ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಅಪಾಯ ನಿರ್ವಹಣೆ: ಹೆಚ್ಚಿನ ತಂಡಗಳು ಏನು ಕಳೆದುಕೊಳ್ಳುತ್ತವೆ

ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಅಪಾಯ ನಿರ್ವಹಣೆ (TPRM): ನೀವು ನೋಡದ ಉಲ್ಲಂಘನೆ ಬರುತ್ತಿದೆ

ನೀವು ನಿಮ್ಮ ಕೋಡ್ ಅನ್ನು ಲಾಕ್ ಮಾಡಿದ್ದೀರಿ. ನೀವು ಪ್ರತಿ ಪುಶ್ ಅನ್ನು ಸ್ಕ್ಯಾನ್ ಮಾಡುತ್ತಿದ್ದೀರಿ. ಆದರೆ ಮೂರು ತಿಂಗಳ ಹಿಂದಿನ ಆ ಓಪನ್-ಸೋರ್ಸ್ ಲೈಬ್ರರಿಯ ಬಗ್ಗೆ ಏನು? ಅಥವಾ ಮಾರಾಟಗಾರರ ಪ್ಲಗಿನ್ ಎಲ್ಲರೂ ಮರೆತಿದ್ದಾರೆಯೇ? ಈ ಬ್ಲೈಂಡ್ ಸ್ಪಾಟ್‌ಗಳೇ ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಅಪಾಯ ನಿರ್ವಹಣೆ (TPRM) ಅತ್ಯಗತ್ಯವಾಗಲು ಕಾರಣ - ಮತ್ತು ಹಳೆಯ ಪರಿಕರಗಳನ್ನು ಅವಲಂಬಿಸುವುದು ಇನ್ನು ಮುಂದೆ ಏಕೆ ಕೆಲಸ ಮಾಡುವುದಿಲ್ಲ. ವಾಸ್ತವವಾಗಿ, 61% ಕಂಪನಿಗಳು ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಡೇಟಾ ಉಲ್ಲಂಘನೆ ಅಥವಾ ಭದ್ರತಾ ಘಟನೆಯನ್ನು ಅನುಭವಿಸುತ್ತಿರುವುದನ್ನು ವರದಿ ಮಾಡಲಾಗಿದೆ. ಕಳೆದ 12 ತಿಂಗಳುಗಳಲ್ಲಿ, ಹಿಂದಿನ ವರ್ಷಕ್ಕೆ ಹೋಲಿಸಿದರೆ 49% ಹೆಚ್ಚಳವಾಗಿದೆ. ತಂಡಗಳಿಗೆ ಪರಿಶೀಲನಾಪಟ್ಟಿಗಳನ್ನು ಮೀರಿದ ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಅಪಾಯ ನಿರ್ವಹಣಾ ಸಾಫ್ಟ್‌ವೇರ್ ಅಗತ್ಯವಿದೆ, ಇದು ಸರಳ ದೃಷ್ಟಿಯಲ್ಲಿ ಅಡಗಿರುವ ಪ್ರತಿಯೊಂದು ಏಕೀಕರಣ, ಅವಲಂಬನೆ ಮತ್ತು ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಅಪಾಯದ ಬಗ್ಗೆ ನೈಜ-ಸಮಯದ ಒಳನೋಟವನ್ನು ನೀಡುತ್ತದೆ.

TPRM ನಲ್ಲಿ ನಿಜವಾಗಿಯೂ ಏನಿದೆ?

ವೇಗ ಮತ್ತು ಅನುಸರಣೆ ಪರಸ್ಪರ ಪ್ರತ್ಯೇಕವಾಗಿಲ್ಲ - ಆದರೆ ಪ್ರಾಯೋಗಿಕವಾಗಿ, ಅವು ಹೆಚ್ಚಾಗಿ ಡಿಕ್ಕಿ ಹೊಡೆಯುತ್ತವೆ. ಭದ್ರತಾ ತಂಡಗಳು ಅಪ್ರಸ್ತುತ ಎಚ್ಚರಿಕೆಗಳ ಅಡಿಯಲ್ಲಿ ಹೂತುಹೋಗಿವೆ. ಡೆವಲಪರ್‌ಗಳನ್ನು ವೇಗವಾಗಿ ರವಾನಿಸಲು ಒತ್ತಾಯಿಸಲಾಗುತ್ತದೆ. ಲೆಕ್ಕಪರಿಶೋಧಕರು ಪೂರ್ಣ ಪತ್ತೆಹಚ್ಚುವಿಕೆಯನ್ನು ಬಯಸುತ್ತಾರೆ. ಮತ್ತು ಉಲ್ಲಂಘನೆಗೆ ಕಾರಣವಾದ ಪ್ಯಾಕೇಜ್ ಅನ್ನು ತಪ್ಪಿಸಿಕೊಂಡವರಾಗಲು ಯಾರೂ ಬಯಸುವುದಿಲ್ಲ.

ಹಾಗಾದರೆ, ಏನು ಕಡೆಗಣಿಸಲ್ಪಡುತ್ತದೆ?

• ಪರಿಶೀಲಿಸದ ಅವಲಂಬನೆಗಳು ಮುಕ್ತ ಮೂಲ ಮತ್ತು ಮಾರಾಟಗಾರರಿಂದ
• ಬಿಡುಗಡೆಗಳನ್ನು ತಡೆಹಿಡಿಯುವ ಮೌನ ಪರವಾನಗಿ ಸಂಘರ್ಷಗಳು
• ಸವಲತ್ತು ಪಡೆದ ಪ್ರವೇಶದೊಂದಿಗೆ ತಪ್ಪಾಗಿ ಕಾನ್ಫಿಗರ್ ಮಾಡಲಾದ ಸಂಯೋಜನೆಗಳು
• ತಿದ್ದುಪಡಿ ಮಾಡಿದ ಕೋಡ್ ಅಥವಾ pipeline ಯಾರೂ ಗುರುತಿಸದ ಬದಲಾವಣೆಗಳು
• ಮುಕ್ತ ಮೂಲ ಪರಿಸರ ವ್ಯವಸ್ಥೆಗಳ ಮೂಲಕ ಪರಿಚಯಿಸಲಾದ ದುರುದ್ದೇಶಪೂರಿತ ಪ್ಯಾಕೇಜ್‌ಗಳು, ಉದಾಹರಣೆಗೆ NPM ಪ್ಯಾಕೇಜ್ ಮಾಲ್‌ವೇರ್ ಮತ್ತು PyPI ದುರುದ್ದೇಶಪೂರಿತ ಪ್ಯಾಕೇಜ್‌ಗಳು

ಇವುಗಳು ತೀರಾ ಸಣ್ಣ ಪ್ರಕರಣಗಳಲ್ಲ - ಇವು ದಿನನಿತ್ಯದ ಅಪಾಯಗಳು. ಸಂಕ್ಷಿಪ್ತವಾಗಿ ಹೇಳುವುದಾದರೆ, ಇವು ಸಂಭವಿಸಲು ಕಾಯುತ್ತಿರುವ ಪ್ರಾಯೋಗಿಕ ವೈಫಲ್ಯಗಳು, ವಿಶೇಷವಾಗಿ pipelineಗೋಚರತೆಗಿಂತ ವೇಗಕ್ಕೆ ಆದ್ಯತೆ ನೀಡುವ ಗಳು.

ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಅಪಾಯ ನಿರ್ವಹಣಾ ಸಾಫ್ಟ್‌ವೇರ್ ನಿಮಗಾಗಿ ಏಕೆ ಕೆಲಸ ಮಾಡಬೇಕು

ಹೆಚ್ಚಿನ ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಅಪಾಯದ ಪರಿಕರಗಳು ಮುಖ್ಯವಾದ ಕಡೆ ವಿಫಲವಾಗುತ್ತವೆ: ಅವು ತಂಡಗಳಿಗೆ ಕಡಿಮೆ ಆದ್ಯತೆಯ ಎಚ್ಚರಿಕೆಗಳನ್ನು, ಮೇಲ್ಮೈ ಸಮಸ್ಯೆಗಳನ್ನು ತಡವಾಗಿ ಒದಗಿಸುತ್ತವೆ ಅಥವಾ ಡೆವಲಪರ್‌ಗಳು ನಿಜವಾಗಿ ಹೇಗೆ ಕೆಲಸ ಮಾಡುತ್ತಾರೆ ಎಂಬುದಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗಲು ವಿಫಲವಾಗುತ್ತವೆ. ಅನೇಕರು ಪರವಾನಗಿ ಉಲ್ಲಂಘನೆಗಳು, ನಡವಳಿಕೆಯ ವೈಪರೀತ್ಯಗಳು ಅಥವಾ ಉದಯೋನ್ಮುಖ ಮಾಲ್‌ವೇರ್ ಬೆದರಿಕೆಗಳನ್ನು ನಿರ್ಲಕ್ಷಿಸುವ ಮೂಲಕ ತಿಳಿದಿರುವ CVE ಗಳ ಮೇಲೆ ಮಾತ್ರ ಗಮನಹರಿಸುತ್ತಾರೆ.

ಒಂದು ಬಲಿಷ್ಠವಾದ ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಅಪಾಯ ನಿರ್ವಹಣಾ ಸಾಫ್ಟ್‌ವೇರ್ ಸ್ಕ್ಯಾನ್ ಮಾಡುವುದಕ್ಕಿಂತ ಹೆಚ್ಚಿನದನ್ನು ಮಾಡಬೇಕು - ಅದು ಸಬಲೀಕರಣಗೊಳಿಸಬೇಕು. ಪ್ರಕಾರ OWASP, ಅದು ಹೀಗಿರಬೇಕು:

• ನಿಮ್ಮ ಸಂಪೂರ್ಣ ಪರಿಸರವನ್ನು ನಕ್ಷೆ ಮಾಡಿ, OSS ನಿಂದ ಕ್ಲೌಡ್ ಸೇವೆಗಳವರೆಗೆ ಮತ್ತು CI/CD
• ಶೋಷಣೆಗೆ ಯೋಗ್ಯವಾದದ್ದಕ್ಕೆ ಆದ್ಯತೆ ನೀಡಿ, ಪಟ್ಟಿ ಮಾಡಿರುವುದು ಮಾತ್ರವಲ್ಲ
• ನೀತಿ ಜಾರಿಗೊಳಿಸುವಿಕೆಯನ್ನು ಸ್ವಯಂಚಾಲಿತಗೊಳಿಸಿ, ಪರವಾನಗಿ ಮತ್ತು SLA ಉಲ್ಲಂಘನೆಗಳು ಸೇರಿದಂತೆ
• ನೈಜ ಸಮಯದಲ್ಲಿ ಮಾಲ್‌ವೇರ್ ಅನ್ನು ಪತ್ತೆ ಮಾಡಿ, ಉಲ್ಲಂಘನೆಯ ನಂತರ ಅಲ್ಲ
• ಡೆವಲಪರ್‌ಗಳು ಕೆಲಸ ಮಾಡುವ ಮೇಲ್ಮೈ ಸಮಸ್ಯೆಗಳು, ಕೇವಲ ನಂತರದ ನಿಯೋಜನೆಯಲ್ಲಿ ಅಲ್ಲ dashboards

ಅಂತೆಯೇ, ಇದು ಎಲ್ಲಿದೆ ಕ್ಸಿಜೆನಿ ಸಂದರ್ಭೋಚಿತ ಒಳನೋಟಗಳು, ಭದ್ರತಾ ಯಾಂತ್ರೀಕೃತಗೊಂಡ ಮತ್ತು ಆಳವಾದ ಏಕೀಕರಣವನ್ನು ನೀಡುವ ಮೂಲಕ ಭಿನ್ನವಾಗಿದೆ commit ಬಿಡುಗಡೆ ಮಾಡಲು.

ನಿಮ್ಮ ವೇಗವನ್ನು ನಿಧಾನಗೊಳಿಸದೆ TPRM ಅನ್ನು ನಿರ್ವಹಿಸುವುದು CI/CD

ಒಂದು ಸ್ಕೇಲೆಬಲ್ TPRM ತಂತ್ರ ಗೇಟ್‌ಗಳನ್ನು ಸೇರಿಸಬಾರದು—ಅದು ಸ್ಮಾರ್ಟ್ ಅನ್ನು ನಿರ್ಮಿಸಬೇಕು guardrails. ನಿಮ್ಮ pipeline ವಿತರಣೆಯಲ್ಲಿ ಅಡಚಣೆಗಳಿಲ್ಲದೆ:

• ಸಮಗ್ರ ಆಸ್ತಿ ಅನ್ವೇಷಣೆ: ಸಕರ್ಮಕ ಅವಲಂಬನೆಗಳನ್ನು ಒಳಗೊಂಡಂತೆ
• ಇಪಿಎಸ್ಎಸ್ ಮತ್ತು ತಲುಪುವಿಕೆಯ ಆಧಾರದ ಮೇಲೆ ಅಪಾಯದ ಸ್ಕೋರಿಂಗ್, ಕೇವಲ CVSS ಅಲ್ಲ
• ವರ್ತನೆಯ ಮೇಲ್ವಿಚಾರಣೆ ದಿಕ್ಚ್ಯುತಿ, ರಹಸ್ಯ ಬಹಿರಂಗಪಡಿಸುವಿಕೆ, ಮತ್ತು CI/CD ವೈಪರೀತ್ಯಗಳು
• ಸ್ವಯಂಚಾಲಿತ ಪರಿಹಾರ, ಸ್ವಯಂ-ರಚಿತ PR ಗಳನ್ನು ಒಳಗೊಂಡಂತೆ
• ಅಂತರ್ನಿರ್ಮಿತ ಪರವಾನಗಿ ಆಡಳಿತ GPL, AGPL, ಅಥವಾ ಸಂಘರ್ಷದ ಪದಗಳನ್ನು ಫ್ಲ್ಯಾಗ್ ಮಾಡಲು
• ರಫ್ತು-ಸಿದ್ಧ SBOMಮರಳು dashboards DORA, NIS2, GDPR ನೊಂದಿಗೆ ಜೋಡಿಸಲಾಗಿದೆ

ಪರಿಣಾಮವಾಗಿ, ಕ್ಸಿಜೆನಿ ಸಹಾಯ ಮಾಡುತ್ತದೆ DevSecOps ತಂಡಗಳು ಆಧುನಿಕ ಅಭಿವೃದ್ಧಿಯ ವೇಗದೊಂದಿಗೆ ಭದ್ರತೆ ಮತ್ತು ಅನುಸರಣೆ ಗುರಿಗಳನ್ನು ಜೋಡಿಸಿ.

ಪರವಾನಗಿ ಅಪಾಯ: ಯಾರೂ ಮಾತನಾಡದ ಕಾನೂನುಬದ್ಧ ಟೈಮ್ ಬಾಂಬ್

ನಿಮಗೆ ಹೆಚ್ಚಿನ ಪರಿಕರಗಳು ಬೇಕಾಗಿಲ್ಲ. ಪರವಾನಗಿ ಜಾರಿಕೊಳ್ಳದಂತೆ ಮತ್ತು ಬಿಡುಗಡೆಯನ್ನು ಸ್ಫೋಟಿಸದಂತೆ ನಿಮಗೆ ಒಂದು ಅಗತ್ಯವಿದೆ.

ಕ್ಸಿಜೆನಿಯ ಅಂತರ್ನಿರ್ಮಿತ ಪರವಾನಗಿ ನಿರ್ವಹಣೆ ಪತ್ತೆ ಮಾಡುತ್ತದೆ:

• ನಿಮ್ಮಾದ್ಯಂತ ಹೆಚ್ಚಿನ ಅಪಾಯದ ಅಥವಾ ಅನುಮೋದಿಸದ ಪರವಾನಗಿ ಪ್ರಕಾರಗಳು SDLC
• ನಿಮ್ಮ ಅನುಸರಣೆ ನೀತಿಯನ್ನು ಉಲ್ಲಂಘಿಸುವ ಸಂಘರ್ಷದ ಬಾಧ್ಯತೆಗಳು
• ಹೊಸ ಕಾನೂನುಬದ್ಧ ಸಾಮಾನುಗಳೊಂದಿಗೆ ಹಳೆಯದಾದ ಘಟಕಗಳು

ಇದಲ್ಲದೆ, ಇದು ರಫ್ತು ಮಾಡಬಹುದಾದ ಆಡಿಟ್ ವರದಿಗಳು, SPDX ಹೊಂದಾಣಿಕೆ ಮತ್ತು ನೀತಿ-ಆಧಾರಿತ ಎಚ್ಚರಿಕೆಗಳನ್ನು ಒದಗಿಸುತ್ತದೆ - ಆದ್ದರಿಂದ ನೀವು ಕಾನೂನುಬದ್ಧ ಲ್ಯಾಂಡ್‌ಮೈನ್‌ಗಳಿಲ್ಲದೆ ವಿಶ್ವಾಸದಿಂದ ಸಾಗಿಸಬಹುದು.