ឡូហ្គោ Xygeni ពណ៌ស
ចាប់ផ្តើមដោយឥតគិតថ្លៃ
កក់ការបង្ហាញសាកល្បង
ក្របខ័ណ្ឌគំរូគំរាមកំហែង Step

គំរូគំរាមកំហែង STRIDE៖ ក្របខ័ណ្ឌ "អ្វីដែលអាចខុស?"

​មាតិកា

ប្រកាសដែលត្រូវតែអាន

STRIDE គឺជាក្របខ័ណ្ឌគំរូគំរាមកំហែងមួយ ដែលបង្កើតឡើងដោយក្រុមហ៊ុន Microsoft ដែលរៀបចំហានិភ័យសុវត្ថិភាពជាប្រាំមួយប្រភេទ៖ ការក្លែងបន្លំ ការក្លែងបន្លំ ការបដិសេធ ការបង្ហាញព័ត៌មាន ការបដិសេធសេវាកម្ម និងការលើកកម្ពស់សិទ្ធិ។ វាផ្តល់ឱ្យអ្នកអភិវឌ្ឍន៍នូវវិធីដដែលៗដើម្បីសួរថា "តើមានអ្វីអាចខុសនៅទីនេះ?" នៅដំណាក់កាលណាមួយនៃវដ្តជីវិតរបស់កម្មវិធី។

ហេតុអ្វីបានជាអ្នកអភិវឌ្ឍន៍គួរប្រើគំរូគំរាមកំហែង STRIDE នៅក្នុងគម្រោងកម្មវិធី?

ប្រសិនបើអ្នកកំពុងដឹកជញ្ជូនលេខកូដ ការគ្រប់គ្រង pipelineស ឬ ប៉ះ CI/CD ទោះជាយ៉ាងណាក៏ដោយ ការធ្វើគំរូគំរាមកំហែង STRIDE ត្រូវតែជាផ្នែកមួយនៃឧបករណ៍របស់អ្នក។ STRIDE តំណាងឱ្យ Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service និង Elevation of Privilege ដែលជាប្រភេទនៃការគំរាមកំហែងសុវត្ថិភាពចំនួនប្រាំមួយដែលអ្នកអភិវឌ្ឍន៍ត្រូវតែពិចារណាពេញមួយវដ្តជីវិតរបស់កម្មវិធី។

បង្កើតឡើងដោយក្រុមហ៊ុន Microsoft នៅដើមទសវត្សរ៍ឆ្នាំ 2000ក្របខ័ណ្ឌគំរូគំរាមកំហែង STRIDE អាចហាក់ដូចជាវិធីសាស្រ្តបែបបុរាណ។ ប៉ុន្តែចំណុចខ្លាំងរបស់វាស្ថិតនៅក្នុងភាពសាមញ្ញដ៏អស់កល្បរបស់វា៖ វាជួយក្រុមឱ្យសួរជាប្រព័ន្ធថា "តើមានអ្វីអាចខុសនៅទីនេះ?" ទោះបីជាការចែកចាយកម្មវិធីបានវិវត្តន៍យ៉ាងណាក៏ដោយ ជាមួយនឹងស្ថាបត្យកម្មដើមលើពពក កុងតឺន័រ និង CI/CD pipelines, STRIDE នៅតែមានភាពពាក់ព័ន្ធខ្ពស់។ វាស្របគ្នាយ៉ាងល្អឥតខ្ចោះជាមួយនឹងតម្រូវការរបស់ DevSecOps ទំនើប ដោយផ្តល់ជូននូវវិធីសាស្រ្តជាក់ស្តែង និងងាយស្រួលសម្រាប់អ្នកអភិវឌ្ឍន៍ ដើម្បីកំណត់ និងដោះស្រាយហានិភ័យសុវត្ថិភាពជាមុន។

នេះមិនមែនជាគំរូទ្រឹស្តីដែលរក្សាទុកសម្រាប់ការធ្វើសវនកម្ម ឬការធ្វើកោសល្យវិច័យក្រោយការស្លាប់នោះទេ។ គំរូគំរាមកំហែង STRIDE គឺជាផែនទីរបស់អ្នកសម្រាប់ស្វែងរកចំណុចខ្សោយមុនពេលអ្នកវាយប្រហារធ្វើ។ មិនថាអ្នកកំពុងសរសេរស្គ្រីបដាក់ពង្រាយ ការពិនិត្យឡើងវិញនូវ... pull requestឬភ្ជាប់សេវាកម្មភាគីទីបី STRIDE លាតត្រដាងមុំដែលអ្នកវាយប្រហារអាចកេងប្រវ័ញ្ច។

DevSecOps មានន័យថា ការបង្កើតកម្មវិធីដែលមានសុវត្ថិភាពតាំងពីដំបូង។ STRIDE មិនមែននិយាយអំពីការធ្វើឱ្យអ្នកយឺតយ៉ាវនោះទេ វានិយាយអំពីការកាត់បន្ថយការភ្ញាក់ផ្អើលនៅពេលក្រោយដោយការត្រួតពិនិត្យរឿងត្រឹមត្រូវឥឡូវនេះ។ ការអនុវត្តជាបន្តបន្ទាប់នៃក្របខ័ណ្ឌគំរូគំរាមកំហែង STRIDE ពង្រឹងសមត្ថភាពរបស់អ្នកក្នុងការទស្សន៍ទាយ និងដោះស្រាយបញ្ហាតាំងពីដំបូង។

ការវិភាគរហ័ស៖ ប្រភេទ STRIDE ដែលអ្នកអភិវឌ្ឍន៍ត្រូវយល់

គំរូគំរាមកំហែង STRIDE បំបែកការគំរាមកំហែងជាប្រាំមួយប្រភេទ។ ប្រភេទនីមួយៗផ្គូផ្គងទៅនឹងចំណុចឈឺចាប់ទូទៅនៅក្នុងកម្មវិធី និងហេដ្ឋារចនាសម្ព័ន្ធ។

S: ការសើចចំអក អត្តសញ្ញាណ (ធ្វើពុតជាអ្នកណា) ហានិភ័យ៖ អ្នកប្រើប្រាស់ ឬសេវាកម្មដែលគ្មានការអនុញ្ញាតធ្វើពុតជានរណាម្នាក់ដែលពួកគេមិនមែនជា។ ឧទាហរណ៍៖ កម្មវិធីដំណើរការ CI ដែលរងការសម្របសម្រួលធ្វើពុតជាអ្នកដាក់ពង្រាយដែលគួរឱ្យទុកចិត្ត ហើយជំរុញការផ្លាស់ប្តូរដែលមិនមានសុវត្ថិភាព។ CI/CD សេណារីយ៉ូ៖ អ្នកវាយប្រហារទទួលបានសិទ្ធិចូលប្រើភ្នាក់ងារ CI ហើយបង្កឲ្យមានការដំណើរការការងារដែលហាក់ដូចជាមកពីសមាជិកក្រុមដែលគួរឱ្យទុកចិត្ត។

T: ការរំខាន ហានិភ័យជាមួយទិន្នន័យ ឬកូដ (លេងសើចនឹងរបស់របររបស់អ្នក)៖ អ្នកវាយប្រហារផ្លាស់ប្តូរកូដ ការកំណត់រចនាសម្ព័ន្ធ ឬវត្ថុបុរាណដោយមិនមាននរណាកត់សម្គាល់។ ឧទាហរណ៍៖ ស្គ្រីបក្លែងក្លាយកែប្រែរូបភាពកុងតឺន័រក្នុងអំឡុងពេលដំណើរការបង្កើត។ CI/CD សេណារីយ៉ូ៖ ជំហានសាងសង់មួយត្រូវបានផ្លាស់ប្តូរដោយស្ងៀមស្ងាត់ ដើម្បីដាក់ពង្រាយរូបភាពដែលបានកែប្រែពីប្រភពដែលគ្មានការអនុញ្ញាត។

R: ការបដិសេធ (គ្មានភស្តុតាងបញ្ជាក់ថាអ្នកណាបានធ្វើអ្វី) ហានិភ័យ៖ កង្វះការទទួលខុសត្រូវ ឬដានសវនកម្ម។ ឧទាហរណ៍៖ ការរួមបញ្ចូលគ្នាកើតឡើងដោយមិនបានផ្ទៀងផ្ទាត់ថាអ្នកណាបានអនុម័ត ឬនិពន្ធវា។ CI/CD សេណារីយ៉ូ៖ ការបង្កើត និងការដាក់ពង្រាយដំណើរការដោយមិនកត់ត្រាថាអ្នកណាជាអ្នកផ្តួចផ្តើមពួកវាទេ ដែលធ្វើឱ្យពិបាកក្នុងការតាមដានបញ្ហា។

ខ្ញុំ៖ ការបង្ហាញព័ត៌មាន (អាថ៌កំបាំងលេចធ្លាយ) ហានិភ័យ៖ ទិន្នន័យរសើបលេចធ្លាយនៅក្នុងកំណត់ហេតុ ការបង្កើត ឬវត្ថុបុរាណ។ ឧទាហរណ៍៖ អាថ៌កំបាំងត្រូវបានបោះពុម្ពទៅក្នុងកំណត់ហេតុក្នុងអំឡុងពេលប្រតិបត្តិស្គ្រីបបរាជ័យ។ CI/CD សេណារីយ៉ូ៖ អថេរបរិស្ថានដែលមានអាថ៌កំបាំងត្រូវបានលាតត្រដាងនៅក្នុង pipeline កំណត់ហេតុ ឬសារកំហុស។

ឃ: ការបដិសេធសេវាកម្ម (សម្លាប់ធនធានរបស់អ្នក) ហានិភ័យ៖ ដំណើរការ ឬសេវាកម្មក្លាយជាមិនអាចប្រើបានដោយសារតែតក្កវិជ្ជាមិនល្អ ឬការរំលោភបំពាន។ ឧទាហរណ៍៖ រង្វិលជុំការងារគ្មានកំណត់ធ្វើឱ្យស្ទះជួរ CI។ CI/CD សេណារីយ៉ូ៖ ការកំណត់រចនាសម្ព័ន្ធមិនត្រឹមត្រូវ pipeline បង្ក​ឲ្យ​មាន​ការ​រំខាន​ញឹកញាប់​ពេក ដែល​ប្រើប្រាស់​សមត្ថភាព​អ្នក​រត់​ទាំងអស់​ដែល​មាន។

E: ការកាត់បន្ថយសិទ្ធិ (ការទទួលបានសិទ្ធិចូលប្រើប្រាស់ច្រើនជាងការអនុញ្ញាត) ហានិភ័យ៖ អ្នកប្រើប្រាស់ ឬសេវាកម្មកំពុងទទួលបានការអនុញ្ញាតដែលពួកគេមិនគួរមាន។ ឧទាហរណ៍៖ ក pipeline ការងារដំណើរការជាមួយនឹងការចូលប្រើកម្រិតផលិតកម្មដែលវាមិនគួរមាន។ CI/CD សេណារីយ៉ូ៖ ការងាររបស់អ្នករួមចំណែកត្រូវបានប្រតិបត្តិដោយមានការអនុញ្ញាតកម្រិតខ្ពស់ដោយសារតែការគ្រប់គ្រងការចូលប្រើដែលត្រូវបានកំណត់រចនាសម្ព័ន្ធមិនត្រឹមត្រូវ។

ការធ្វើគំរូគំរាមកំហែង STRIDE នៅក្នុង DevOps៖ តារាងយោងរហ័ស

ប្រភេទហានិភ័យ DevOpsឧទាហរណ៍នៃពិភពលោកពិត
ការសើចចំអកការក្លែងបន្លំអ្នកប្រើប្រាស់ ឬសេវាកម្មអ្នករត់ CI ក្លែងបន្លំអ្នកដាក់ពង្រាយផលិតកម្ម
ការរំខានការផ្លាស់ប្តូរលេខកូដ ឬការកំណត់រចនាសម្ព័ន្ធដែលគ្មានការអនុញ្ញាតស្គ្រីបព្យាបាទនៅក្នុងការពង្រាយ pipeline
ការបដិសេធគ្មានកំណត់ហេតុ ឬដានសវនកម្មសម្រាប់សកម្មភាពទេបញ្ចូលគ្នាជាមួយគ្មាន commit ហត្ថលេខា ឬ ការត្រួតពិនិត្យផ្លូវ
ព័ត៌មានបង្ហាញការលេចធ្លាយអាថ៌កំបាំងនៅក្នុងកំណត់ហេតុ ឬសំណង់លិខិតសម្គាល់ដែលបានបោះពុម្ពទៅក្នុងកំណត់ហេតុ CI
ការបដិសេធសេវាកម្មការអស់កម្លាំងធនធាន ឬការរំខានដល់ដំណើរការការងារហៅខ្លួនឯង។ pipeline ការងារ​ធ្វើ​ឲ្យ​អ្នក​រត់​ច្រើន​លើសលប់
ការកាត់បន្ថយសិទ្ធិការអនុញ្ញាតចូលប្រើហួសហេតុសម្រាប់អ្នកប្រើប្រាស់ ឬដំណើរការDev pipeline ថូខឹនដែលមានសិទ្ធិចូលប្រើផលិតផល

ការអនុវត្ត STRIDE ទៅលើលំហូរការងារ DevOps

ការក្លែងបន្លំនៅក្នុង DevOps CI/CD Pipelines

ដំណើរការដែលគ្មានការអនុញ្ញាតក្លែងបន្លំជាមនុស្សដែលទុកចិត្ត pipeline ដំណាក់កាល។ ឃ្លាំងផ្ទុកទិន្នន័យ៖ គណនីអ្នកចូលរួមដែលរងការគំរាមកំហែងរុញកូដព្យាបាទក្រោមឈ្មោះអ្នកប្រើប្រាស់ស្របច្បាប់។ ការពឹងផ្អែក៖ កញ្ចប់ព្យាបាទប្រើឈ្មោះស្រដៀងគ្នាទៅនឹងបណ្ណាល័យពេញនិយម (typosquatting) ដើម្បីមើលទៅគួរឱ្យទុកចិត្ត។

ការក្លែងបន្លំនៅក្នុង DevOps CI/CD Pipelines

ស្គ្រីបដាក់ពង្រាយដែលបានកែប្រែផ្លាស់ប្តូរកុងតឺន័រ ឬបញ្ចូលពាក្យបញ្ជាក្លែងក្លាយ។ ការរក្សាទុកឡើងវិញ៖ បង្ខំ commitការពិនិត្យកូដរំលង ការចាក់បញ្ចូលទ្វារក្រោយ។ ភាពអាស្រ័យ៖ ការអាប់ដេតព្យាបាទចំពោះបណ្ណាល័យណែនាំមុខងារដែលលាក់។

ការបដិសេធនៅក្នុង DevOps CI/CD Pipelines

ការដាក់ពង្រាយត្រូវបានបង្កឡើងដោយមិនចាំបាច់កត់ត្រាថាអ្នកណាជាអ្នកផ្តួចផ្តើមពួកវាទេ។ ការរក្សាទុក៖ កង្វះខាត commit ការចុះហត្ថលេខាធ្វើឱ្យវាមិនអាចផ្ទៀងផ្ទាត់ប្រភពដើមនៃការផ្លាស់ប្តូរបានទេ។ ភាពអាស្រ័យ៖ ការផ្លាស់ប្តូរកញ្ចប់ត្រូវបានទាញចេញដោយគ្មានកំណត់ហេតុផ្លាស់ប្តូរ ឬហត្ថលេខាដែលអាចផ្ទៀងផ្ទាត់បានឡើយ។

ការបង្ហាញព័ត៌មាននៅក្នុង DevOps CI/CD Pipelines

អាថ៌កំបាំងត្រូវបានបង្ហាញនៅក្នុងលទ្ធផលកំណត់ហេតុដោយសារតែការបំបាត់កំហុសលម្អិត។ ឃ្លាំងសម្ងាត់៖ ឯកសារ .env ឬអាថ៌កំបាំងការកំណត់រចនាសម្ព័ន្ធដោយចៃដន្យ commitបាន​បញ្ជូន​ទៅ​កាន់​ការ​គ្រប់គ្រង​ប្រភព។ ភាពអាស្រ័យ៖ កញ្ចប់​ដែល​មាន​ការអនុញ្ញាត​ដែល​បាន​កំណត់​រចនាសម្ព័ន្ធ​ខុស​បង្ហាញ​ឯកសារ​រសើប។

ការបដិសេធសេវាកម្មនៅក្នុង DevOps CI/CD Pipelines

កម្មវិធី​រត់​ផ្ទុក​លើស​ចំណុះ​ដោយសារ​តែ​រង្វិលជុំ​បង្ក​ឲ្យ​មាន​ការ​រំខាន​គ្មាន​កំណត់។ Repos៖ ការ​រួមចំណែក​ព្យាបាទ​ជាមួយ​ឯកសារ​ធំៗ​ខ្លាំង ឬ​បង្ក​ឲ្យ​មាន​ការ​រំខាន​ក្នុង​ការ​បង្កើត​ស្មុគស្មាញ។ ភាព​អាស្រ័យ៖ បណ្ណាល័យ​ដែល​ធ្វើ​ឡើង​វិញ ឬ​បណ្ណាល័យ​ដែល​បាន​ធ្វើ​ឲ្យ​ប្រសើរ​ឡើង​មិន​ល្អ​ប្រើប្រាស់​ធនធាន​ប្រព័ន្ធ​ច្រើន​ពេក។

ការលើកកម្ពស់សិទ្ធិពិសេសនៅក្នុង DevOps CI/CD Pipelines

ថូខឹនដែលបានចែករំលែកអនុញ្ញាតឱ្យការងារដែលមិនមែនជាអ្នកគ្រប់គ្រងអនុវត្តភារកិច្ចរដ្ឋបាល។ hooks ឬស្គ្រីបស្វ័យប្រវត្តិកម្មដំណើរការដោយមានសិទ្ធិដែលមិនចាំបាច់។ ភាពអាស្រ័យ៖ បណ្ណាល័យភាគីទីបីប្រតិបត្តិស្គ្រីបដំឡើងដោយមានសិទ្ធិចូលប្រើជា root កំឡុងពេលសាងសង់។

ឧទាហរណ៍ក្នុងជួរ៖ មុន និងក្រោយការប្រើប្រាស់ STRIDE

ឧទាហរណ៍នៃការបដិសេធ៖ មិនបានចុះហត្ថលេខា Commits

អ្វីដែលកំពុងត្រូវបានជួសជុល៖ ការទប់ស្កាត់ការរួមបញ្ចូលគ្នាដែលមិនបានធ្វើសវនកម្មដោយការផ្ទៀងផ្ទាត់ commit ហត្ថលេខា។

មុនពេលមានការយល់ដឹងអំពី STRIDE
// Anyone can commit and push, no verification of who or with what identity

git commit -m "update deploy config"

git push origin main



// No branch protection: unsigned, unverified commits merge freely

// .github/settings.yml (missing or absent)

គ្មានហត្ថលេខា គ្មានអ្នកពិនិត្យដែលតម្រូវឲ្យមាន ហើយគ្មានវិធីដើម្បីបញ្ជាក់នៅពេលក្រោយថាអ្នកណាជាអ្នកនិពន្ធការផ្លាស់ប្តូរនេះ ឬថាតើវាត្រូវបានកែប្រែក្នុងពេលដឹកជញ្ជូនឬអត់នោះទេ។

បន្ទាប់ពីការយល់ដឹងអំពី STRIDE
// Commit signing enabled and enforced locally

git config commit.gpgsign true

git commit -S -m "update deploy config"

git push origin main



// Branch protection requires signed commits before merge

// .github/settings.yml

branches:

  - name: main

    protection:

      required_signatures: true

      required_pull_request_reviews:

        required_approving_review_count: 1

ឥឡូវនេះជារៀងរាល់ commit on main មានហត្ថលេខាដែលអាចផ្ទៀងផ្ទាត់បាន និងមិនមានហត្ថលេខា commits ត្រូវបានបដិសេធនៅកម្រិតសាខា ដោយបិទគម្លាតនៃការបដិសេធ។

ឧទាហរណ៍នៃការបង្ហាញព័ត៌មាន៖ អាថ៌កំបាំងនៅក្នុងកំណត់ហេតុ

អ្វីដែលកំពុងត្រូវបានជួសជុល៖ ការទប់ស្កាត់ការលេចធ្លាយសម្ងាត់ដោយជៀសវាងការបោះពុម្ពដោយផ្ទាល់នៃអថេរបរិស្ថានដែលងាយរងគ្រោះ។

មុនពេលមានការយល់ដឹងអំពី STRIDE
// CI job prints the secret directly to logs for "debugging"

steps:

  - name: Deploy

    run: |

      echo "Using API key: $API_KEY"

      curl -H "Authorization: Bearer $API_KEY" https://api.example.com/deploy

ប្រសិនបើការងារនេះបរាជ័យ ឬមិត្តរួមក្រុមមានសិទ្ធិចូលប្រើកំណត់ហេតុ $API_KEY ឥឡូវនេះកំពុងស្ថិតនៅក្នុងទម្រង់អត្ថបទធម្មតានៅក្នុងប្រវត្តិ CI ដែលអាចមើលឃើញដោយអ្នកណាម្នាក់ដែលមានសិទ្ធិអាន pipeline.

បន្ទាប់ពីការយល់ដឹងអំពី STRIDE
// Secret is referenced, never printed, and CI masks it by default

steps:

  - name: Deploy

    run: |

      curl -H "Authorization: Bearer ${{ secrets.API_KEY }}" https://api.example.com/deploy

    env:

      API_KEY: ${{ secrets.API_KEY }}

កូនសោត្រូវបានទាញចេញពីឃ្លាំងសម្ងាត់ CI នៅពេលដំណើរការ មិនដែលបន្លឺទៅ stdout ទេ ហើយវេទិកា CI ភាគច្រើននឹងបិទបាំងវាដោយស្វ័យប្រវត្តិនៅក្នុងកំណត់ហេតុ ទោះបីជាវាលេចឡើងក្នុងលទ្ធផលដោយចៃដន្យក៏ដោយ។

របៀបដែលអ្នកអភិវឌ្ឍន៍អាចអនុវត្ត STRIDE ដោយមិនចាំបាច់មានប្រវត្តិសុវត្ថិភាព

ប្រសិនបើអ្នកកំពុងធ្វើការនៅក្នុង DevSecOps គំរូគំរាមកំហែង គួរតែក្លាយជាធម្មជាតិទីពីរ។ ដោយការប្រើប្រាស់ការធ្វើគំរូគំរាមកំហែង STRIDE ជាមគ្គុទ្ទេសក៍ក្នុងអំឡុងពេលពិនិត្យ និងរៀបចំស្វ័យប្រវត្តិកម្ម អ្នកអាចរំពឹងទុកបញ្ហាមុនពេលពួកវាឈានដល់ការផលិត។

អ្នកមិនចាំបាច់ជាអ្នកជំនាញសន្តិសុខទេ។ គ្រាន់តែសួរសំណួរដែលមានមូលដ្ឋានលើ STRIDE ក្នុងអំឡុងពេលដំណើរការការងារធម្មតារបស់អ្នក៖

អំឡុងពេលពិនិត្យលេខកូដ៖

  • តើ​មាន​អ្នក​ណា​ម្នាក់​អាច​ក្លែង​បន្លំ​អត្តសញ្ញាណ​នៅ​ទីនេះ​បាន​ទេ?
  • តើរឿងនេះអាចត្រូវបានកែប្រែដែរឬទេ?

ក្នុងកំឡុងពេល CI/CD ពិនិត្យឡើងវិញ៖

  • តើអាថ៌កំបាំងត្រូវបានលាតត្រដាងនៅកន្លែងណាមួយទេ?
  • តើសកម្មភាពនីមួយៗអាចតាមដានបានទេ?

អំឡុងពេលវិភាគការពឹងផ្អែក៖

  • តើយើងកំពុងទាញយកពីប្រភពដែលបានផ្ទៀងផ្ទាត់មែនទេ?
  • តើ​ភាពអាស្រ័យ​នេះ​អាច​បង្កើន​សិទ្ធិ​របស់​វា​បាន​ទេ?

ហើយបន្ទាប់មកធ្វើស្វ័យប្រវត្តិកម្មអ្វីដែលអ្នកអាចធ្វើបាន៖

  • ប្រើ​ហត្ថលេខា commits
  • អនុវត្តការចុះហត្ថលេខាលើវត្ថុបុរាណ
  • រៀបចំការស្កេនសម្ងាត់
  • តាមដានការអាប់ដេតភាពអាស្រ័យ

ជំហានតូចៗទាំងនេះធ្វើឱ្យគំរូគំរាមកំហែង STRIDE ដំណើរការដោយមិនចាំបាច់ចំណាយបន្ថែម។

មុន​នឹង​អនុវត្ត​ការ​ធ្វើ​គំរូ​គំរាមកំហែង STRIDE ឲ្យ​បាន​ជាប់​លាប់ វា​ជួយ​ក្នុង​ការ​ដឹង​ថា​ពេលណា និង​កន្លែង​ណា​ដែល​វា​សម​នឹង​លំហូរ​ការងារ​របស់​អ្នក។

មគ្គុទ្ទេសក៍ចុងក្រោយសម្រាប់ការការពាររបស់អ្នក CI/CD Pipeline

រៀនពីរបៀបកំណត់អត្តសញ្ញាណ ទប់ស្កាត់ និងឆ្លើយតបទៅនឹង CI/CD ហានិភ័យសន្តិសុខ។

អាន eBook ឥឡូវ​នេះ
អានពាក់ព័ន្ធ៖

ការរួមបញ្ចូល STRIDE ទៅក្នុងដំណើរការធ្វើគំរូគំរាមកំហែង

STRIDE សមស្របនឹងវដ្តជីវិតនៃការអភិវឌ្ឍន៍ដោយធម្មជាតិ ក្នុងនាមជាកែវភ្នែកទម្ងន់ស្រាល និងអាចធ្វើម្តងទៀតបាន សម្រាប់កំណត់អត្តសញ្ញាណការគំរាមកំហែងសន្តិសុខដែលអាចកើតមានតាំងពីដំបូង។ វាមានប្រសិទ្ធភាពបំផុត នៅពេលដែលអនុវត្តជាប់លាប់នៅដំណាក់កាលសំខាន់ៗ៖

  • អំឡុងពេលពិនិត្យកូដសួរសំណួរដូចជា "តើវាអាចក្លែងបន្លំ ឬកែប្រែបានទេ?" ឬ "តើមានដានសវនកម្មសម្រាប់ការផ្លាស់ប្តូរនេះទេ?"
  • ខណៈពេលកំពុងកំណត់រចនាសម្ព័ន្ធ CI/CD Pipelines: វាយតម្លៃថាតើ អាថ៌កំបាំងត្រូវបានលាតត្រដាងប្រសិនបើការងារអាចតាមដានបាន ឬប្រសិនបើវិសាលភាពនៃការអនុញ្ញាតទូលំទូលាយពេក។
  • In ការគ្រប់គ្រងភាពអាស្រ័យពិនិត្យមើលថាតើកញ្ចប់ភាគីទីបីត្រូវបានផ្ទៀងផ្ទាត់ ចុះហត្ថលេខា និងគ្មានស្គ្រីបដំឡើងដែលមានហានិភ័យ ឬការចូលប្រើហួសហេតុឬអត់។
  • នៅពេលរៀបចំផែនការមុខងារ ឬសេវាកម្មថ្មីៗសូមប្រើប្រាស់ក្របខ័ណ្ឌគំរូគំរាមកំហែង STRIDE ជាបញ្ជីត្រួតពិនិត្យ ដើម្បីបំផុសគំនិតអំពីអ្វីដែលអាចខុសឆ្គងពីប្រភេទគំរាមកំហែងនីមួយៗ។

នេះធ្វើឱ្យការធ្វើគំរូគំរាមកំហែង STRIDE ក្លាយជាផ្នែកជាក់ស្តែង និងអាចអនុវត្តបាននៃកិច្ចខិតខំប្រឹងប្រែងសន្តិសុខរបស់អ្នក មិនមែនជាដំណើរការធ្ងន់នោះទេ ប៉ុន្តែជាផ្នត់គំនិតដែលបានបង្កប់នៅក្នុងការអភិវឌ្ឍន៍ប្រចាំថ្ងៃ និងលំហូរការងារ DevOps របស់អ្នក។

របៀបដែល Xygeni គូសផែនទីទៅកាន់ប្រភេទ STRIDE នីមួយៗ

Xygeni មិនត្រឹមតែដាក់សញ្ញាសម្គាល់ហានិភ័យប៉ុណ្ណោះទេ ប៉ុន្តែវាធ្វើសកម្មភាពលើពួកវានៅទូទាំង pipeline.

នេះជារបៀប ស៊ីហ្គេនី ផែនទីរកឃើញទៅកាន់ប្រភេទ STRIDE នីមួយៗនៅក្នុងការពិត pipeline:

  • ការជេរប្រមាថ: សញ្ញាសម្គាល់ការរកឃើញភាពមិនប្រក្រតីរបស់ Xygeni CI/CD ការប្រើប្រាស់សញ្ញាសម្ងាត់ខុស និងការងារដែលក្លែងបន្លំអត្តសញ្ញាណដែលគួរឱ្យទុកចិត្ត ដោយជូនដំណឹងដល់ក្រុម ដូច្នេះព័ត៌មានសម្គាល់អាចត្រូវបានបង្វិលមុនពេលការងារដំណើរការ។
  • ការរំខាន៖ ការរកឃើញការក្លែងបន្លំកូដរបស់ Xygeni កំណត់អត្តសញ្ញាណការផ្លាស់ប្តូរដែលគ្មានការអនុញ្ញាតចំពោះការដាក់ពង្រាយ YAML បង្កើតឯកសារ និង IaC គំរូ និងជូនដំណឹងដល់ក្រុមដែលមានព័ត៌មានជាក់លាក់ commit និងឯកសារដែលរងផលប៉ះពាល់។
  • ការបដិសេធ: ទង់ជាតិ Xygeni ដែលមិនទាន់ចុះហត្ថលេខា commitនិងកម្លាំងជំរុញការការពារសាខានោះ ដោយផ្តល់ឱ្យក្រុមនូវភាពមើលឃើញដើម្បីអនុវត្តការចុះហត្ថលេខាcommit គោលនយោបាយមុនពេលដីរួមបញ្ចូលគ្នា។
  • ការបង្ហាញព័ត៌មាន៖ ការស្កេនសម្ងាត់របស់ Xygeni រកឃើញព័ត៌មានសម្ងាត់ដែលបានបង្ហាញនៅក្នុងកំណត់ហេតុ កូដ និងប្រវត្តិ CI ផ្ទៀងផ្ទាត់ថាតើពួកវានៅតែសកម្មឬអត់ និងបង្កឱ្យមានការដកហូតដោយស្វ័យប្រវត្តិសម្រាប់ប្រភេទសម្ងាត់ដែលគាំទ្រ។
  • ការបដិសេធសេវាកម្ម៖ ការរកឃើញភាពមិនប្រក្រតីរបស់ Xygeni កំណត់អត្តសញ្ញាណភាពមិនប្រក្រតី CI/CD សកម្មភាព ដូចជារយៈពេលសាងសង់មិនប្រក្រតី ឬភាពញឹកញាប់នៃការងារ ហើយជូនដំណឹងដល់ក្រុមការងារក្នុងពេលវេលាជាក់ស្តែង។
  • ការលើកកម្ពស់សិទ្ធិពិសេស៖ ការត្រួតពិនិត្យសិទ្ធិតិចតួចបំផុតរបស់ Xygeni កំណត់អត្តសញ្ញាណអ្នកប្រើប្រាស់ដែលមានសិទ្ធិលើស ឬអសកម្ម និង CI/CD សញ្ញាសម្គាល់ ហើយបង្ហាញពួកវាសម្រាប់ការកែតម្រូវតាមរយៈ Health Check លក្ខណៈពិសេស។

សេចក្តីសន្និដ្ឋាន៖ STRIDE ធ្វើឱ្យការធ្វើគំរូគំរាមកំហែងអាចអនុវត្តបានសម្រាប់អ្នកអភិវឌ្ឍន៍

ក្របខ័ណ្ឌគំរូគំរាមកំហែង STRIDE ផ្តល់ឱ្យអ្នកអភិវឌ្ឍន៍នូវទស្សនៈច្បាស់លាស់ និងអាចអនុវត្តបានសម្រាប់ការរកឃើញហានិភ័យតាំងពីដំបូង។ កុំគិតច្រើនពេក។ គ្រាន់តែសួរថា "តើមានអ្វីអាចខុសនៅទីនេះ?" សម្រាប់គ្រប់ផ្នែកនៃកូដរបស់អ្នក repo, pipelineឬ​ការ​ពឹងផ្អែក។

ការធ្វើគំរូគំរាមកំហែង STRIDE ជួយអ្នកជួសជុលកំហុសសុវត្ថិភាពមុនពេលវាចាប់ផ្តើមដំណើរការ។ ហើយឧបករណ៍ដូចជា Xygeni ជួយអ្នកធ្វើស្វ័យប្រវត្តិកម្មវាដោយមិនបន្ថែមការកកិត។

ធ្វើឱ្យគំរូគំរាមកំហែង STRIDE ក្លាយជាផ្នែកមួយនៃរបៀបដែលអ្នកសរសេរ ពិនិត្យ និងផ្ញើកូដ។ ការធ្វើគំរូគំរាមកំហែង STRIDE ជាបន្តបន្ទាប់ជួយរក្សា... pipelineមានសុវត្ថិភាព ទោះបីជាពួកវាពង្រីក និងវិវត្តន៍ក៏ដោយ។

ចាប់ផ្តើមវេទិកា Xygeni ឥតគិតថ្លៃ

សំណួរដែលត្រូវបានសួរជាញឹកញាប់

តើ STRIDE តំណាងឱ្យអ្វី?

ការក្លែងបន្លំ ការក្លែងបន្លំ ការបដិសេធ ការបង្ហាញព័ត៌មាន ការបដិសេធសេវាកម្ម និងការលើកកម្ពស់សិទ្ធិ ដែលជាប្រភេទចំនួនប្រាំមួយដែល Microsoft បង្កើតឡើងដើម្បីរៀបចំការគំរាមកំហែងសន្តិសុខ។

តើខ្ញុំត្រូវការប្រវត្តិសុវត្ថិភាពដើម្បីប្រើ STRIDE ដែរឬទេ?

ទេ។ STRIDE ដំណើរការជាបញ្ជីត្រួតពិនិត្យសំណួរ ដូចជា "តើវាអាចក្លែងបន្លំបានទេ?" ឬ "តើវាអាចតាមដានបានទេ?" ដែលអ្នកអភិវឌ្ឍន៍អាចអនុវត្តក្នុងអំឡុងពេលពិនិត្យកូដធម្មតា និង CI/CD ការកំណត់​រចនាសម្ព័ន្ធ។

តើ STRIDE នៅតែពាក់ព័ន្ធសម្រាប់ cloud-native និង... CI/CD បរិស្ថាន?

បាទ/ចាស៎។ ទោះបីជាត្រូវបានបង្កើតឡើងមុនពេលដាក់ក្នុងធុងក៏ដោយ CI/CD នាក់ standardប្រភេទទាំងប្រាំមួយរបស់ STRIDE ផ្គូផ្គងដោយផ្ទាល់ទៅនឹងសម័យទំនើប pipeline ហានិភ័យដូចជាការប្រើប្រាស់ថូខឹនខុស មិនបានចុះហត្ថលេខា commits និងការលាតត្រដាងអាថ៌កំបាំង។

ឧបករណ៍វិភាគសមាសភាពកម្មវិធី sca
ផ្តល់អាទិភាព ដោះស្រាយ និងធានាសុវត្ថិភាពហានិភ័យផ្នែកទន់របស់អ្នក
ទទួលបានគណនីឥតគិតថ្លៃរបស់អ្នក។
មិនតម្រូវឱ្យមានកាតឥណទានទេ។
ចុះឈ្មោះដោយឥតគិតថ្លៃ

ធានាសុវត្ថិភាពនៃការអភិវឌ្ឍន៍ និងការដឹកជញ្ជូនកម្មវិធីរបស់អ្នក

ជាមួយឈុតផលិតផល Xygeni

ចាប់ផ្តើមដោយឥតគិតថ្លៃ
ទស្សនាផលិតផល