Þetta er þriðji þátturinn í röð greina um algengustu tegund árása í hugbúnaðarframboðskeðju: þær sem misnota opinbera skrá yfir opinn-uppspretta hugbúnaðaríhlutir. Eftir að hafa greint í fyrri þættinum „Líffærafræði illgjarnra pakka: Hverjar eru þróunin?„hvernig illgjarnir aðilar sprauta illgjörnum hætti inn í nýja eða núverandi birta íhluti, þá erum við tilbúin að klæða okkur í slökkvibúningana okkar og skoða hvernig við getum með góðum árangri lokað fyrir skaðlegan hugbúnað sem berst á þennan hátt, eða að öðrum kosti tekist á við hugsanlega alvarlegt netatvik vegna þess að við fórum á rangan hátt.“
Flestir sérfræðingar sem eru meðvitaðir um öryggi hafa hugmyndir um hvernig eigi að takast á við þessa ógn. Við höfum heyrt öryggisstjóra segja hiklaust að SCA Tólin segja þér nú þegar hvenær pakkaútgáfa er spilliforrit. Eða að þau séu háð þekktum, vel metnum hugbúnaðaríhlutum, þar sem spilliforrit yrðu strax greind og fjarlægð. Þau nota opnar minniháttar/uppfærsluútgáfur til að fá sjálfkrafa lagfæringar á veikleikum, og það er rétta, ráðlagða leiðin til að minnka áhættuna á opnum hugbúnaði, samkvæmt „plástra snemma, plástra oft”Meginregla.
Í þessum þætti munum við fara yfir hvers vegna þessar hugmyndir eru rangar og hvernig slíkar misskilningur stuðlar að vinsældum þessarar árásaraðferðar og að yfirþyrmandi áhættu sem fyrirtæki eru að upplifa. Við munum að lokum fjalla um það sem virkar og hver er fyrirhöfnin og úrræðin sem þarf til þess.
Algengar ranghugmyndir
Á ferðalagi okkar með hugbúnaðaröryggi sáum við árásartækni þróast og fjölbreytt úrval hugmynda frá öryggismeðvituðum einstaklingum. Fyrirtæki misskilja oft hvað virkar gegn þessari ógn, svo fyrst munum við skoða hvað virkar ekki, þjappað saman í eftirfarandi, ekki tæmandi, lista yfir misskilninga.
Misskilningur #1: SCA tól tilkynna nú þegar um skaðlega íhluti
Einmitt! En eftir á... Þegar það er líklega of seint ef þátturinn var notaður í hugbúnaðargerð og óvinirnir hafa þegar náð fótfestu hjá forritara eða CI/CD gestgjafi. Leyndarmál gætu hafa verið stolin, frekari spilliforrit sótt og sett upp og kannski hefur óvinurinn fært sig til hliðar og þegar fengið aðgang annars staðar.
Greining á hugbúnaðarsamsetningu (SCA) verkfæri voru hönnuð til að bera kennsl á hugsanlega þekkta veikleika. Nútíma verkfæri gera frábært starf með því að auka hlutfall merkis og suðs og ákvarða hvort veikleikinn sé í raun aðgengilegur eða hægt að nýta hann. En þau eru gagnslaus gegn nýjum spilliforritum. Hugsaðu um illgjarnan íhlut sem núlldags veikleika: Aðeins þegar illgjarn hegðun hans greinist er íhluturinn tilkynntur til birgðaskrárinnar, sem eftir skoðun öryggisteymis er staðfest sem illgjarn og fjarlægður úr skránni. [1].
Á þeim tímapunkti, heimurinn (þar á meðal SCAs) veit að það er ekki gott að setja upp eða nota íhlutinn (eða einhverja útgáfu(r) af núverandi íhlut). En þetta er þegar íhluturinn er ekki tiltækur úr skrásetningunni.Það er gott að vita að ég hef veikleika í íhlutum þriðja aðila, eða jafnvel íhlutum sem skrásetningin flokkaði sem illgjarn, en því miður. SCA eða algeng endurskoðunarverkfæri hjálpa ekki í þessu samhengi. Nema SCA/audit tólið getur í raun vitað fyrirfram að íhlutur er illgjarn áður en hann er notaður innan fyrirtækisins..
Mundu að allar lausnir gegn skaðlegum íhlutum með opnum hugbúnaði verða að greina þá. á ferðinni, á milli þess þegar íhluturinn er birtur í skrásetningunni og þess þegar íhluturinn (útgáfan) er fyrst notaður í fyrirtækinu þínu. Og það á einnig við um óvirka íhluti.
Misskilningur #2: Að stjórna uppsetningarforskriftum við smíði kemur í veg fyrir illgjarn hegðun frá opnum íhlutum
Ýmsir pakkastjórar bjóða upp á möguleikann á að keyra forskriftir (innifalið í tarball íhlutnum [2]), af lögmætum ástæðum, svo sem að setja saman nauðsynleg atriði á mismunandi kerfum, búa til kóða eða keyra prófanir, og við ættum öll að vita að þau geta verið misnotuð af slæmum aðilum ef illgjörn forskriftir eru innifaldar í tarball-skránni, eða ef árásaraðilinn getur látið illgjörn forskrift keyra í stað þess góða.
Með þetta í huga getum við stillt pakkastjórann þannig að hann hunsi forskriftir. Til dæmis, með NPM –hunsa-handrit fáni (eða stillingareiginleiki í .npmrc skrá) sleppir forskriftunum við uppsetningu. Þetta getur valdið vandræðum þar sem keyrsla forskrifta er algeng í mörgum vistkerfum: Sumir pakkastjórar leyfa ekki einu sinni að slökkva á keyrslu forskrifta (vísbending: hvetja „Hvaða pakkastjórar leyfa ekki að slökkva á keyrslu uppsetningarforskrifta?„í uppáhalds gervigreindinni þinni). En þetta verndar ekki almennt (við þurfum að framfylgja því að stillingin fyrir að slökkva á sleppum sé alls staðar).
Og þegar illgjarn hegðun er ekki staðsett í uppsetningarforskriftum heldur í hugbúnaðinum sem á að keyra á keyrslutíma, þá verndar þessi valkostur okkur ekki einn og sér.
Misskilningur #3: Útgáfufesting kemur í veg fyrir að skaðlegir íhlutir séu settir upp
Það er málamiðlun á milli þess að uppfæra snemma og oft með opnar útgáfur (leyfa pakkastjóranum að setja sjálfkrafa upp nýjar uppfærslur þegar þær eru tiltækar fyrir öryggisleiðréttingar) og útgáfufesting (með öllum beinum og tímabundnum ósjálfstæði fyrir hugbúnað í fastri útgáfu). Öryggisreglurnar eru þrjóskar og stundum mótsagnakenndar, eins og gerist með „uppfæra snemma, uppfæra oft“ og „Uppfærslu ætti ekki að taka léttúð“Sumir pakkastjórar uppfæra sjálfkrafa með netþjónsbilum á ráðlagðan hátt. Frábært ef þú vilt líka fá skaðlegar uppfærslur! Já, íhlutir verða að vera uppfærðir til að fá öryggisleiðréttingar sem loka fyrir veikleika eins fljótt og auðið er, en ... láttu pakkastjórann aldrei gera þetta sjálfkrafa.
Misskilningur #4: Það er öruggt að nota trausta íhluti. Öllum skaðlegum útgáfum yrði strax fundið, afhjúpað og fjarlægt.
Hvers vegna er íhlutur traustur? Hugsanlega vegna þess að hann er mjög vinsæll, margir eru að leita að veikleikum, fjöldi þátttakenda í viðhaldi og fjöldi viðhaldsaðila fer vandlega yfir allt. pull requestsRaunveruleikinn er allt annar. Sumir nauðsynlegir þættir eru viðhaldið af einum, ólaunuðum forritara. Víða notuð rammaverk hafa... nokkrir fastir þátttakendur, með ört minnkandi fjölda commitá hvern viðhaldsaðila (vinsæl verkefni hafa langan hala af framlagsaðilum sem framkvæma einhverja „drive-by“ commit og koma aldrei aftur). Og vinsæl verkefni með einum viðhaldsaðila eru gnægð.
Ímyndaðu þér að þú segjir „Ó, við erum að nota Spring Boot / Angular / React / PyTorch / opinberar Docker grunnmyndir, svo áhættan sem þú ert að tala um er frekar lítil.“ Kannski er það rétt, við öryggisframleiðendur erum alltaf að hræðast og skipta okkur af þróunarteymi til að draga úr umdeildri áhættu og það er bull. Þú gætir freistast til að hoppa yfir í áhættusamþykktarmálsgreinina (í næsta kafla) og allt gert. Því miður eru vinsælustu íhlutirnir skotmörk fyrir illvirkja, og til dæmis vinsælu... Ráðist var á PyTorch bókasafnið í fortíðinni.
„Fundið, upplýst og fjarlægt tafarlaust“. Það tekur daga að fjarlægja nýjan skaðlegan íhlut úr opinberu skránni. Skráningarstofnanir eru varkárar við að fjarlægja útgáfu af íhlut, til góðs. Reynsla okkar er sú að þegar tilkynnt hefur verið um það frá okkur, þá tekur það skráninguna meðalfjölda 39 klukkustundir að fjarlægja viðkomandi útgáfu, meira en einn og hálfur dagur. Það eru skaðlegir íhlutir sem eru viku eftir að við tilkynntum fyrst í skránni áður en þeir eru fjarlægðir. Og í sumum tilfellum er íhluturinn aðeins fjarlægður eftir að fórnarlamb eða fyrirtæki sem sérhæfir sig í atvikum tilkynnir um atvik sem tengist íhlutnum.
Hvað virkar EKKI gegn skaðlegum íhlutum
Sérhver óljós aðferð mun mistakast hrapallega. Það er víst að þú ert ekki að veita árangursríkar mótvægisaðgerðir gegn þeirri áhættu sem fylgir þessari ógn.
Hefðbundin SCA Tólin segja þér frá þekktum spilliforritum en hafa stóran váhrifatíma. Nema þau séu að greina spilliforrit fyrirbyggjandi með þvingaðri lokun á skaðlega íhluti, virka þau ekki gegn þessari ógn.
Að slökkva á uppsetningarforskriftum gæti hjálpað en þarf að framfylgja því alls staðar þar sem íhlutur þarf að vera settur upp. Sama gildir um útgáfufestingu, þar sem ekki er hægt að festa útgáfur frá öruggu upphafsástandi að eilífu.
Að gera ráð fyrir að vinsælir íhlutir fái næga athygli til að ekki sé hægt að sprauta þeim með óviljandi hegðun í árás í framboðskeðju án þess að það sé greint nánast samstundis til að koma í veg fyrir tjón er barnalegt og áhættusamt. Þú vilt ekki lifa á jaðrinum, er það nokkuð?
Ef þú hættir á þessum tímapunkti, þá áhættuviðurkenning er það eina sem þú getur gert: Þetta er decissem þarf að skjalfesta í ógnarlíkani/áhættumati, þar á meðal rökstuðning fyrir því að samþykkja áhættuna og hugsanlegar afleiðingar hennar. Auka vitund með því að miðla henni til stjórnenda og annarra viðeigandi aðila. Sumir viðbúnaður gæti verið skipulagt þegar skaðlegur íhlutur er settur upp eða innifalinn í hugbúnaðinum þínum, en þetta er erfitt þar sem árásarmenn hafa margar leiðir að fara. Nánari upplýsingar um árás í framboðskeðju sem byggir á notkun skaðlegs íhlutar munu breyta verulega opinberri upplýsingagjöf um atvikið, sem líklega er skylda samkvæmt regluverki fyrirtækisins. Þú gætir einnig fjallað um jöfnunarstýringar or flutningsáhætta t.d. með tryggingum.
Hins vegar eru til ráðstafanir sem taka á ógninni og ætti að íhuga þær ef þú ert ekki ánægður með áhættuþóknunina. Lestu áfram.
Hvað virkar gegn árásum sem nota skaðleg íhluti
Meðhöndlun á solid útgáfu
Útgáfufesting með stýrðum og upplýstum útgáfuhækkunum er leiðin til að vega og meta þörfina á að fjarlægja veikleika án þess að fá spilliforrit. En munið misskilning #3: Útgáfufesting ein og sér nægir ekki til að loka fyrir skaðlegan kóða sem kemur frá nýjum útgáfum, því í framtíðinni þurfið þið að uppfæra útgáfur í beinni eða óbeinni tengingu. Á þeirri stundu þurfið þið nógu sterkar sannanir fyrir því að allar breyttar útgáfur innihaldi ekki spilliforrit.
Snemma viðvörun
Ein leið til að takast á við vandamálið með skaðlega íhluti er viðvörunarkerfi (hér nefnt sem Snemmbúin viðvörun um spilliforrit eða MEW), þar sem nýjar útgáfur sem gefnar eru út (fyrir nýja eða núverandi íhluti) eru greindar af greiningarvél, sem þegar nægar sannanir finnast getur flokkað nýju útgáfuna sem hugsanlega skaðlega.
Sjálfvirkni er nauðsynleg hér, þar sem það er ómögulegt að fara handvirkt yfir alla nýju íhlutina á núverandi útgáfuhraða. Þess vegna þarf greiningarvélin að sameina ýmsar aðferðir, þar á meðal hugsanlega kyrrstæða, breytilega og getugreiningu, notendaorðspor og sönnunargögn sem koma frá misræmi milli lýsigagna íhluta og innihalds tarball-skrárinnar, eða milli tarball-skrárinnar og upprunalegu gagnagrunnsins þar sem íhluturinn á að koma frá.
Það er myrkur svæði á milli útgáfutíma og þess tíma þegar vélin greinir innihald íhluta, en það ætti ekki að fara yfir nokkrar mínútur. Hægt er að breyta kerfinu, til dæmis með því að bíða eftir að nýir íhlutir séu greindir áður en leyft er að setja þá upp og nota þá í hugbúnaðargerðinni. pipelineeða greina þær eftir þörfum. Íhlutur í tiltekinni útgáfu er óbreytanlegur [3], þannig að það þarf aðeins að greina það einu sinni.
Full sjálfvirkni er ekki möguleg og öryggisskoðun vegna hugsanlega skaðlegra íhluta er nauðsynleg. Varist stuðningsmenn stafrænnar töfralausnarGervigreind og vélanám eru ekki nógu þróuð til að eiga síðasta orðið þegar kemur að því að staðfesta hvort grunsamlegur íhlutur innihaldi spilliforrit. Vissulega gegnir vélanám lykilhlutverki í greiningarvélinni við að flokka inntaksíhlutinn út frá hráum sönnunargögnum sem aflað er, en þegar íhluturinn er „settur í sóttkví“ eru lokaorðin um handvirka yfirferð öryggisteymis með reynslu af skaðlegum íhlutum. Þetta staðfestir hugsanlegan spilliforrit eða endurflokkar hann sem öruggan. Og tímabilið er innan við klukkustundir.
Skráningarstofan greinir frá skaðlegu útgáfunni/íhlutnum; skráningarstofan framkvæmir síðan skoðun sína til að staðfesta og heldur áfram með opinbera birtingu og fjarlægingu úr skránni. Sumar skráningarstofur geyma öryggispakka. Tímabilið hér er dagar eða vikur frá birtingu, sem er 'Dvalartími'eða'útsetningargluggi' fyrir flesta skaðlega íhluti.
Er hægt að vita hvort útgáfa af íhlut sé skaðleg?
Til að geta varað við vandamálinu snemma þurfum við að gefa fullnægjandi svar við þessari spurningu: Hvernig get ég vitað að bókasafn eða pakki er (ekki) illgjarn? Hvernig á að safna nægilegum sönnunargögnum um illgjarna hegðun? Mögulegt, en erfitt, þar sem andstæðingarnir nota mikla hugvitsemi til að forðast uppgötvun. Það eru mismunandi aðferðir, hver með kosti og galla.
Statísk greining geta skoðað allar keyrsluleiðir, athugað hvort árásarmenn noti aðferðir án þess að keyra íhlutinn og framkvæmt forvinnsluverkefni eins og afþýðingu eða dulkóðun. Þegar árásarmenn reyna að fela óhæfni sína eru tilraunir til að dylja vissulega vísbendingar um spilliforrit (en athugið að lögmætir íhlutir dylja kóða til að varðveita hugverkaréttindi, sem stangast á við „opinn uppspretta”). Aðeins minnihluti mjög háþróaðra árása með sterkri dulrænni aðferð þarfnast sandkassa, en slík sterk dulræn aðferð er augljóst merki um illgirni. Vinsamlegast athugið að hefðbundnar SAST Verkfæri voru hönnuð fyrir óviljandi veikleika, ekki fyrir illgjarnan ásetning eins og bakdyr.
Kvik greining keyrir íhlutinn og kannar viðbrögðin með því að mæla keyrslutímann, yfirleitt með því að bjóða upp á sandkassaumhverfi. Illgjarn hegðun sem kemur fram við ákveðnar aðstæður getur farið fram hjá óuppgötvuð: athugið að spilliforrit geta notað undankomuleiðir eins og Sýndarvæðing/Sandkassaundanskot að virkjast aðeins þegar það er ekki undir eftirliti, og einnig merki um illgjarn virkni fyrir allar kyrrstæðar greiningarvélar.
Greining á hæfni tekur tillit til þess hvað íhluturinn gerir: hvert hann tengist, hvaða skrár hann nálgast, hvaða skipanir eða forrit eru keyrð, hvaða inntak/úttak í skipanalínu eða tæki er framkvæmt eða hvaða kerfisköll eru kölluð. Þessa fingrafarsgreiningu á hegðun gæti verið borin saman (fyrir núverandi íhlut) á milli útgáfa, þannig að þegar óvænt hegðun greinist gætu þær vísbendingar vakið grun um hugsanlega illgjarn virkni sem er sett inn í nýju útgáfuna. Þessi aðferð fylgir flokkunarskrefunum sem öryggisgreinendur fylgja þegar þeir standa frammi fyrir hugsanlegum spilliforritum: skoðun með því að nota strengir eða svipuð verkfæri. Þessi aðferð greinir illgjarn hegðun óháð því hvaða aðstæður valda því og virkar þegar enginn frumkóði er tiltækur.
Samhengisgreining safnar upplýsingum um hvernig íhluturinn var birtur og af hverjum. Herferðir illgjarnra aðila nota oft nýjan notandareikning(a) sem ekki eru háðir neinu ströngu eftirlitsferli. Að rekja fyrri virkni getur gefið innsýn í undirliggjandi notandann, aðallega vegna frávika sem geta bent til hugsanlegrar ógnunar. Það er svo erfitt að afla sér mannorðs og svo auðvelt að tapa því! Notandi sem hefur enga fyrri virkni er hlutlaus, en karma eltir þá sem eru illgjarnir. Tölvuþrjótar, eða venjulegir notendur sem eru stolnir með birtingarupplýsingum sínum, ættu að vera grandskoðaðir.
Önnur samhengisupplýsing er öll ósamræmi milli frumkóðasafnsins sem á að vera notað til að búa til tarball-íhlutinn og innihald tarball-skrárinnar sjálfs. Og einnig að fylgja góðum starfsháttum, eins og að búa til merki eða útgáfur í frumkóðasafninu sem passa við útgáfur íhlutsins sem birtar eru í opinberu skránni. Þegar frumkóðasafn á tilteknu commit er merkt með útgáfu, og svo skyndilega fylgir ekki ein útgáfa því, þá er það eitt og sér sterk sönnun þess að íhluturinn gæti verið spilltur: ólöglegi aðilinn gæti hafa komist í hættu á aðganginum sem notaður var til að birta íhlutinn, en hefur ekki skrifréttindi í frumkóðageymslunni). Margar árásir eru reglulega greindar með þessum reglum: til dæmis, Bókhaldsárás væri auðvelt að greina á þennan hátt. Samhengisgreining greinir því slík frávik í útgáfuferlinu.
Eldveggur fyrir ósjálfstæði
Önnur aðferð er að hafa ítarlegan hvítlista yfir íhluti fyrir öll tengslamyndrit sem notuð eru í hugbúnaðinum þínum, þannig að í hvaða smíði sem er pipeline Í fyrirtækinu þínu er aðeins hægt að setja upp og nota samþykktar útgáfur af íhlutum. „eldvegg„er framfylgt með innri skrásetningu þar sem tar-kúlur fyrir leyfilegar útgáfur íhluta eru birtar (skyndiminni eða með milligönguþjóni). Athugið að enginn hvítlisti virkar nema þið hafið tækni til að flokka nýjar útgáfur sem nokkuð öruggar svo hægt sé að bæta þeim við hvítlistann.
Vinsamlegast athugið að snemmbúin viðvörun (fljótleg uppgötvun eins fljótt og auðið er eftir útgáfu nýrrar útgáfu) þarf að vera sameinuð einhverri leið til að nota þessar upplýsingar fyrirbyggjandi til að loka fyrir íhlutinn sem hefur áhrif á smíðina. pipelineeða vélar forritaranna [4]Við köllum þetta „ósjálfstæðis eldveggur„: sóttkvíarkerfi til að vernda sjálfvirkar byggingar gegn skaðlegum pakka. Innri pakkar og myndskrár eru góðar til að einangra stofnanir frá ytri illu, en nægilega sterkar sannanir eru nauðsynlegar til að sóttkvíin sé árangursrík.
Keyrslutíma sandkassa
Önnur aðferð til að greina við útgáfu er að greina hegðun á keyrslutíma. Hugmyndin er að fanga væntanlega hegðun hugbúnaðarins og greina (eða loka fyrir) allar frávik sem finnast. Þessi aðgerð hefur þann vanda að þurfa að mæla keyrslutímann til að fylgjast með eða loka fyrir, og það er efnileg hugmynd sem verður bætt við vopnabúr varnarkerfa gegn illgjarnum íhlutum.
Að setja sér heildstæða stefnu
Ráðlagða stefnan þarf að sameina mismunandi aðferðir í hugbúnaðarþróunarferlinu og taka stjórn á útgáfuuppfærslum til að loka fyrir skaðlega íhluti sem berast inn. Við verðum að koma til móts við útgáfufestingu til að forðast sjálfvirka smitun við uppfærslur á útgáfum til að fá lagfæringar á þeim veikleikum sem skipta máli; fljótlegt og skilvirkt mat á beinum og óbeinum ósjálfstæði við útgáfuuppfærslur til að hafa nægar sannanir fyrir því að þær séu ekki bundnar af spilliforritum. Loka verður fyrir hugbúnaðarútgáfur sem eru háðar þekktum skaðlegum íhlutum. Og öllu verður að framfylgja.
Notið útgáfufestingu þegar það er mögulegt, þar sem það gerir byggingarnar endurtakanlegar. Útgáfufesting með stýrðum, handvirkt samþykktum útgáfuhækkunumog aðstoðað af hjálpartækni, ætti að meta hvort uppfærslan færir með sér spilliforrit eða skemmir hugbúnaðinn og samræma uppfærslur til að laga veikleika við að forðast spilliforritasmit. Verkfæri geta hjálpað hér með því að (1) forgangsraða hvaða veikleikar skipta raunverulega máli (aðgengilegir og nýtanlegir, með mikla hættu á að verða fyrir skotmörkum árásarmanna), (2) velja markútgáfur sem eru samhæfar núverandi notkun íhluta og skemma ekki hugbúnaðinn, (3) velja markútgáfur sem innihalda ekki illgjarna hegðun og (4) gera útgáfuuppfærslu fyrir beinar og óbeinar ósjálfstæðir þætti auðveld með því að leggja til breytingar í skrám sem hægt er að samþykkja fljótt. Skref (3) þarfnast sértækra upplýsinga um illgjarna íhluti eins nálægt útgáfutíma þeirra og mögulegt er.
Þetta ferli við að uppfæra ósjálfstæði verður að vera framfylgt og staðfest á öllum stöðum. Ferlið verður að vera skjalfest og allir aðilar sem að málinu koma ættu að fá þjálfun, þar sem þróun og hugbúnaðargerð/uppsetning er oft utanaðkomandi. CI/CD pipelines ætti að vera breytt í samræmi við það, svo sjálfvirkni leyfi ekki illgjarn óbein ósjálfstæði að smjúga inn í bygginguna: guardrails Ráðlagða leiðin er að loka fyrir bygginguna ef nægar vísbendingar eru um hugsanlega spilliforrit í ósjálfstæði.
Ef fyrirtækið þitt hefur innri skrá sem virkar sem öryggisumboð fyrir að geyma leyfilegar íhlutaútgáfur, verður þú að afla upplýsinga um skaðlega íhluti (auk annarra viðmiða) til að meta umbeðinn íhlut áður en hann er bætt við leyfislistann.
Það er ekki auðvelt að nota opinn hugbúnað á öruggan hátt og taka þarf tillit til spilliforritaþáttarins og leggja svipaða vinnu í að takast á við varnarleysi.
Ein loka athugasemd: Uppruni uppruna, í formi hugbúnaðarvottorðs, sem eru búin til við smíði íhlutarins, er annar lykilþáttur í viðleitni til að rekja gripinn (tarball íhluta) með hugbúnaðarheimildunum og smíðaferlinu sem framleiddi hann. Athugið að þessi tenging milli skyndimyndar af hugbúnaðarheimildinni + smíðaumhverfisins og tengds hugbúnaðargrips (undirritað af trausta smíðakerfinu) kemur ekki í veg fyrir að íhluturinn innihaldi ekki illgjarna hegðun, en gerir það erfiðara fyrir illgjarna að sprauta inn spilliforritum. Og að gera upprunastaðfestingu að algengri kröfu fyrir neyslu opins hugbúnaðaríhluta mun taka langan tíma, og aðeins... nýlega bætt við NPMAð gera þessi traustu smíða- og dreifingarkerfi óbreytanleg, eða að gera kleift að greina alla ólöglega notkun í smíðinni, er önnur saga, sem fellur utan umfangs þessarar færslu.
Ítarefni
Næsti þáttur Illgjarn pakkar í opnum hugbúnaði: Xygeni aðferðin mun kynna stefnuna sem við fylgjum hjá Xygeni fyrir okkar Snemmbúin viðvörun um spilliforrit (MEW) kerfi. Nýjar útgáfur pakka í opinberu pakka- og myndaskrám eru skannaðar og sönnunargögn eru fengin með því að nota blöndu af kyrrstöðu, breytilegri, getu- og samhengisgreiningu. Sönnunargögnin, ásamt orðspori notanda og sögu breytinga í frumkóðageymslum, gera kleift að flokka íhluti sjálfvirkt í áhættuhópa og líklega illgjarna flokka. Kerfið lærir af fyrri sönnunargögnum sem safnað hefur verið úr pökkum til að lágmarka falskar jákvæðar niðurstöður.
Áskrifandi stofnanir fá viðvörunartilkynningu um íhluti sem þær nota, beint eða óbeint, þegar skaðleg útgáfa er flokkuð. Greinendur okkar framkvæma síðan handvirka greiningu sem staðfestir eða hafnar flokkuninni. Fyrir staðfesta skaðlega hugbúnað er opinbera skráin látinn vita svo hún geti framkvæmt sína eigin greiningu og yfirleitt fjarlægt skaðlegu útgáfuna eða gripið til frekari aðgerða, svo sem að loka eða fjarlægja viðkomandi notandareikning.
Við munum útskýra hvernig við aðstoðum NPM, PyPI, GitHub og aðra lykilinnviði í opnum hugbúnaðarvistkerfinu við að stytta þann tíma sem nýr, skaðlegur íhlutur er virkur þar til hann er staðfestur sem skaðlegur hugbúnaður og fjarlægður úr skrásetningunni. Og hvernig fyrirtæki geta notið góðs af MEW kerfinu til að fá mun betri vörn gegn árásum á hugbúnaðarframboðskeðjuna sem fela í sér opinn hugbúnaðaríhluti.
- [1] Allavega þurfa notendur íhlutsins að athuga hvort tar-skrá íhlutsins sé skyndiminnið eða skráð einhvers staðar, til dæmis í innri skrásetningu, svo að sjúkdómurinn sé útrýmt.
- [2] Pakkaða íhluturinn inniheldur upplýsingaskrá sem lýsir innihaldi hans og lýsigögnum, frumkóða eða þýddum kóða, uppsetningarforskriftum og viðbótarhlutum eins og prófunarsvítum, samkvæmt pakkasniði og venjulega í þjöppuðu formi. Þetta er kallað „íhluta tarball“.
- [3] Jafnvel þótt illgjarn aðili geti breytt birtum íhlut vegna brots í skrásetningunni sjálfri, getur venjuleg dulritunarúrvinnslugreining greint allar breytingar í tar-skránni eftir að greiningunni er lokið.
- [4] Hafðu í huga að sumir skaðlegir íhlutir keyra við uppsetningu, þannig að þeir geta haft áhrif á forritarahnútar sem keyra óafvitandi „npm install X“ með X sem skaðlegum íhlut.
