អ្វីដែលអ្នកអភិវឌ្ឍន៍គួរដឹងមុនពេលពួកគេចាប់ផ្តើមផ្សាយផ្ទាល់
កំហុសឆ្គងរបស់ AppSec នៅតែអាចកើតមានឡើងក្នុងផលិតកម្ម ជាពិសេសនៅពេលដែលវាត្រូវបានលាក់បាំងដោយភ្នែកទទេ។ មិនថាវាជាសញ្ញាសម្ងាត់ CTF ដែលនៅសល់ សញ្ញាសម្ងាត់ CSRF មិនត្រឹមត្រូវ ឬអាថ៌កំបាំងដែលកប់នៅក្នុងកញ្ចប់ប្រភពបើកចំហនោះទេ ហានិភ័យគឺពិតជាមាន។ អ្នកអភិវឌ្ឍន៍ច្រើនតែសន្មតថាបញ្ហាទាំងនេះគ្មានគ្រោះថ្នាក់នៅក្នុងបរិស្ថានអភិវឌ្ឍន៍ទេ ប៉ុន្តែអ្នកវាយប្រហារចូលចិត្តផ្លែឈើដែលងាយរងគ្រោះ។ នេះជាអ្វីដែលអ្នកត្រូវដឹងមុនពេលចាប់ផ្តើមដំណើរការ។
អាថ៌កំបាំងនៃការបញ្ឈប់ការដឹកជញ្ជូន៖ ហេតុអ្វីបានជាសូម្បីតែថូខឹន CTF ក៏ជាហានិភ័យសុវត្ថិភាពមួយដែរ
ប្រសិនបើអ្នកធ្លាប់ទុកថូខឹន Google CTF ឬអាថ៌កំបាំងក្លែងក្លាយនៅក្នុង repo ដោយគិតថា "វាគ្រាន់តែសម្រាប់សាកល្បងប៉ុណ្ណោះ" អ្នកមិននៅម្នាក់ឯងទេ។ ប៉ុន្តែវាមិនមានសុវត្ថិភាពទេ។ ឧទាហរណ៍សាធារណៈបង្ហាញពីរបៀបដែលថូខឹនដែលលាតត្រដាង សូម្បីតែពីបញ្ហាប្រឈមសុវត្ថិភាពក៏ដោយ ត្រូវបានប្រើប្រាស់ក្នុងការរំលោភលើពិភពពិត។
អាថ៌កំបាំងដែលទុកក្នុងលេខកូដមានគ្រោះថ្នាក់:
- ជារឿយៗពួកវាបញ្ចប់នៅក្នុងកំណត់ហេតុសាងសង់ ឬរូបភាព Docker។
- ពួកវាត្រូវបានប្រើឡើងវិញនៅទូទាំងបរិស្ថានញឹកញាប់ជាងអ្វីដែលអ្នកគិត។
- សូម្បីតែថូខឹន CTF ក៏អាចត្រូវបានកេងប្រវ័ញ្ចផងដែរ នៅពេលដែលផ្គូផ្គងជាមួយនឹងភាពមើលឃើញនៃ repo ឬវត្ថុបុរាណ CI។
ឧទាហរណ៍ជាក់ស្តែង៖ សកម្មភាព GitHub បានលេចធ្លាយព័ត៌មានសម្ងាត់សាកល្បងនៅក្នុងកំណត់ហេតុសាធារណៈដោយសារតែលទ្ធផលលម្អិត។ នោះមិនមែនជាអាថ៌កំបាំងផលិតកម្មទេប៉ុន្តែវាបានផ្តល់គំរូដល់អ្នកវាយប្រហារ។
សញ្ញាសម្ងាត់ CSRF មិនត្រឹមត្រូវ៖ ឧបករណ៍បំបែកកម្មវិធីស្ងាត់ៗ
ការក្លែងបន្លំសំណើឆ្លងកាត់គេហទំព័រ (CSRF) គឺជាការវាយប្រហារមួយដែលបញ្ឆោតកម្មវិធីរុករករបស់អ្នកប្រើប្រាស់ឱ្យធ្វើការស្នើសុំដែលមិនចង់បានទៅកាន់កម្មវិធីគេហទំព័រដែលពួកគេត្រូវបានផ្ទៀងផ្ទាត់។ ការការពារ CSRF ជាធម្មតាដំណើរការដោយបង្កើតថូខឹនដែលត្រូវតែផ្ញើរួមជាមួយនឹងសំណើផ្លាស់ប្តូរស្ថានភាពណាមួយ (ដូចជាការដាក់ស្នើទម្រង់បែបបទ ឬការហៅ API)។ ប្រសិនបើថូខឹនបាត់ ឬមិនត្រឹមត្រូវ សំណើនឹងត្រូវបានរារាំង។
នៅក្នុងកម្មវិធីទំនើបៗ ជាពិសេសកម្មវិធីទំព័រតែមួយ (SPAs) ឬកម្មវិធីខាងក្រោយ API-first ការដំឡើងនេះអាចបរាជ័យដោយស្ងៀមស្ងាត់ ឬក្លាយជាគ្មានប្រសិទ្ធភាព ប្រសិនបើមិនត្រូវបានអនុវត្តត្រឹមត្រូវ។
អ្វីដែលបំបែកការការពារ CSRF នៅថ្ងៃនេះ៖
- គុណលក្ខណៈខូគី SameSite ដែលត្រូវបានកំណត់រចនាសម្ព័ន្ធមិនត្រឹមត្រូវ។
- លំហូរអនុញ្ញាតត្រូវបានបំបែករវាងដែន ឬមីក្រូសេវាកម្ម។
- កង្វះការបន្តថូខឹនបន្ទាប់ពី login ការផ្លាស់ប្តូររបស់រដ្ឋ។
អ្នកមិនត្រូវការស្គ្រីបព្យាបាទដើម្បីបំបែក CSRF ទេ។ អ្វីដែលវាត្រូវការគឺការគ្រប់គ្រងវគ្គមិនល្អ។ កម្មវិធីមួយបានបរាជ័យក្នុងការផ្ទៀងផ្ទាត់ខូគី SameSite របស់វាឡើងវិញបន្ទាប់ពី loginដែលអនុញ្ញាតឱ្យភាពមិនស៊ីគ្នានៃសញ្ញាសម្ងាត់ឆ្លងកាត់ដោយមិនមាននរណាកត់សម្គាល់រហូតដល់អ្នកប្រើប្រាស់បានប៉ះផ្លូវដែលបានការពារ។
អ្វីដែលសំខាន់នោះ ការលេចចេញនូវសារ CSRF token ដែលមិនត្រឹមត្រូវមិនមែនគ្រាន់តែជាបញ្ហា frontend តូចតាចនោះទេ។ វាអាចបង្ហាញពីភាពងាយរងគ្រោះពិតប្រាកដនៅក្នុង session flow ឬការគ្រប់គ្រង token។ វាជាបញ្ហារីករាលដាលនៅក្នុងប្រព័ន្ធផលិតកម្ម មិនមែនគ្រាន់តែជាអ្វីដែលបង្ហាញនៅក្នុងបរិស្ថាន CTF ឬការសាកល្បងអភិវឌ្ឍន៍នោះទេ។
ការលេចធ្លាយអាថ៌កំបាំងនៅក្នុង Pipelineស៖ ហេតុអ្វី CI/CD តើផ្ទៃវាយប្រហារដំបូងរបស់អ្នកគឺជាផ្ទៃវាយប្រហារដំបូងរបស់អ្នកទេ – ថូខឹន CTF
CI របស់អ្នក pipeline ដំណើរការអ្វីៗគ្រប់យ៉ាង៖ កូដ ការកំណត់រចនាសម្ព័ន្ធ ការធ្វើតេស្ត និងកំណត់ហេតុ។ វាក៏ជាកន្លែងដែលអាថ៌កំបាំងត្រូវបានលាតត្រដាងញឹកញាប់បំផុត។
ចំណុចលេចធ្លាយទូទៅ៖
- អាថ៌កំបាំងដែលបានអ៊ិនកូដយ៉ាងរឹងមាំ in .NS ឯកសារ។
- ស្គ្រីបដំឡើងលម្អិត (ឧ. ល្ងាចដំឡើង) ការកត់ត្រាថូខឹនដែលចាក់ចូល។
- អ្នករត់ដែលបានកំណត់រចនាសម្ព័ន្ធខុស ឬសកម្មភាពភាគីទីបីដែលចូលប្រើប្រាស់ព័ត៌មានសម្គាល់។
អ្នកអភិវឌ្ឍន៍ម្នាក់ធ្លាប់បានចាក់បញ្ចូល ថូខឹន CTF សម្រាប់ការបំបាត់កំហុស។ វាបានរួចផុតពីការរួមបញ្ចូលគ្នាចំនួនបី បានបញ្ចប់នៅក្នុងកំណត់ហេតុ ហើយត្រូវបានប្រទះឃើញដោយម៉ាស៊ីនស្កេនដោយស្វ័យប្រវត្តិ បន្ទាប់ពីវាត្រូវបានដាក់លិបិក្រមដោយម៉ាស៊ីនស្វែងរក។
ការគ្រប់គ្រងដែលបានណែនាំ៖
- គោលនយោបាយបរាជ័យលឿនសម្រាប់ .NS អាថ៌កំបាំងនៅក្នុង commits.
- ការសម្អាតកំណត់ហេតុត្រូវបានបើកតាមលំនាំដើម។
- ម៉ាស៊ីនស្កេនពេលវេលាជាក់ស្តែងដូចជា Gitleaks, TruffleHog ឬការរកឃើញសម្ងាត់ GitHub ដើម។
ការពឹងផ្អែកក៏អាចលេចធ្លាយផងដែរ៖ ហានិភ័យនៃកញ្ចប់ប្រភពបើកចំហ និងភាគីទីបី
កញ្ចប់ប្រភពបើកចំហ មិនមានភាពស៊ាំនឹងអាថ៌កំបាំងទេ។ ខ្លះថែមទាំងមានកូនសោពិតប្រាកដដែលបានបង្កប់ដោយកំហុសទៀតផង។ ថ្មីៗនេះ Google CTF បញ្ហាប្រឈមបានធ្វើត្រាប់តាមវ៉ិចទ័រពិតប្រាកដនេះ ដោយបង្ហាញពីរបៀបដែលសូម្បីតែកញ្ចប់ដែលមានចេតនាល្អក៏អាចបង្កហានិភ័យបានដែរ។
ឧទាហរណ៍នៅក្នុងព្រៃ៖
- node_modules/example-creds.json មានថូខឹនសាកល្បង OAuth ដែលត្រូវគ្នានឹងទម្រង់ផលិតកម្ម។
- .env.debug ឯកសារត្រូវបានបោះពុម្ពផ្សាយដោយចៃដន្យជាមួយនឹងសោ API កំឡុងពេលអភិវឌ្ឍន៍មូលដ្ឋាន។
- ឧបករណ៍សម្រាប់ធ្វើតេស្តឯកតា រួមទាំង JWTs ឬព័ត៌មានសម្ងាត់លើពពកដែលមានបំណងសម្រាប់បរិស្ថានផ្ទៃក្នុង។
- ខ្សែក្រវាត់សាកល្បងដែលនៅសេសសល់ដែលបង្កប់នូវសញ្ញាសម្ងាត់ពិត ឬអាថ៌កំបាំងសម្រាប់ការរៀបចំការសាកល្បងកាន់តែងាយស្រួល។
ទាំងនេះមិនមែនជាករណីលើកលែងដ៏កម្រនោះទេ។ ពួកវាកើតឡើងញឹកញាប់គ្រប់គ្រាន់ដើម្បីចាត់ទុកថាជាប្រព័ន្ធ។ អាថ៌កំបាំងនៅក្នុងកញ្ចប់សាធារណៈត្រូវបានសម្គាល់ជាប្រចាំដោយឧបករណ៍ស្កេន ហើយជារឿយៗត្រូវបានខកខាននៅក្នុងការពិនិត្យកូដដោយដៃ។
ហេតុអ្វីបានជាការស្កេនជាបន្តបន្ទាប់មានសារៈសំខាន់៖
- កញ្ចប់ភាគីទីបី អាចផ្លាស់ប្តូរដោយមិនចាំបាច់ជូនដំណឹង។ សូម្បីតែការកែប្រែកំណែតិចតួចក៏អាចបង្កើតឯកសារថ្មីដែលមានទិន្នន័យរសើបផងដែរ។
- ការត្រួតពិនិត្យដោយដៃមិនអាចធ្វើមាត្រដ្ឋានបានទេ; ឧបករណ៍ស្វ័យប្រវត្តិគឺជាមធ្យោបាយតែមួយគត់ដើម្បីចាប់យកអាថ៌កំបាំងដែលបានបង្កប់នៅក្នុងទ្រង់ទ្រាយធំ។
- ប្រើប្រាស់គោលការណ៍ស្វ័យប្រវត្តិដែល ស្កេនភាពអាស្រ័យម្តងហើយម្តងទៀតសម្រាប់អាថ៌កំបាំង, សូម្បីតែនៅក្នុង ម៉ូឌុលថ្នាំងទិន្នន័យសាកល្បង ឬ .NS វត្ថុបុរាណ។
គោលការណ៍បង្កើតគួរតែចាត់ទុកកញ្ចប់សាធារណៈជាមួយនឹងការត្រួតពិនិត្យដូចគ្នានឹងកូដផ្ទៃក្នុងដែរ ពីព្រោះថូខឹន CTF ដែលបានបង្កប់មួយ ឬថូខឹនដែលនៅសល់ .NS ឯកសារគឺគ្រប់គ្រាន់ហើយ។
វិធានការទប់ទល់ DevOps៖ សុវត្ថិភាព CI/CD លំនាំដើមនៃមាត្រដ្ឋាននោះ
ធានាសុវត្ថិភាពរបស់អ្នក pipeline មិនមែនគ្រាន់តែជាឧបករណ៍ប៉ុណ្ណោះទេ វានិយាយអំពីការរៀបចំគោលការណ៍ស្វ័យប្រវត្តិ និង guardrails ដែលចាប់យកគំរូដែលមានហានិភ័យមុនពេលពួកវាទៅដល់ការផលិត។ ពិភពពិត CI/CD អនាម័យ តម្រូវឱ្យមានការអនុវត្តជាបន្តបន្ទាប់ និងការកំណត់លំនាំដើមច្បាស់លាស់ដែលផ្តល់អាទិភាពដល់ការបង្ការ។
ការអនុវត្តដែលបានពង្រីកសម្រាប់សុវត្ថិភាព pipelines:
- ការស្កេនសម្ងាត់ at commit ពេល: ពិនិត្យមើលទាំងអស់ commits និង pull requests ចំពោះអាថ៌កំបាំងជាពិសេស ឯកសារ .env, config.js, ឯកសារ YAML និងលំនាំថូខឹនដែលស្រដៀងនឹង ថូខឹន CTFប្លុកបញ្ចូលគ្នាដោយស្វ័យប្រវត្តិនៅពេលដែលការរំលោភបំពានត្រូវបានរកឃើញ។
- ការអនុវត្តគោលនយោបាយដែលបរាជ័យយ៉ាងឆាប់រហ័សកុំរង់ចាំរហូតដល់ការងារ CI ចប់ ទើបបង្កើតកំហុស។ រៀបចំគោលការណ៍ដែលបញ្ចប់មុនកាលកំណត់ នៅពេលដែលរកឃើញអាថ៌កំបាំង ឬការកំណត់រចនាសម្ព័ន្ធមិនត្រឹមត្រូវ។ វាជួយសន្សំសំចៃពេលវេលា និងការពារកូដមិនល្អពីការវិវត្តបន្ថែមទៀតនៅក្នុង... pipeline.
- ការត្រួតពិនិត្យ និងការកែសម្រួលកំណត់ហេតុកំណត់ហេតុគឺជាប្រភពទូទៅនៃអាថ៌កំបាំងដែលលេចធ្លាយ។ អនុវត្តការសម្អាតកំណត់ហេតុ ឬការបិទបាំងសម្រាប់តម្លៃរសើបដូចជា ការអនុញ្ញាត: បឋមកថា ខូគី និងថូខឹន API។ កំណត់ហេតុសវនកម្មសម្រាប់លំនាំដែលស្រដៀងនឹង Google CTF សញ្ញាសម្គាល់ ឬសញ្ញាសម្គាល់ផ្ទៃក្នុង។
- ការគ្របដណ្តប់ការពារ CSRF៖ រួមបញ្ចូលការធ្វើតេស្តដោយស្វ័យប្រវត្តិដែលផ្ទៀងផ្ទាត់លំហូរវគ្គ និងធានាថាខូគី និងថូខឹន CSRF មានដំណើរការជាប់លាប់ក្រោមលក្ខខណ្ឌ SameSite និងប្រភពដើមឆ្លង។ សម្គាល់បញ្ហាដែលប្រព័ន្ធអាចបង្កើត ឬទទួលយក សញ្ញាសម្ងាត់ CSRF មិនត្រឹមត្រូវ.
- ការបង្វិលសម្ងាត់ដោយបង្ខំ៖ អាថ៌កំបាំង និងថូខឹនត្រូវតែប្តូរវេននៅពេលដែល PRs ត្រូវបានបញ្ចូលគ្នា ឬនៅពេលដែលការលេចធ្លាយត្រូវបានរកឃើញ។ ធ្វើឱ្យលំហូរការងារប្តូរវេនសោដោយស្វ័យប្រវត្តិ ដើម្បីការពារអាថ៌កំបាំងហួសសម័យពីការជាប់គាំងនៅក្នុងបរិយាកាសផលិតកម្ម ឬ CI។
- ជៀសវាងការក្លែងធ្វើក្រុមក្រហមនៅក្នុង devជៀសវាងការបញ្ចូលពាក្យបញ្ជាវាយប្រហារជាក់ស្តែង ឬបន្ទុកទិន្នន័យទៅក្នុងលំហូរ dev ឬ CI សូម្បីតែសម្រាប់គោលបំណងសាកល្បងក៏ដោយ។ ប្រសិនបើបង្ហាញពីតក្កវិជ្ជារកឃើញ សូមប្រើ pseudocode (ឧ. // ឧទាហរណ៍ថូខឹន = ABC123) ហើយសម្គាល់វាថាជាកន្លែងដាក់មិនដំណើរការ។ ការប្រើប្រាស់វាក្យសម្ព័ន្ធកេងប្រវ័ញ្ចពិតប្រាកដមិនត្រឹមត្រូវ សូម្បីតែនៅក្នុងការធ្វើតេស្តក៏ដោយ អាចបង្កផលវិបាកនៅក្នុងកំណត់ហេតុសាធារណៈ ឬអំឡុងពេលសវនកម្ម។
ការយល់ដឹងអំពីសន្តិសុខគួរតែផ្តោតលើការអនុវត្តអនាម័យក្នុងសេណារីយ៉ូជាក់ស្តែង៖ commit-ការស្កេនពេលវេលា ការទប់ស្កាត់សម្ងាត់ និងការផ្ទៀងផ្ទាត់វគ្គ មិនមែនការក្លែងធ្វើការវាយប្រហារសិប្បនិម្មិតទេ។ គោលដៅគឺធ្វើឱ្យសុវត្ថិភាពជាផ្នែកមួយនៃរបៀបដែលក្រុមរបស់អ្នកបង្កើត មិនមែនជាជំហានមួយបន្ទាប់ពីការពិនិត្យកូដនោះទេ។ អ្វីៗគ្រប់យ៉ាងចាប់ពីការស្កេនថូខឹនរហូតដល់ការផ្ទៀងផ្ទាត់ CSRF គួរតែត្រូវបានបញ្ចូលគ្នាទៅក្នុង... pipelineដែលបង្កើត និងសាកល្បងកូដរបស់អ្នក។
ការរកឃើញហានិភ័យក្នុងទ្រង់ទ្រាយធំ៖ របៀបដែល Xygeni ជួយអនុវត្ត DevSecOps
ជាផ្នែកមួយនៃ DevSecOps ដែលមានសុវត្ថិភាព pipeline, ស៊ីហ្គេនី ដើរតួជាស្រទាប់អនុវត្តដែលធ្វើស្វ័យប្រវត្តិកម្មការត្រួតពិនិត្យសុវត្ថិភាពសំខាន់ៗនៅទូទាំង CI/CD វដ្តជីវិត។ តួនាទីរបស់វាមិនមែនដើម្បីជំនួសការអនុវត្តល្អនោះទេ ប៉ុន្តែដើម្បីធានាថាការអនុវត្តទាំងនោះត្រូវបានអនុវត្តជាប់លាប់ ក្នុងទ្រង់ទ្រាយធំ នៅទូទាំងបរិស្ថានចម្រុះ។
Xygeni ធ្វើស្វ័យប្រវត្តិកម្មការគ្រប់គ្រងគន្លឹះនៅទូទាំង pipeline, ដូចជា:
- កំពុងស្កេន pull requests និងសាងសង់ សម្រាប់អាថ៌កំបាំងដែលត្រូវបានលាតត្រដាង រួមទាំងសញ្ញាសម្ងាត់ដែលស្រដៀងនឹង ថូខឹន CTF ឬព័ត៌មានសម្ងាត់ដែលលាក់នៅក្នុងវត្ថុបុរាណសាកល្បង។
- ការរារាំងការដាក់ពង្រាយ if .NS ឯកសារ ឬលំនាំរសើបដែលគេស្គាល់ត្រូវបានរកឃើញនៅក្នុង commits, បង្កើត ឬ ភាពអាស្រ័យ។
- ការបង្ខំឱ្យបង្វិលសម្ងាត់ ពេលបញ្ចូលចូលគ្នាពេលដែលមានការសម្ងាត់ត្រូវបានរកឃើញ ដោយធានាថាថូខឹនដែលហួសសម័យ ឬត្រូវបានលួចចម្លងមិនត្រូវបានទុកឲ្យនៅយូរឡើយ។
- ការកំណត់អត្តសញ្ញាណការកំណត់រចនាសម្ព័ន្ធមិនត្រឹមត្រូវរបស់ CSRFរួមទាំងគំរូដែលអាចបណ្តាលឱ្យមាន សញ្ញាសម្ងាត់ CSRF មិនត្រឹមត្រូវ កំហុស ការសម្គាល់ការមិនស៊ីសង្វាក់គ្នានៃវគ្គ ឬបញ្ហា SameSite។
- ការរួមបញ្ចូល CI-native នៅទូទាំងវេទិកា (GitHub, GitLab, Jenkins, Bitbucket) ដែលអនុញ្ញាតឱ្យគោលការណ៍សុវត្ថិភាពដំណើរការក្នុងលំហូរការងារដែលមានស្រាប់ដោយមិនធ្វើឱ្យអ្នកអភិវឌ្ឍន៍យឺតយ៉ាវ។
ការគ្រប់គ្រងទាំងនេះមិនត្រឹមតែល្អក្នុងការមាននោះទេ ពួកវាបំពេញចន្លោះរវាងការពិនិត្យដោយដៃ និងសុវត្ថិភាពផលិតកម្ម។ ដោយការបង្កប់ច្បាប់សុវត្ថិភាពដោយផ្ទាល់ទៅក្នុង CI pipeline ក្រុមការងារកាត់បន្ថយចំណុចខ្វះខាតដោយមិនចាំបាច់ផ្លាស់ប្តូរឧបករណ៍ ឬទម្លាប់របស់ពួកគេ។
បញ្ជីត្រួតពិនិត្យចុងក្រោយ៖ មុនពេលអ្នកចាប់ផ្តើមផ្សាយផ្ទាល់
| ការត្រួតពិនិត្យសុវត្ថិភាពមុនពេលដាក់ឱ្យដំណើរការ | អ្វីដែលត្រូវផ្ទៀងផ្ទាត់ |
|---|---|
| គ្មានអាថ៌កំបាំងដែលបានអ៊ិនកូដរឹង ឬថូខឹន CTF ដែលនៅសល់ទេ | ត្រូវប្រាកដថាកូដ និងប្រវត្តិទាំងអស់មិនមានថូខឹនសាកល្បង ថូខឹន CTF ឬព័ត៌មានសម្គាល់ណាមួយឡើយ។ |
| ការការពារ CSRF ត្រូវបានផ្ទៀងផ្ទាត់យ៉ាងពេញលេញ | ការធ្វើតេស្ត login/session flows សម្រាប់បញ្ហាដូចជាកំហុស CSRF token មិនត្រឹមត្រូវ ឬបញ្ហា SameSite។ |
| CI/CD pipeline អនាម័យ | រារាំងឯកសារ .env commitស្កេនកំណត់ហេតុ និងការពារការលាតត្រដាងសម្ងាត់នៅក្នុងជំហានសាងសង់។ |
| បានស្កេនភាពអាស្រ័យទាំងអស់ | ពិនិត្យកញ្ចប់ភាគីទីបី និង node_modules សម្រាប់អាថ៌កំបាំងដែលបានបង្កប់ ឬទិន្នន័យសាកល្បង។ |
| ការត្រួតពិនិត្យក្រោយការដាក់ពង្រាយសកម្ម | ត្រួតពិនិត្យការប្រើប្រាស់ថូខឹនខុស ជាពិសេសបឋមកថាការអនុញ្ញាតក្លែងក្លាយ ឬការប្រើប្រាស់ថូខឹនឡើងវិញ។ |
| ការអនុវត្តតាមរយៈគោលនយោបាយ CI (អនាម័យ Google CTF) | អនុវត្តច្បាប់ស្វ័យប្រវត្តិដើម្បីរារាំង PR និងបង្ខំឱ្យមានការបង្វិលប្រសិនបើអាថ៌កំបាំងត្រូវបានរកឃើញ។ |
ហានិភ័យពិតប្រាកដរបស់ AppSec មិនមែនគ្រាន់តែជាការកេងប្រវ័ញ្ចនោះទេ។ វានិយាយអំពីកំហុសប្រចាំថ្ងៃដែលយើងឈប់ចាប់។ ចាប់ផ្តើមកន្លែងដែលវាសំខាន់៖ លេខកូដរបស់អ្នក និងរបស់អ្នក pipeline.
