თანამედროვე AppSec-ს აღარ შეუძლია დაეყრდნოს ხელით მუშაობას. დაუცველობის მართვის ავტომატიზაცია ახლა აუცილებლობაა და არა ვარიანტი. ცოტა ხნის წინ ჩვენ გვქონდა შესაძლებლობა, შევერთებოდით პრაქტიკული DevSecOps პოდკასტი, სადაც ჩვენი ტექნიკური დირექტორი ლუის როდრიგესი სესიაზე გაზიარებული მოსაზრებები „ყველაზე სუსტი რგოლების დაცვა: მიწოდების ჯაჭვზე თავდასხმების პრევენცია მათ სპირალურ ფორმატში გავრცელებამდე“. ამ საუბარში ლუისმა ახსნა, თუ როგორ DevSecOps გუნდებს შეუძლიათ დღევანდელი უდიდესი საფრთხეების წინაშე დგომა. უპირველეს ყოვლისა, მან აჩვენა, რომ წარმატება დამოკიდებულია ავტომატიზაციისა და რისკზე დაფუძნებული პრიორიტეტიზაცია და ძლიერი თავდაცვის შექმნა მავნე npm პაკეტები.
გაკვეთილი 1: ხმაურის გადალახვა რისკზე დაფუძნებული პრიორიტეტულობის დადგენით
პირველ რიგში, ლუისმა განმარტა, რომ ყველაზე რთული დაუცველობების პოვნა კი არა, იმის გარკვევაა, თუ რომელია სინამდვილეში მნიშვნელოვანი. ტრადიციული ხელსაწყოები დაუსრულებელ შეტყობინებებს აგზავნიან და ბევრი მათგანი ცრუ დადებითი შედეგის მომტანი აღმოჩნდება. შედეგად, ინჟინრები დროს კარგავენ იმ პრობლემების ძიებაში, რომლებიც რეალურ საფრთხეს არ წარმოადგენენ.
რისკზე დაფუძნებული პრიორიტეტიზაცია ამ პრობლემას აგვარებს. ის იკვლევს ექსპლუატაციას, ექსპლუატაციას და ბიზნესზე გავლენას, რათა გამოკვეთოს ის პრობლემები, რომლებსაც თავდამსხმელები ყველაზე მეტად იყენებენ. გარდა ამისა, Xygeni-ს Application Security Posture Management 90%-მდე ამცირებს შეტყობინებებს, რაც უსაფრთხოების სამუშაოებს უფრო მკაფიოს და გაცილებით ნაკლებ ყურადღების გამფანტველს ხდის.
გასაღების გასაღები: სინამდვილეში, ავტომატიზაცია არ ნიშნავს მეტი სკანირების ჩატარებას, არამედ ნაკლები შედეგის ჩვენებას, მხოლოდ იმ საკითხების ჩვენებას, რომლებიც ნამდვილად მნიშვნელოვანია.
გაკვეთილი 2: მავნე npm პაკეტები უკვე თქვენს კომპიუტერშია Pipeline
მეორეც, ლუისმა ხაზი გაუსვა რეალობას, რომლის იგნორირება აღარ შეიძლება: მავნე npm პაკეტები ღია კოდის ეკოსისტემებს ავსებენ. სინამდვილეში, 2024 წელს გამოქვეყნებული ყოველი ათი ახალი npm ან PyPI პაკეტიდან ერთი შეიცავდა მავნე პროგრამას. შედეგად, მიწოდების ჯაჭვის შეტევები უფრო სწრაფად გავრცელდა, ვიდრე გუნდების უმეტესობას შეუძლია რეაგირება.
ავიღოთ შემთხვევა შაი-ჰულუდის ჭიაერთმა მავნე პაკეტმა საათებში ასობით პროექტი დააინფიცირა. ეს არა მხოლოდ ძალიან დამანგრეველი იყო, არამედ აჩვენა, თუ როგორ იყენებენ თავდამსხმელები დაუმაგრებელ დამოკიდებულებებს და CI/CD ნდობის მოდელები.
Xygeni ამას შემდეგნაირად აგვარებს:
- რეესტრების მუდმივი მონიტორინგი მავნე პაკეტების აღმოსაჩენად.
- Guardrails რომლებიც აჩერებენ აწყობას, როდესაც კარანტინში მყოფი დამოკიდებულებები აღმოჩენილია.
- ადრეული გაფრთხილების შეტყობინებები, რომლებიც გუნდებს დაუყოვნებლივ აცნობებს ახალი საფრთხეების გამოჩენის შესახებ.
გასაღების გასაღები: ამ პუნქტების გათვალისწინებით, მხოლოდ ტრადიციულზე დაყრდნობით SCA თუ ეს არასაკმარისია, ავტომატიზაციამ რეალურ დროში უნდა დაბლოკოს მავნე პროგრამები.
გაკვეთილი 3: ქარხნის დაცვა დაუცველობის მართვის ავტომატიზაციით
მესამე, ლუისმა შეგვახსენა, რომ თავდამსხმელები აღარ ესხმიან თავს მხოლოდ აპლიკაციებს, ისინი თავს ესხმიან pipeline თავადსუსტი GitHub-ის მოქმედებები, დაუმაგრებელი სამუშაო პროცესები და ზედმეტად პრივილეგირებული ტოკენები მარტივი შესასვლელი წერტილებია. სხვა სიტყვებით რომ ვთქვათ, CI/CD სისტემა თანამედროვე პროგრამული უზრუნველყოფის „ქარხანაა“. თუ ქარხანა კომპრომეტირებულია, ყველა არტეფაქტი რისკის ქვეშაა.
ეს არის სადაც დაუცველობის მართვის ავტომატიზაცია ნამდვილად ბრწყინავს. მაგალითად, ავტომატური შემოწმებების, ხელმოწერილი არტეფაქტების და ანომალიების აღმოჩენის პირდაპირ ჩასმით CI/CD, გუნდებს შეუძლიათ:
- დაუცველი სამუშაო პროცესების გაშვების თავიდან აცილება.
- დაადასტურეთ ყველა აწყობა კრიპტოგრაფიული ატესტაციებით.
- უჩვეულო ქმედებების, პრივილეგიების ესკალაციის ან არაკეთილსინდისიერი დანამატების დაუყოვნებლივ აღმოჩენა.
გასაღების გასაღები: დასკვნის სახით, ქარხნის უსაფრთხოება მოითხოვს მუდმივ, ავტომატიზირებულ აღსრულებას, მხოლოდ ხელით შემოწმებები ვერასდროს გავრცელდება.
რას ნიშნავს ეს DevSecOps გუნდებისთვის
საბოლოო ჯამში, ლუისის საუბრიდან გამომდინარე გაკვეთილი ნათელია: თანამედროვე AppSec-მა უნდა გააერთიანოს დაუცველობის მართვის ავტომატიზაცია, მავნე npm პაკეტებისგან დაცვა და რისკზე დაფუძნებული პრიორიტეტიზაცია. წინააღმდეგ შემთხვევაში, გუნდები ხმაურში ჩაძირვის რისკის ქვეშ აღმოჩნდებიან, სანამ თავდამსხმელები ამ ხარვეზებს იყენებენ.
Xygeni-ის დახმარებით ორგანიზაციები იღებენ:
- აქტივების ავტომატური აღმოჩენა და ინვენტარიზაცია.
- დინამიური ძაბრები რისკზე დაფუძნებული დაუცველობის პრიორიტეტიზაცია.
- რეალურ დროში მავნე პროგრამებისა და საიდუმლოებების აღმოჩენა ინტეგრირებულია CI/CD.
ამიტომ, ავტომატიზაცია მხოლოდ ეფექტურობას არ ეხება; ეს ერთადერთი გზაა, რათა მდგრადები დარჩეთ მიწოდების ჯაჭვის მზარდი შეტევების მიმართ.
ნახეთ სრული საუბარი ლუის როდრიგესთან
იხილეთ სრული სესია „ყველაზე სუსტი რგოლების დაცვა: მიწოდების ჯაჭვის თავდასხმების პრევენცია მათ სპირალურ გავრცელებამდე“ და ისწავლეთ, თუ როგორ ავტომატიზიროთ დაუცველობის მართვა თქვენს DevSecOps-ში pipeline.
მზად ხართ ამ გაკვეთილების პრაქტიკაში გამოსაყენებლად?
დაუცველობის მართვის ავტომატიზაცია და მავნე npm პაკეტებისგან დაცვა მხოლოდ თეორია არ არის, ეს ისეთი რამაა, რისი დაწყებაც დღესვე შეგიძლიათ. Xygeni-ის დახმარებით თქვენ მიიღებთ რისკზე დაფუძნებულ პრიორიტეტიზაციას, რეალურ დროში მავნე პროგრამების აღმოჩენას და CI/CD guardrails ეს მასშტაბი თქვენს გუნდთან ერთად.
დაიწყე თავისუფალი სასამართლო პროცესი და ნახეთ, თუ როგორ ჯდება დაუცველობის მართვის ავტომატიზაცია პირდაპირ თქვენს pipeline.
