ការការពារប្រឆាំងនឹងកញ្ចប់ព្យាបាទប្រភពបើកចំហ៖ អ្វីដែល (មិន) ដំណើរការ

នេះជាវគ្គទីបីក្នុងរឿង ស៊េរីនៃអត្ថបទ អំពីប្រភេទនៃការវាយប្រហារខ្សែសង្វាក់ផ្គត់ផ្គង់កម្មវិធីដែលរីករាលដាលបំផុត៖ ការវាយប្រហារទាំងនោះដែលរំលោភលើការចុះបញ្ជីសាធារណៈរបស់ ប្រភព​បើក​ចំហ សមាសធាតុ​កម្មវិធី។ បន្ទាប់ពីការវិភាគនៅក្នុងវគ្គមុន “កាយវិភាគសាស្ត្រនៃកញ្ចប់ព្យាបាទ៖ តើនិន្នាការអ្វីខ្លះ?«របៀបដែលជនអាក្រក់ចាក់ឥរិយាបថព្យាបាទចូលទៅក្នុងសមាសធាតុដែលបានបោះពុម្ពផ្សាយថ្មី ឬដែលមានស្រាប់ យើងបានត្រៀមខ្លួនរួចរាល់ហើយដើម្បីពាក់អាវពន្លត់អគ្គីភ័យរបស់យើង ហើយពិនិត្យមើលពីរបៀបដែលយើងអាចរារាំងកម្មវិធីព្យាបាទដែលបញ្ជូនតាមវិធីនេះដោយជោគជ័យ ឬជាជម្រើសមួយ ដោះស្រាយជាមួយឧប្បត្តិហេតុតាមអ៊ីនធឺណិតធ្ងន់ធ្ងរដែលអាចកើតមាន ពីព្រោះយើងបានប្រើវិធីសាស្រ្តខុស»។

អ្នកជំនាញភាគច្រើនដែលយល់ដឹងអំពីសុវត្ថិភាពមានគំនិតអំពីរបៀបដោះស្រាយការគំរាមកំហែងនេះ។ យើងបានឮអ្នកគ្រប់គ្រងសន្តិសុខនិយាយដោយមិនស្ទាក់ស្ទើរថា SCA ឧបករណ៍​ប្រាប់​អ្នក​រួចហើយ​ថា​តើ​កំណែ​កញ្ចប់​មួយ​ជា​មេរោគ​ឬ​អត់។ ឬ​ថា​ពួកគេ​ពឹងផ្អែក​លើ​សមាសធាតុ​កម្មវិធី​ដែល​ល្បី​និង​ត្រូវ​បាន​ពិនិត្យ​យ៉ាង​ខ្លាំង ដែល​មេរោគ​ណាមួយ​នឹង​ត្រូវ​បាន​រក​ឃើញ​និង​លុប​ចេញ​ភ្លាមៗ។ ពួកគេ​ប្រើ​កំណែ​តូចតាច/បំណះ​បើកចំហ​សម្រាប់​ការ​ជួសជុល​ភាព​ងាយ​រងគ្រោះ​ដោយ​ស្វ័យប្រវត្តិ ហើយ​នោះ​គឺជា​វិធី​ត្រឹមត្រូវ​ដែល​បាន​ណែនាំ​ដើម្បី​កាត់បន្ថយ​ហានិភ័យ​លើ​ការ​ពឹងផ្អែក​របស់​ប្រភព​បើកចំហ ដោយ​ធ្វើតាម "បំណះមុន, បំណះញឹកញាប់គោលការណ៍។ 

នៅក្នុងវគ្គនេះ យើងនឹងពិនិត្យមើលឡើងវិញនូវមូលហេតុដែលគំនិតទាំងនេះខុស និងរបៀបដែលការយល់ច្រឡំបែបនេះរួមចំណែកដល់ប្រជាប្រិយភាពនៃយន្តការវាយប្រហារនេះ និងហានិភ័យដ៏លើសលប់ដែលអង្គការនានាកំពុងជួបប្រទះ។ យើងនឹងបញ្ចប់ដោយអ្វីដែលដំណើរការ ហើយតើការខិតខំប្រឹងប្រែង និងធនធានដែលពាក់ព័ន្ធគឺជាអ្វី។

ការយល់ច្រឡំជាទូទៅ

ក្នុងអំឡុងពេលនៃដំណើររបស់យើងជាមួយនឹងសុវត្ថិភាពកម្មវិធី យើងបានឃើញបច្ចេកទេសវាយប្រហារវិវត្ត និងគំនិតជាច្រើនពីមនុស្សដែលមានស្មារតីសុវត្ថិភាព។ អង្គការនានាច្រើនតែយល់ច្រឡំអំពីអ្វីដែលមានប្រសិទ្ធភាពប្រឆាំងនឹងការគំរាមកំហែងនេះ ដូច្នេះដំបូងយើងនឹងពិនិត្យមើលអ្វីដែលមិនមានប្រសិទ្ធភាព ដែលសង្ខេបជាបញ្ជីនៃការយល់ច្រឡំខាងក្រោម មិនមែនជាបញ្ជីពេញលេញនោះទេ។

ការយល់ច្រឡំលេខ ៣៖ SCA ឧបករណ៍​រាយការណ៍​ពី​សមាសធាតុ​ដែល​មាន​គំនិត​អាក្រក់​រួចហើយ

ជា​ការ​ពិត! ប៉ុន្តែបន្ទាប់ពីការពិត... ពេលដែលប្រហែលជាវាយឺតពេលហើយ ប្រសិនបើធាតុនោះត្រូវបានប្រើនៅក្នុងការបង្កើតកម្មវិធី ហើយជនខិលខូចបានទទួលទីតាំងឈរជើងរួចហើយនៅក្នុងអ្នកអភិវឌ្ឍន៍ ឬ CI/CD ម៉ាស៊ីន។ អាថ៌កំបាំងអាចត្រូវបានច្រោះចេញ មេរោគបន្ថែមត្រូវបានទាញយក និងដំឡើង ហើយប្រហែលជាសត្រូវបានផ្លាស់ទីទៅចំហៀង ហើយទទួលបានសិទ្ធិចូលប្រើនៅកន្លែងផ្សេងរួចហើយ។ 

ការវិភាគសមាសភាពកម្មវិធី (SCA) ឧបករណ៍ត្រូវបានរចនាឡើងដើម្បីកំណត់ភាពងាយរងគ្រោះដែលអាចកើតមាន។ ឧបករណ៍ទំនើបៗធ្វើការងារដ៏អស្ចារ្យដោយបង្កើនសមាមាត្រសញ្ញា-សំឡេងរំខាន ដោយកំណត់ថាតើភាពងាយរងគ្រោះពិតជាអាចទៅដល់បាន ឬអាចកេងប្រវ័ញ្ចបាន។ ប៉ុន្តែពួកវាគ្មានប្រយោជន៍ប្រឆាំងនឹងមេរោគថ្មីទេ។ សូមគិតអំពីសមាសធាតុព្យាបាទជាភាពងាយរងគ្រោះសូន្យថ្ងៃ៖ មានតែនៅពេលដែលឥរិយាបថព្យាបាទរបស់វាត្រូវបានរកឃើញ សមាសធាតុនេះត្រូវបានរាយការណ៍ទៅកាន់បញ្ជីឈ្មោះដែលកាន់កាប់ ដែលបន្ទាប់ពីការពិនិត្យឡើងវិញដោយក្រុមសន្តិសុខត្រូវបានបញ្ជាក់ថាជាព្យាបាទ ហើយត្រូវបានដកចេញពីបញ្ជីឈ្មោះ។ [1]. 

នៅពេលនោះ ពិភពលោក (រួមទាំង SCAs) ដឹងថាការដំឡើង ឬការប្រើប្រាស់សមាសភាគ (ឬកំណែមួយចំនួននៃសមាសភាគដែលមានស្រាប់) មិនមែនជារឿងល្អនោះទេ។ ប៉ុន្តែនេះជាពេលដែលសមាសភាគមិនមានពីបញ្ជីឈ្មោះ។ការដឹងថាខ្ញុំមានភាពងាយរងគ្រោះនៅក្នុងសមាសធាតុភាគីទីបី ឬសូម្បីតែសមាសធាតុដែលត្រូវបានចាត់ថ្នាក់ថាមានគ្រោះថ្នាក់ដោយបញ្ជីឈ្មោះគឺល្អ ប៉ុន្តែជាអកុសល SCA ឬឧបករណ៍សវនកម្មទូទៅមិនជួយក្នុងបរិបទនេះទេ។ លើកលែងតែ SCAឧបករណ៍ /audit ពិតជាអាចដឹងជាមុនថាសមាសធាតុមួយមានគ្រោះថ្នាក់មុនពេលវាត្រូវបានប្រើប្រាស់នៅក្នុងអង្គការរបស់អ្នក។.

សូមចងចាំថា ដំណោះស្រាយណាមួយប្រឆាំងនឹងសមាសធាតុប្រភពបើកចំហដែលមានគំនិតអាក្រក់ត្រូវតែរកឃើញពួកវា ហោះហើររវាងពេលដែលសមាសភាគត្រូវបានបោះពុម្ពផ្សាយនៅក្នុងបញ្ជីឈ្មោះ និងពេលដែលសមាសភាគ (កំណែ) ត្រូវបានប្រើប្រាស់ជាលើកដំបូងនៅក្នុងអង្គការរបស់អ្នក។ ហើយនោះរួមបញ្ចូលទាំងសមាសភាគអន្តរកាលផងដែរ។  

ការយល់ច្រឡំ #2: ការគ្រប់គ្រងស្គ្រីបដំឡើងនៅពេលសាងសង់ការពារឥរិយាបថព្យាបាទពីសមាសធាតុប្រភពបើកចំហ

កម្មវិធីគ្រប់គ្រងកញ្ចប់ផ្សេងៗផ្តល់នូវសមត្ថភាពក្នុងការដំណើរការស្គ្រីប (រួមបញ្ចូលនៅក្នុងសមាសភាគ tarball) [2]), សម្រាប់ហេតុផលស្របច្បាប់ ដូចជាការចងក្រងធាតុដែលត្រូវការនៅលើវេទិកាផ្សេងៗគ្នា ការបង្កើតកូដ ឬការដំណើរការការធ្វើតេស្ត ហើយយើងទាំងអស់គ្នាគួរតែដឹងថា ពួកវាអាចត្រូវបានរំលោភបំពានដោយជនខិលខូច ប្រសិនបើស្គ្រីបព្យាបាទត្រូវបានរួមបញ្ចូលនៅក្នុង tarball ឬប្រសិនបើអ្នកវាយប្រហារអាចធ្វើឱ្យស្គ្រីបព្យាបាទដំណើរការជំនួសឱ្យស្គ្រីបល្អ។

ដោយដឹងរឿងនេះ យើងអាចកំណត់រចនាសម្ព័ន្ធកម្មវិធីគ្រប់គ្រងកញ្ចប់ដើម្បីមិនអើពើស្គ្រីប។ ឧទាហរណ៍ ជាមួយ NPM – មិនអើពើស្គ្រីប ទង់ជាតិ (ឬលក្ខណសម្បត្តិកំណត់រចនាសម្ព័ន្ធនៅក្នុង .npmrc ឯកសារ) រំលងស្គ្រីបកំឡុងពេលដំឡើង។ នេះអាចបង្កើតបញ្ហាមួយចំនួន ពីព្រោះការដំណើរការស្គ្រីបគឺជារឿងធម្មតានៅក្នុងប្រព័ន្ធអេកូឡូស៊ីជាច្រើន៖ កម្មវិធីគ្រប់គ្រងកញ្ចប់មួយចំនួនមិនអនុញ្ញាតឱ្យបិទការប្រតិបត្តិស្គ្រីបទេ (ព័ត៌មានជំនួយ៖ ប្រអប់បញ្ចូល "តើ​កម្មវិធី​គ្រប់គ្រង​កញ្ចប់​ណា​ខ្លះ​ដែល​មិន​អនុញ្ញាត​ឱ្យ​បិទ​ការ​ប្រតិបត្តិ​ស្គ្រីប​ដំឡើង?"នៅក្នុង AI ដែលអ្នកចូលចិត្ត)។ ប៉ុន្តែវាមិនការពារជាទូទៅទេ (យើងត្រូវអនុវត្តថាការកំណត់រចនាសម្ព័ន្ធ skip disable មាននៅគ្រប់ទីកន្លែង)។ 

ហើយនៅពេលដែលឥរិយាបថព្យាបាទមិនស្ថិតនៅក្នុងស្គ្រីបដំឡើងទេ ប៉ុន្តែស្ថិតនៅក្នុងកម្មវិធីដើម្បីប្រតិបត្តិនៅពេលដំណើរការ ជម្រើសនេះតែម្នាក់ឯងមិនអាចការពារយើងបានទេ។ 

ការយល់ច្រឡំ #3: ការខ្ទាស់កំណែការពារសមាសធាតុព្យាបាទពីការដំឡើង

មានការសម្របសម្រួលរវាងការបិទភ្ជាប់ដំបូង និងជាញឹកញាប់ជាមួយ កំណែបើកចំហ (អនុញ្ញាតឱ្យកម្មវិធីគ្រប់គ្រងកញ្ចប់ដំឡើងការអាប់ដេតថ្មីដោយស្វ័យប្រវត្តិនៅពេលដែលមានសម្រាប់ការជួសជុលសុវត្ថិភាព) និង ការ​ខ្ទាស់​កំណែ (មានការពឹងផ្អែកដោយផ្ទាល់ និងអន្តរកាលទាំងអស់សម្រាប់កម្មវិធីនៅក្នុងកំណែថេរ)។ គោលការណ៍សុវត្ថិភាពគឺរឹងរូស និងជួនកាលផ្ទុយគ្នា ដូចដែលកើតឡើងជាមួយ "ការអាប់ដេតមុន ការអាប់ដេតញឹកញាប់" និង «ការធ្វើឱ្យប្រសើរឡើងមិនគួរត្រូវបានមើលស្រាលទេ»។ កម្មវិធីគ្រប់គ្រងកញ្ចប់មួយចំនួនធ្វើការអាប់ដេតដោយស្វ័យប្រវត្តិជាមួយជួរម៉ាស៊ីនមេតាមវិធីដែលបានណែនាំ។ ល្អណាស់ប្រសិនបើអ្នកក៏ចង់ទទួលបានការអាប់ដេតដែលមានគំនិតអាក្រក់ផងដែរ! មែនហើយ សមាសធាតុត្រូវតែធ្វើបច្ចុប្បន្នភាពដើម្បីទទួលបានការជួសជុលសុវត្ថិភាពដែលបិទភាពងាយរងគ្រោះឱ្យបានឆាប់តាមដែលអាចធ្វើទៅបាន ប៉ុន្តែ ... កុំអនុញ្ញាតឱ្យកម្មវិធីគ្រប់គ្រងកញ្ចប់ធ្វើបែបនេះដោយស្វ័យប្រវត្តិ។

ការយល់ច្រឡំទី៤៖ ការប្រើប្រាស់សមាសធាតុដែលអាចទុកចិត្តបានគឺមានសុវត្ថិភាព។ កំណែព្យាបាទណាមួយនឹងត្រូវបានរកឃើញ បង្ហាញ និងដកចេញភ្លាមៗ។

ហេតុអ្វីបានជាសមាសធាតុមួយត្រូវបានគេទុកចិត្ត? អាចដោយសារតែវាមានប្រជាប្រិយភាពខ្ពស់ ដោយមានភ្នែកជាច្រើនកំពុងស្វែងរកចំណុចខ្សោយ មានចំនួនអ្នករួមចំណែកយ៉ាងច្រើនសម្រាប់ការថែទាំ ដោយមានអ្នកថែទាំស្នូលច្រើនដែលពិនិត្យឡើងវិញយ៉ាងយកចិត្តទុកដាក់នូវរាល់... pull requestsការពិតគឺខុសគ្នាទាំងស្រុង។ សមាសធាតុសំខាន់ៗមួយចំនួនត្រូវបានថែរក្សាដោយអ្នកអភិវឌ្ឍន៍តែម្នាក់គត់ដែលមិនទទួលបានប្រាក់កម្រៃ។ ក្របខ័ណ្ឌដែលប្រើប្រាស់យ៉ាងទូលំទូលាយមាន អ្នករួមចំណែកជាប្រចាំមួយចំនួនជាមួយនឹងចំនួនថយចុះយ៉ាងឆាប់រហ័សនៃ commitក្នុងមួយអ្នកថែទាំ (គម្រោងពេញនិយមមានអ្នករួមចំណែកជាច្រើនដែលអនុវត្តការបើកបរដោយប្រើប្រាស់ commit ហើយមិនដែលត្រលប់មកវិញទេ)។ ហើយគម្រោងពេញនិយមដែលមានអ្នកថែទាំតែម្នាក់មានច្រើនក្រៃលែង។

ស្រមៃមើលខ្លួនឯងថានិយាយ «អូ! យើងកំពុងប្រើរូបភាព Spring Boot / Angular / React / PyTorch / មូលដ្ឋានផ្លូវការរបស់ Docker ដូច្នេះហានិភ័យដែលអ្នកកំពុងនិយាយអំពីគឺទាបណាស់»។ ប្រហែលជានោះជាការពិត យើងជាអ្នកលក់សន្តិសុខដែលបំភ័យគ្រប់ពេលវេលា ហើយការជ្រៀតជ្រែកជាមួយក្រុមអភិវឌ្ឍន៍ដើម្បីកាត់បន្ថយហានិភ័យដែលអាចជជែកវែកញែកបានគឺជារឿងមិនសមហេតុផល។ អ្នកប្រហែលជាចង់លោតទៅកថាខណ្ឌទទួលយកហានិភ័យ (នៅក្នុងផ្នែកបន្ទាប់) ហើយរួចរាល់ហើយ។ ជាអកុសល សមាសធាតុដ៏ពេញនិយមបំផុតគឺជាគោលដៅសម្រាប់ជនអាក្រក់ ហើយឧទាហរណ៍ អ្នកប្រើប្រាស់ដ៏ពេញនិយម... បណ្ណាល័យ PyTorch ត្រូវបានវាយប្រហារ ក្នុង​អតីតកាល។

«បានរកឃើញ បង្ហាញ និងដកចេញភ្លាមៗ»។  វាត្រូវចំណាយពេលច្រើនថ្ងៃសម្រាប់សមាសធាតុព្យាបាទថ្មីមួយដែលត្រូវលុបចេញពីបញ្ជីឈ្មោះសាធារណៈ។ បញ្ជីឈ្មោះមានការប្រុងប្រយ័ត្នអំពីការលុបកំណែសមាសធាតុចេញ ដើម្បីផលប្រយោជន៍។ បទពិសោធន៍របស់យើងគឺថា នៅពេលដែលបានរាយការណ៍ពីខាងយើង ពេលវេលាមធ្យមសម្រាប់បញ្ជីឈ្មោះដើម្បីលុបកំណែដែលរងផលប៉ះពាល់គឺ 39 ម៉ោង ច្រើនជាងមួយថ្ងៃកន្លះ។ មានសមាសធាតុព្យាបាទដែលមានរយៈពេលមួយសប្តាហ៍បន្ទាប់ពីការរាយការណ៍ដំបូងរបស់យើងនៅក្នុងបញ្ជីឈ្មោះមុនពេលលុបចេញ។ ហើយក្នុងករណីខ្លះ សមាសធាតុនេះត្រូវបានលុបចេញលុះត្រាតែជនរងគ្រោះ ឬក្រុមហ៊ុនឆ្លើយតបឧប្បត្តិហេតុរាយការណ៍ពីឧប្បត្តិហេតុដែលពាក់ព័ន្ធនឹងសមាសធាតុនោះ។ 

អ្វីដែលមិនដំណើរការប្រឆាំងនឹងសមាសធាតុព្យាបាទ

វិធីសាស្រ្តណាមួយដែលមិនជាក់លាក់នឹងបរាជ័យយ៉ាងវេទនា។ នេះជាការប្រាកដណាស់ អ្នកមិនផ្តល់វិធានការទប់ទល់ប្រកបដោយប្រសិទ្ធភាពសម្រាប់ហានិភ័យដែលទាក់ទងនឹងការគំរាមកំហែងនេះទេ។ 

ជាប្រពៃណី SCA ឧបករណ៍​ប្រាប់អ្នកអំពីមេរោគ​ដែលគេស្គាល់ ប៉ុន្តែមានបង្អួចប៉ះពាល់ធំមួយ។ លុះត្រាតែពួកគេអនុវត្តការរកឃើញមេរោគជាមុនជាមួយនឹងការរារាំងសមាសធាតុព្យាបាទដោយបង្ខំ ពួកគេមិនដំណើរការប្រឆាំងនឹងការគំរាមកំហែងនេះទេ។ 

ការបិទស្គ្រីបដំឡើងអាចជួយបាន ប៉ុន្តែត្រូវការអនុវត្តនៅគ្រប់ទីកន្លែងដែលត្រូវដំឡើងសមាសធាតុ។ ដូចគ្នានឹងការខ្ទាស់កំណែដែរ ព្រោះកំណែមិនអាចត្រូវបានខ្ទាស់ពីស្ថានភាពដំបូងដែលមានសុវត្ថិភាពជារៀងរហូតបានទេ។

ការសន្មត់ថាសមាសធាតុដ៏ពេញនិយមទទួលបានការចាប់អារម្មណ៍គ្រប់គ្រាន់ដែលពួកវាមិនអាចត្រូវបានចាក់បញ្ចូលជាមួយនឹងឥរិយាបថដែលមិនបានគ្រោងទុកនៅក្នុងការវាយប្រហារខ្សែសង្វាក់ផ្គត់ផ្គង់ដោយគ្មានការរកឃើញភ្លាមៗដើម្បីការពារការខូចខាតណាមួយគឺជារឿងឆោតល្ងង់ និងមានហានិភ័យ។ អ្នកមិនចង់រស់នៅលើគែមទេ មែនទេ?

បើឈប់ត្រឹមចំណុចនេះទៀត ការទទួលយកហានិភ័យ គឺជារឿងតែមួយគត់ដែលអ្នកអាចធ្វើបាន៖ នេះគឺជា decisចំណុច​ដែល​ត្រូវ​កត់ត្រា​ទុក​ក្នុង​គំរូ​គំរាមកំហែង/ការវាយតម្លៃហានិភ័យរបស់អ្នក រួមទាំងហេតុផលសម្រាប់ការទទួលយកហានិភ័យ និងផលវិបាកដែលអាចកើតមានរបស់វា។ បង្កើនការយល់ដឹងដោយទំនាក់ទំនងវាទៅកាន់ថ្នាក់គ្រប់គ្រង និងភាគីពាក់ព័ន្ធផ្សេងទៀត។ មួយចំនួន យថាភាព អាចត្រូវបានគ្រោងទុកនៅពេលដែលសមាសធាតុព្យាបាទត្រូវបានដំឡើង ឬរួមបញ្ចូលនៅក្នុងកម្មវិធីរបស់អ្នក ប៉ុន្តែនេះពិបាកណាស់ ពីព្រោះអ្នកវាយប្រហារមានផ្លូវជាច្រើនដែលត្រូវដើរតាម។ ព័ត៌មានលម្អិតនៃការវាយប្រហារខ្សែសង្វាក់ផ្គត់ផ្គង់ដែលផ្អែកលើការប្រើប្រាស់សមាសធាតុព្យាបាទនឹងផ្លាស់ប្តូរការបង្ហាញជាសាធារណៈនៃឧប្បត្តិហេតុនេះយ៉ាងខ្លាំង ដែលទំនងជាចាំបាច់ក្រោមក្របខ័ណ្ឌបទប្បញ្ញត្តិរបស់អង្គការរបស់អ្នក។ អ្នកក៏អាចដោះស្រាយផងដែរ ការគ្រប់គ្រងសំណង or ហានិភ័យនៃការផ្ទេរ ឧទាហរណ៍ជាមួយនឹងការធានារ៉ាប់រង។

ទោះយ៉ាងណាក៏ដោយ មានការគ្រប់គ្រងដែលដោះស្រាយការគំរាមកំហែង ហើយគួរតែត្រូវបានពិចារណា ប្រសិនបើអ្នកមិនពេញចិត្តនឹងការទទួលយកហានិភ័យ។ សូមអានបន្ត។

តើ​អ្វី​ទៅ​ដែល​ដំណើរការ​ប្រឆាំង​នឹង​ការ​វាយប្រហារ​ដោយ​ប្រើ​សមាសធាតុ​ព្យាបាទ?

ការដោះស្រាយកំណែរឹង

ការ​ដាក់​កូដ​កំណែ​ជាមួយ​នឹង​ការ​បង្កើន​ល្បឿន​កំណែ​ដែល​បាន​គ្រប់គ្រង និង​បាន​ផ្តល់​ព័ត៌មាន​គ្រប់គ្រាន់ គឺជា​មធ្យោបាយ​ដែល​ត្រូវ​ធ្វើ ដើម្បី​ធ្វើ​ឲ្យ​មាន​តុល្យភាព​រវាង​តម្រូវការ​ក្នុង​ការ​លុប​ចំណុច​ខ្សោយ​ដោយ​មិន​ទទួល​បាន​មេរោគ។ ប៉ុន្តែ​សូម​ចងចាំ​ការ​យល់​ច្រឡំ​ទី 3៖ ការ​ដាក់​កូដ​កំណែ​តែ​មួយ​មុខ​មិន​គ្រប់គ្រាន់​ដើម្បី​ទប់ស្កាត់​កូដ​ព្យាបាទ​ដែល​មក​ពី​កំណែ​ថ្មី​នោះ​ទេ ព្រោះ​អ្នក​នឹង​ត្រូវ​ការ​នៅ​ពេល​អនាគត​ដើម្បី​ធ្វើ​បច្ចុប្បន្នភាព​កំណែ​ក្នុង​ភាព​អាស្រ័យ​ផ្ទាល់ ឬ​ដោយ​ប្រយោល។ នៅ​ពេល​នោះ អ្នក​ត្រូវ​ការ​ភស្តុតាង​ដែល​រឹងមាំ​គ្រប់គ្រាន់​ថា កំណែ​ដែល​បាន​កែប្រែ​ទាំងអស់​មិន​មាន​មេរោគ​ទេ។

ការព្រមានជាមុន

វិធីសាស្រ្តមួយចំពោះបញ្ហានៃសមាសធាតុព្យាបាទគឺប្រព័ន្ធព្រមានមុន (ដែលមានឈ្មោះនៅទីនេះថា ការព្រមានជាមុនអំពីមេរោគ ឬ MEW) ដែលកំណែថ្មីដែលបានបោះពុម្ពផ្សាយ (សម្រាប់សមាសធាតុថ្មី ឬដែលមានស្រាប់) ត្រូវបានវិភាគដោយម៉ាស៊ីនរកឃើញ ដែលនៅពេលដែលរកឃើញភស្តុតាងគ្រប់គ្រាន់អាចចាត់ថ្នាក់កំណែថ្មីថាមានគ្រោះថ្នាក់។ 

ស្វ័យប្រវត្តិកម្មគឺមានសារៈសំខាន់នៅទីនេះ ព្រោះវាមិនអាចទៅរួចទេក្នុងការពិនិត្យឡើងវិញនូវសមាសធាតុថ្មីទាំងអស់ដោយដៃក្នុងអត្រាបោះពុម្ពផ្សាយបច្ចុប្បន្ន។ ដូច្នេះម៉ាស៊ីនរកឃើញត្រូវបញ្ចូលគ្នានូវបច្ចេកទេសជាច្រើន ប្រហែលជារួមទាំងការវិភាគឋិតិវន្ត ថាមវន្ត និងសមត្ថភាព កេរ្តិ៍ឈ្មោះអ្នកប្រើប្រាស់ និងភស្តុតាងដែលមកពីភាពខុសគ្នារវាងទិន្នន័យមេតាសមាសធាតុ និងខ្លឹមសារ tarball ឬរវាង tarball និងឃ្លាំងប្រភពដែលសមាសធាតុនោះសន្មត់ថាមកពី។

នៅ​ទីនោះ​គឺ​ជា តំបន់ងងឹត រវាងពេលវេលាបោះពុម្ពផ្សាយ និងពេលដែលម៉ាស៊ីនវិភាគមាតិកាសមាសធាតុ ប៉ុន្តែវាមិនគួរលើសពីពីរបីនាទីទេ។ គ្រោងការណ៍អាចត្រូវបានកែប្រែ ឧទាហរណ៍ដោយរង់ចាំសមាសធាតុថ្មីត្រូវបានវិភាគ មុនពេលអនុញ្ញាតឱ្យពួកវាត្រូវបានដំឡើង និងប្រើប្រាស់នៅក្នុងការបង្កើតកម្មវិធី។ pipelineឬវិភាគពួកវាតាមតម្រូវការនៅពេលចាំបាច់។ សមាសភាគនៅក្នុងកំណែដែលបានផ្តល់ឱ្យគឺមិនផ្លាស់ប្តូរទេ។ [3]ដូច្នេះវាត្រូវការវិភាគតែម្តងគត់។