwadoro ma kwekọọ na-aga n'ihu na pipeline.
Nchedo nke Ogbo Ndabere
Koodu nke atọ bụ nnukwu mwakpo. Nyocha nke Ngwanrọ Xygeni (SCA) Ọ na-eme ihe karịrị ịdepụta CVEs, ọ na-enyocha ma enwere ike iji koodu dị ize ndụ mee ihe n'ezie. Ọ na-egosikwa malware zoro ezo na ndabere ndị dị ize ndụ. Karịsịa, nke a na-eme ka ndị mmepe na-ebufe naanị ndabere dị nchebe.
Nzuzo na Nchekwa Akụrụngwa
E wezụga koodu na ngwugwu, mwakpo na-ejikarị ihe nzuzo ndị a gbapụtara ma ọ bụ akụrụngwa na-adịghị ike eme ihe. Nyocha Xygeni maka igodo, akara ngosi, na asambodo ekpughere na koodu, nhazi, na akwa Docker. Ọ nwekwara ike ịkwado ma wepụ ihe nzuzo ndị gbapụtara na akpaghị aka site na iji Ndozi Nchekwa Onwe. N'otu oge ahụ, IaC nyochaa na-egbochi nhazi na-ezighi ezi nke ndị mwakpo nwere ike ime ihe ike ma emechaa.
Nchọpụta na Ndozi Kachasị Mma
Ọtụtụ ngwaọrụ na-akwụsị na ọkwa. Xygeni gara n'ihu. Injin AutoFix ya na-emepụta ihe nchekwa, pull requests, ma ọ bụ ntuziaka nzọụkwụ site na nzọụkwụ dabere na nsogbu ahụ. Echiche Ihe Ize Ndụ Ya na-egosikwa ụdị patch kacha dị nchebe, yabụ ndị otu na-edozi nsogbu na-etinyeghị nke ọhụrụ.
Otu Ikpo Okwu Ejikọtara Ọnụ
N'ihi na Xygeni na-ejikọta ọnụ SAST, SCA, nchọpụta malware, njikwa nzuzo, IaC nyocha, nchọpụta ihe na-adịghị mma, na njikwa nrụpụta echekwara n'otu ikpo okwu AppSec,
ọ na-enye mkpuchi zuru oke n'ofe ụwa niile SDLCMa ndị mmepe na ndị otu nchekwa na-enweta otu isi iyi eziokwu site na ịhụ ihe doro anya, ndozi bara uru, na nchebe siri ike megide mwakpo usoro ọkọnọ.
Ihe niile tụlere Xygeni, ikpo okwu AppSec kachasị elu n'otu, na-enyere ndị otu aka iwuli ngwa ngwa ma nọrọ na nchekwa. Site n'ichebe usoro isi mmalite, iwuli, ngwugwu, na ịdabere, yana site na itinye ndozi akpaaka na nzọụkwụ ọ bụla, ọ na-eme ka a kwụsị mwakpo usoro nnyefe ngwanrọ tupu ha erute mmepụta.
