ສິ່ງດຽວທີ່ມີການໂຕ້ວາທີກັນຫຼາຍກວ່າຄວາມໝາຍຂອງ Application Security Posture Management (ASPM) ແມ່ນບໍ່ວ່າຈະເປັນການລົງທຶນໃນ ASPM ເຄື່ອງມື ມັນຄຸ້ມຄ່າ. ນັບຕັ້ງແຕ່ການເປີດເຜີຍໝວດໝູ່, ຜູ້ຂາຍທຸກປະເພດໄດ້ຟ້າວອ້າງວ່າພວກເຂົາເຮັດມັນ, ແຕ່ບໍ່ມີນໍ້າໝຶກຫຼາຍອັນທີ່ໄດ້ອຸທິດໃຫ້ກັບວ່າມັນເປັນອະນາຄົດຫຼືບໍ່. ໃນທີ່ສຸດ, ອະນາຄົດຂອງຄວາມປອດໄພຂອງແອັບພລິເຄຊັນແມ່ນໄດ້ຮັບການແກ້ໄຂທີ່ດີທີ່ສຸດໂດຍການເຂົ້າໃຈວ່າບັນຫາໃຫຍ່ທີ່ສຸດຂອງມັນແມ່ນຫຍັງ. ໃນບົດຄວາມນີ້, ພວກເຮົາຈະເວົ້າກ່ຽວກັບບັນຫາທີ່ສ້າງໝວດໝູ່ຂອງ ASPM ແລະປະເມີນວ່າມັນສະເໜີວິທີແກ້ໄຂທີ່ຕະຫຼາດກຳລັງຊອກຫາຢູ່ຫຼືບໍ່.
ບັນຫາໃນຄວາມປອດໄພຂອງແອັບພລິເຄຊັນ
ເຄື່ອງສະແກນຫຼາຍເກີນໄປ
ນັບຕັ້ງແຕ່ຂ້ອຍໄດ້ໂຕ້ຖຽງໃນເບື້ອງຕົ້ນ ASPM ລວມທັງ ເຄື່ອງສະແກນ 8 ຊະນິດ, ຢ່າງໜ້ອຍສອງອັນໄດ້ປາກົດຂຶ້ນ. ທີມງານຮັກສາຄວາມປອດໄພສາມາດຮັບມືກັບເຄື່ອງສະແກນໄດ້, ແຕ່ພຽງແຕ່ຖ້າພວກເຂົາມີເຫດຜົນທີ່ຈະແຕກຕ່າງ. ການສະແກນເຊີບເວີໃນເວລາແລ່ນບໍ່ຈຳເປັນຕ້ອງ ຕ້ອງການ ໃຫ້ຢູ່ໃນສະຖານທີ່ດຽວກັນກັບສິ່ງທີ່ກຳລັງສະແກນບ່ອນເກັບມ້ຽນຂໍ້ມູນ. ບັນຫາແມ່ນວ່າບ່ອນເກັບມ້ຽນຂໍ້ມູນໄດ້ກາຍເປັນແຫຼ່ງຄວາມຈິງທີ່ໜ້າເຊື່ອຖືຫຼາຍຂຶ້ນສຳລັບບ່ອນທີ່ຈະຊອກຫາ ແລະ ແກ້ໄຂຊ່ອງໂຫວ່ຕ່າງໆ.
ໃນຂະນະທີ່ຢູ່ໃນສະຖານທີ່ດຽວ, ບ່ອນເກັບຂໍ້ມູນສາມາດເກັບຮັກສາໄຟລ໌ທີ່ແຕກຕ່າງກັນຫຼາຍສິບໄຟລ໌ທີ່ເຮັດຫຼາຍຢ່າງທີ່ແຕກຕ່າງກັນ. ຕາມປະເພນີ, ທີມງານຄວາມປອດໄພຕ້ອງຕັ້ງຄ່າຮູບພາບ docker ຫຼືໄບນາຣີຫຼາຍອັນທີ່ແຕກຕ່າງກັນເພື່ອສະແກນໄຟລ໌ເຫຼົ່ານີ້ໃນຂະນະທີ່ພວກມັນຖືກປ່ຽນແປງແລະນຳໃຊ້. ການຮັກສາເຄື່ອງສະແກນສາມາດເປັນວຽກເຕັມເວລາຫຼາຍຢ່າງໄດ້ງ່າຍ, ຍ້ອນວ່າພວກມັນທັງໝົດຍັງຕ້ອງການການຕັ້ງຄ່າພິເສດເພື່ອເຮັດວຽກກ່ຽວກັບລະຫັດທີ່ແຕກຕ່າງກັນ.
ທີມງານຮັກສາຄວາມປອດໄພ ຕ້ອງການຄວາມຊັດເຈນ ຂອງເຄື່ອງສະແກນທີ່ແຕກຕ່າງກັນທັງໝົດເຫຼົ່ານີ້, ແຕ່ໄດ້ຮັບຜົນປະໂຫຍດຢ່າງຫຼວງຫຼາຍຈາກຄວາມລຽບງ່າຍຂອງ "ບໍ່ມີຕົວແທນ" pipeline ເວັບໄຊຕ໌hooks ທີ່ສະແກນໂດຍບໍ່ມີການຕັ້ງຄ່າ, ຫຼືຢ່າງໜ້ອຍກໍ່ບອກເຄື່ອງມືດຽວໃຫ້ສະແກນ. ASPM ເຄື່ອງມືເຮັດວຽກໄດ້ດີຫຼາຍໃນການໃຫ້ການເບິ່ງເຫັນທີ່ງ່າຍດາຍ.
ມີຜົນບວກທີ່ບໍ່ຖືກຕ້ອງຫຼາຍເກີນໄປ
ຈຸດກົງກັນຂ້າມກັບການລວມເຄື່ອງສະແກນທຸກເຄື່ອງໄວ້ໃນບ່ອນດຽວແມ່ນວ່າຄົນໂຕ້ຖຽງວ່າຄຸນນະພາບການສະແກນຈະຫຼຸດລົງ. ຂ້ອຍມີຄວາມອ່ອນໄຫວຕໍ່ຄວາມກັງວົນນີ້, ແຕ່ມີສອງຈຸດກົງກັນຂ້າມ. ທຳອິດ, ເຄື່ອງມືຫຼາຍຢ່າງພຽງແຕ່ລວມສິ່ງຂອງແຫຼ່ງເປີດດຽວກັນຢູ່ແລ້ວ, ເຄື່ອງສະແກນທັງໝົດໃນອັນດຽວພຽງແຕ່ເວົ້າຄວາມຈິງໃຈກ່ຽວກັບມັນຫຼາຍຂຶ້ນ. ອັນທີສອງ, ການໂຕ້ຖຽງເຫຼົ່ານີ້ສະເໝີອີງໃສ່ແນວຄວາມຄິດທີ່ວ່າມັນເປັນໄປບໍ່ໄດ້ທີ່ເຄື່ອງສະແກນຂອງໃຜຜູ້ໜຶ່ງຈະດີເທົ່າກັບຂອງຕົນເອງ.
ໃນທີ່ສຸດ, ບັນຫາແມ່ນພຽງແຕ່ແກ້ໄຂບັນຫາຂອງຜົນບວກທີ່ບໍ່ຖືກຕ້ອງຫຼາຍເກີນໄປ. ການເຂົ້າເຖິງໄດ້ແມ່ນແນວຄວາມຄິດຂອງການຄົ້ນພົບວ່າຊ່ອງໂຫວ່ສາມາດຖືກນຳໃຊ້ໄດ້ແທ້ຫຼືບໍ່. ຫຼາຍຄົນ ASPM ເຄື່ອງມືຕ່າງໆໄດ້ສ້າງລຸ້ນທີ່ "ດີພໍ" ຂອງການເຂົ້າເຖິງ, ສະນັ້ນມັນຈຶ່ງຍາກຂຶ້ນທຸກໆມື້ທີ່ຈະໂຕ້ຖຽງວ່າມັນບໍ່ສາມາດເຮັດໄດ້.
ຮ້າຍແຮງທີ່ສຸດ, ການສະແກນຫາ CVEs ຄົນດຽວສາມາດເຮັດໃຫ້ເກີດຈຸດບອດທີ່ສຳຄັນໄດ້, ຊຶ່ງເປັນເຫດຜົນທີ່ຂ້ອຍຮູ້ສຶກຊື່ນຊົມຜູ້ໃຫ້ບໍລິການເຊັ່ນ Xygeni ດ້ວຍສອງເຫດຜົນຄື: ທຳອິດ, ການສະແກນ upstream ຂອງພວກເຂົາເພື່ອຊອກຫາມັນແວແທນທີ່ຈະເປັນພຽງແຕ່ຊ່ອງໂຫວ່. ອັນທີສອງ, ຂອງພວກເຂົາ commitເພື່ອຊອກຫາການຕັ້ງຄ່າທີ່ສາມາດນຳໃຊ້ໄດ້ອື່ນໆເຊັ່ນ pipeline ການຕັ້ງຄ່າທີ່ບໍ່ຖືກຕ້ອງ, ພ້ອມທັງກວດຫາວ່າການໂຈມຕີເຫຼົ່ານີ້ໄດ້ເກີດຂຶ້ນຫຼືບໍ່.
ການແກ້ໄຂສິ່ງຕ່າງໆແມ່ນຍາກແທ້ໆ
ທີມງານຮັກສາຄວາມປອດໄພເຫັນວ່າມີຄວາມໄວໜ້ອຍຫຼາຍໃນການແກ້ໄຂຊ່ອງໂຫວ່ຂອງເຂົາເຈົ້າ. ຂ້ອຍໄດ້ຍິນເລື່ອງລາວທີ່ໜ້າຢ້ານກົວຫຼາຍເລື່ອງກ່ຽວກັບວັນສູນທີ່ຮ້າຍແຮງທີ່ສຸດທີ່ໃຊ້ເວລາຫຼາຍເດືອນເພື່ອແກ້ໄຂໃນທົ່ວທຸກ... enterprise ລະບົບນິເວດ. ໃນຂະນະທີ່ເຄື່ອງມືຫຼາຍຢ່າງໄດ້ກ່າວວ່າບັນຫາແມ່ນ "ການຈັດລຳດັບຄວາມສຳຄັນ" ທ່ານສາມາດຈັດລຳດັບຄວາມສຳຄັນໄດ້ໝົດມື້, ແຕ່ຖ້າວິສະວະກອນບໍ່ສາມາດແກ້ໄຂບາງສິ່ງບາງຢ່າງໄດ້ງ່າຍ, ມັນກໍ່ບໍ່ມີປະໂຫຍດຫຍັງເລີຍ.
ນີ້ແມ່ນທ່າອ່ຽງທີ່ເພີ່ມຂຶ້ນໃນດ້ານ "ການຄຸ້ມຄອງຄວາມສ່ຽງ" ຂອງ ASPM, ແຕ່ການຊ່ວຍນັກພັດທະນາແກ້ໄຂຊ່ອງໂຫວ່ຄວນເປັນເປົ້າໝາຍທີ່ແທ້ຈິງຂອງ ASPM.
ລະຫັດຫຼາຍເກີນໄປ, ໄວເກີນໄປ
ຖ້າພວກເຮົາຄິດວ່າຄລາວດ໌ໄດ້ເລັ່ງການນຳໃຊ້ລະຫັດ, ປັນຍາປະດິດທີ່ສ້າງສັນພຽງແຕ່ເພີ່ມຄວາມໄວຂອງລະຫັດເທົ່ານັ້ນ. ຈຸດອື່ນທີ່ບໍ່ຄ່ອຍໄດ້ສົນທະນາກັນແມ່ນວິທີທີ່ປັນຍາປະດິດທີ່ສ້າງສັນສືບຕໍ່ເປີດກຸ່ມເປົ້າໝາຍໃໝ່ໃຫ້ກັບການຂຽນລະຫັດ - ຊ່ວຍໃຫ້ທຸກຄົນຕັ້ງແຕ່ທີມງານຂາຍຈົນເຖິງທີມງານບັນຊີສາມາດສ້າງສະຄຣິບ Python ທີ່ເຮັດສິ່ງງ່າຍໆໄດ້.
ການພັດທະນາເຫຼົ່ານີ້ໄດ້ເຮັດໃຫ້ການສະແກນເລື້ອຍໆ, ເລື້ອຍໆ, ແລະ ໃນສະພາບແວດລ້ອມທີ່ຫຼາກຫຼາຍມີຄວາມສຳຄັນຫຼາຍກວ່າທີ່ເຄີຍ. ຖ້າຕ້ອງການຂະບວນການອະນຸມັດທີ່ຍາວນານເພື່ອຕັ້ງຄ່າແອັບພລິເຄຊັນໃໝ່ດ້ວຍການສະແກນ, ທ່ານຈະພ້ອມທີ່ຈະຕາບອດ.
ສະພາບແວດລ້ອມມີຄວາມຫຼາກຫຼາຍເກີນໄປ
ໃນຂະນະທີ່ຈຳນວນເຄື່ອງສະແກນສາມາດຫຼາຍເກີນໄປ, ເມື່ອທ່ານເພີ່ມລົດຊາດຂອງທຸກຄົນໃນ Javascript ປະຈຳເດືອນ, ພາສາທີ່ແຕກຕ່າງ, ຫຼື framework ອື່ນໆ, ການຊອກຫາ "ວິທີແກ້ໄຂທີ່ດີທີ່ສຸດໃນລະດັບດຽວກັນ" ກໍ່ເປັນໄປບໍ່ໄດ້ອີກຕໍ່ໄປ. ຂ້ອຍບໍ່ເຫັນທີມງານຄວາມປອດໄພຊອກຫາວິທີແກ້ໄຂການສະແກນທີ່ດີທີ່ສຸດໃນລະດັບດຽວກັນສຳລັບ Javascript ທຸກໆລົດຊາດ. ອັນດຽວ ASPM ເຄື່ອງມືສາມາດເຮັດໃຫ້ການຄຸ້ມຄອງການສະແກນມີໃຫ້ຢ່າງກວ້າງຂວາງຫຼາຍກວ່າການພະຍາຍາມໃຊ້ພາສາຕໍ່ພາສາ.
ASPM ວິທີແກ້ໄຂເຄື່ອງມື?
ບັນຫາເຫຼົ່ານີ້ແມ່ນເຫດຜົນທີ່ຂ້ອຍໄດ້ກຳນົດ ASPM ເປັນ:
Application Security Posture Management ໃຫ້ທຸກຢ່າງທີ່ຈຳເປັນເພື່ອສະແກນ ແລະ ແກ້ໄຂຊ່ອງໂຫວ່ໃນແອັບພລິເຄຊັນຂອງທ່ານ. ມັນໃຫ້ການສະແກນຄວາມປອດໄພໃນທົ່ວ SDLC pipeline, ຮັບເອົາຜົນໄດ້ຮັບ, ແລະ ສ້າງຂະບວນການເຮັດວຽກການແກ້ໄຂ.
ໃນທາງປະຕິບັດແລ້ວ, ສິ່ງນີ້ກາຍເປັນການປະສົມປະສານລະຫັດແຫຼ່ງທັງໝົດໃນອັນດຽວທີ່ສະແກນລະຫັດຂອງທ່ານເພື່ອຊອກຫາຊ່ອງໂຫວ່, ຈັດລຳດັບຄວາມສຳຄັນຂອງພວກມັນ, ແລະຊ່ວຍໃຫ້ພວກມັນຖືກກຳນົດໃຫ້ກັບຄົນທີ່ຖືກຕ້ອງ. ລອງມາເບິ່ງວິທີທີ່ສິ່ງນີ້ແກ້ໄຂບັນຫາທັງໝົດ ບັນຫາຕົ້ນຕໍ ໃນ AppSec:
ເຄື່ອງສະແກນຫຼາຍເກີນໄປ
- ນີ້ແມ່ນຄຳອະທິບາຍດ້ວຍຕົນເອງ - ບໍ່ມີເຫດຜົນອີກຕໍ່ໄປທີ່ຈະມີ 8 ວິທີແກ້ໄຂຈຸດທີ່ແຕກຕ່າງກັນ ໃນເມື່ອອັນໜຶ່ງສາມາດດີພຽງພໍທີ່ຈະຄອບຄຸມສ່ວນໃຫຍ່ຂອງກອງຂອງທ່ານໄດ້.
ມີຂໍ້ມູນທາງບວກທີ່ບໍ່ຖືກຕ້ອງຫຼາຍເກີນໄປ
- ໃນຂະນະທີ່ແນວຄວາມຄິດຂອງ "ວິທີແກ້ໄຂທີ່ດີກວ່າ" ຍັງຄົງຢູ່, ASPMໂດຍປົກກະຕິແລ້ວ ມີການເບິ່ງເຫັນແບບຮອບດ້ານຫຼາຍຂຶ້ນກ່ຽວກັບວິທີການເຮັດວຽກຂອງແອັບພລິເຄຊັນ. ບໍ່ວ່າຈະເປັນການສ້າງແຜນທີ່ການເພິ່ງພາອາໄສການສ້າງ, ຫຼືຮູບພາບ "ລະຫັດໄປຫາຄລາວ" - ເຄື່ອງມືເຫຼົ່ານີ້ໂດຍປົກກະຕິແລ້ວຈະເຮັດວຽກໄດ້ດີກວ່າໃນການກຳຈັດຜົນບວກທີ່ບໍ່ຖືກຕ້ອງ.
ການແກ້ໄຂສິ່ງຕ່າງໆແມ່ນຍາກແທ້ໆ
- ເພື່ອຄວາມຍຸດຕິທຳ, ນີ້ແມ່ນບ່ອນທີ່ (ໂດຍທົ່ວໄປ) ຜູ້ໃຫ້ບໍລິການຫຼາຍຄົນທີ່ບໍ່ໄດ້ສະແກນໄດ້ສ້າງເຄື່ອງຈັກທີ່ດີກວ່າສຳລັບການແກ້ໄຂສິ່ງຕ່າງໆ. ບໍ່ວ່າຈະເປັນທາງໃດກໍ່ຕາມ, ນີ້ແມ່ນບ່ອນທີ່ ASPM ດີເລີດ CSPM - ຕົວຈິງແລ້ວມັນມີວິທີການໃນການສົ່ງຜົນການຄົ້ນພົບໄປຫາຜູ້ທີ່ສາມາດແກ້ໄຂບັນຫາເຫຼົ່ານັ້ນໄດ້.
ລະຫັດຫຼາຍເກີນໄປ, ໄວເກີນໄປ
- ຄວາມຈິງທີ່ວ່າການນຳໃຊ້ເຄື່ອງສະແກນໂດຍອັດຕະໂນມັດໃນບ່ອນເກັບຂໍ້ມູນໃໝ່ແມ່ນຄຸນສົມບັດທີ່ຫາຍາກຫຼາຍນັ້ນບອກທ່ານວ່າພຽງແຕ່ອີງໃສ່ webhook ເທົ່ານັ້ນ ASPM ອະນຸຍາດໃຫ້ຄວາມປອດໄພຂະຫຍາຍໄດ້ໄວເທົ່າກັບປະລິມານຂອງລະຫັດໃນສະພາບແວດລ້ອມ
ສະພາບແວດລ້ອມມີຄວາມຫຼາກຫຼາຍເກີນໄປ
- ໃນຂະນະທີ່ອາດຈະມີກໍລະນີທີ່ໜ້າເບື່ອຢູ່ສະເໝີ, ແຕ່ “ດີທີ່ສຸດໃນຫ້ອງຮຽນ” ກຳລັງຍາກທີ່ຈະປະເມີນຜົນ - ທີມງານຄວາມປອດໄພຄວນທົດສອບເຄື່ອງສະແກນ 8 ເຄື່ອງທຽບກັບ 5 ພາສາດ້ວຍຫຼັກຖານ 10 ຢ່າງບໍ?
ຂ້ອຍຢືນຢູ່ ASPM (ແລະ ASPM tools) ເປັນອະນາຄົດຂອງຄວາມປອດໄພຂອງແອັບພລິເຄຊັນ, ມັນແກ້ໄຂບັນຫາສ່ວນໃຫຍ່ທີ່ຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພຂອງແອັບພລິເຄຊັນປະເຊີນ. ທັນທີທີ່ສັນຍາທີ່ມີຢູ່ແລ້ວໝົດອາຍຸ, ຫຼືແມ່ນແຕ່ກ່ອນໜ້ານັ້ນ, ຜູ້ປະຕິບັດຈະແລ່ນໄປຫາວິທີແກ້ໄຂໃໝ່ໆເຫຼົ່ານີ້. ສິ່ງດຽວທີ່ຢຸດພວກເຂົາແມ່ນຄວາມຮັບຮູ້ວ່າມີວິທີທີ່ດີກວ່າ.
