AppSec ທີ່ທັນສະໄໝບໍ່ສາມາດອີງໃສ່ຂັ້ນຕອນການເຮັດວຽກດ້ວຍຕົນເອງໄດ້ອີກຕໍ່ໄປ. ລະບົບອັດຕະໂນມັດການຄຸ້ມຄອງຄວາມສ່ຽງ ປະຈຸບັນນີ້ແມ່ນສິ່ງຈຳເປັນ, ບໍ່ແມ່ນທາງເລືອກ. ບໍ່ດົນມານີ້ພວກເຮົາມີໂອກາດໄດ້ເຂົ້າຮ່ວມ ການພັດທະນາຄວາມປອດໄພແບບປະຕິບັດໄດ້ ພອດແຄສ, ບ່ອນທີ່ CTO ຂອງພວກເຮົາ Luis Rodriguez ຄວາມເຂົ້າໃຈຮ່ວມກັນໃນກອງປະຊຸມ “ການຮັກສາຈຸດອ່ອນທີ່ສຸດ: ການປ້ອງກັນການໂຈມຕີລະບົບຕ່ອງໂສ້ການສະໜອງກ່ອນທີ່ມັນຈະແຜ່ລາມ.” ໃນການສົນທະນານີ້, Luis ໄດ້ອະທິບາຍວ່າ DevSecOps ທີມງານສາມາດຢູ່ຂ້າງໜ້າໄພຂົ່ມຂູ່ທີ່ໃຫຍ່ທີ່ສຸດໃນປະຈຸບັນ. ເໜືອສິ່ງອື່ນໃດ, ລາວໄດ້ສະແດງໃຫ້ເຫັນວ່າຄວາມສຳເລັດແມ່ນຂຶ້ນກັບການລວມລະບົບອັດຕະໂນມັດເຂົ້າກັບ ການຈັດລຳດັບຄວາມສຳຄັນໂດຍອີງໃສ່ຄວາມສ່ຽງ ແລະ ສ້າງລະບົບປ້ອງກັນທີ່ເຂັ້ມແຂງຕໍ່ກັບ ແພັກເກດ npm ທີ່ເປັນອັນຕະລາຍ.
ບົດຮຽນທີ 1: ຫຼຸດຜ່ອນສິ່ງລົບກວນດ້ວຍການຈັດລຳດັບຄວາມສຳຄັນໂດຍອີງໃສ່ຄວາມສ່ຽງ
ກ່ອນອື່ນໝົດ, Luis ໄດ້ອະທິບາຍວ່າສ່ວນທີ່ຍາກທີ່ສຸດບໍ່ແມ່ນການຊອກຫາຊ່ອງໂຫວ່, ແຕ່ມັນແມ່ນການຄິດໄລ່ວ່າອັນໃດສຳຄັນແທ້ໆ. ເຄື່ອງມືແບບດັ້ງເດີມສົ່ງການແຈ້ງເຕືອນທີ່ບໍ່ມີວັນສິ້ນສຸດ, ແລະຫຼາຍຢ່າງກາຍເປັນຜົນບວກທີ່ບໍ່ຖືກຕ້ອງ. ດັ່ງນັ້ນ, ວິສະວະກອນຈຶ່ງເສຍເວລາໃນການໄລ່ຕາມບັນຫາທີ່ບໍ່ເປັນອັນຕະລາຍແທ້ໆ.
ການຈັດລຳດັບຄວາມສຳຄັນໂດຍອີງໃສ່ຄວາມສ່ຽງ ແກ້ໄຂບັນຫານີ້. ມັນພິຈາລະນາເຖິງການຂູດຮີດ, ການເປີດເຜີຍ, ແລະ ຜົນກະທົບທາງທຸລະກິດເພື່ອເນັ້ນໃສ່ບັນຫາທີ່ຜູ້ໂຈມຕີມັກຈະໃຊ້. ນອກຈາກນັ້ນ, Xygeni's Application Security Posture Management ຫຼຸດການແຈ້ງເຕືອນລົງເຖິງ 90%, ເຮັດໃຫ້ວຽກງານຄວາມປອດໄພຊັດເຈນຂຶ້ນ ແລະ ລົບກວນໜ້ອຍລົງຫຼາຍ.
ປຸ່ມຮັບເອົາທີ່ ສຳ ຄັນ: ໃນຄວາມເປັນຈິງ, ລະບົບອັດຕະໂນມັດບໍ່ແມ່ນກ່ຽວກັບການສະແກນຫຼາຍຂຶ້ນ, ແຕ່ກ່ຽວກັບການສະແດງຜົນໄດ້ຮັບໜ້ອຍລົງ, ສະເພາະບັນຫາທີ່ສຳຄັນແທ້ໆເທົ່ານັ້ນ.
ບົດຮຽນທີ 2: ແພັກເກດ npm ທີ່ເປັນອັນຕະລາຍມີຢູ່ໃນຂອງທ່ານແລ້ວ Pipeline
ອັນທີສອງ, Luis ໄດ້ເນັ້ນໃຫ້ເຫັນເຖິງຄວາມເປັນຈິງທີ່ບໍ່ສາມາດລະເລີຍໄດ້ອີກຕໍ່ໄປ: ແພັກເກດ npm ທີ່ເປັນອັນຕະລາຍ ກຳລັງເຮັດໃຫ້ລະບົບນິເວດແຫຼ່ງເປີດລົ້ນ. ໃນຄວາມເປັນຈິງ, ໜຶ່ງໃນສິບແພັກເກດ npm ຫຼື PyPI ໃໝ່ທີ່ເຜີຍແຜ່ໃນປີ 2024 ມີມັນແວ. ດັ່ງນັ້ນ, ການໂຈມຕີລະບົບຕ່ອງໂສ້ການສະໜອງຈຶ່ງແຜ່ລາມໄວກວ່າທີ່ທີມງານສ່ວນໃຫຍ່ສາມາດຕອບສະໜອງໄດ້.
ເອົາກໍລະນີຂອງ ໜອນ Shai-Hulud: ແພັກເກດອັນຕະລາຍອັນດຽວໄດ້ຕິດເຊື້ອໂຄງການຫຼາຍຮ້ອຍໂຄງການພາຍໃນຊົ່ວໂມງ. ສິ່ງນີ້ບໍ່ພຽງແຕ່ເປັນການລົບກວນຫຼາຍເທົ່ານັ້ນ, ແຕ່ມັນຍັງສະແດງໃຫ້ເຫັນວ່າຜູ້ໂຈມຕີໃຊ້ປະໂຫຍດຈາກ dependencies ທີ່ບໍ່ໄດ້ປັກໝຸດ ແລະ CI/CD ຮູບແບບຄວາມໄວ້ວາງໃຈ.
Xygeni ແກ້ໄຂບັນຫານີ້ດ້ວຍ:
- ການຕິດຕາມກວດກາຢ່າງຕໍ່ເນື່ອງຂອງການລົງທະບຽນເພື່ອລາຍງານແພັກເກດທີ່ເປັນອັນຕະລາຍ.
- Guardrails ການຢຸດທີ່ສ້າງຂຶ້ນເມື່ອກວດພົບການເພິ່ງພາອາໄສທີ່ຖືກກັກກັນ.
- ການແຈ້ງເຕືອນລ່ວງໜ້າເຊິ່ງແຈ້ງໃຫ້ທີມງານຊາບທັນທີເມື່ອມີໄພຂົ່ມຂູ່ໃໝ່ປາກົດຂຶ້ນ.
ປຸ່ມຮັບເອົາທີ່ ສຳ ຄັນ: ເມື່ອພິຈາລະນາຈຸດເຫຼົ່ານີ້ແລ້ວ, ໂດຍອີງໃສ່ພຽງແຕ່ແບບດັ້ງເດີມເທົ່ານັ້ນ SCA ບໍ່ພຽງພໍ, ລະບົບອັດຕະໂນມັດຕ້ອງບລັອກມັນແວໃນເວລາຈິງ.
ບົດຮຽນທີ 3: ຮັກສາຄວາມປອດໄພຂອງໂຮງງານດ້ວຍລະບົບອັດຕະໂນມັດການຄຸ້ມຄອງຄວາມສ່ຽງ
ອັນທີສາມ, Luis ໄດ້ເຕືອນພວກເຮົາວ່າຜູ້ໂຈມຕີບໍ່ໄດ້ແນໃສ່ພຽງແຕ່ແອັບພລິເຄຊັນເທົ່ານັ້ນ, ພວກເຂົາໂຈມຕີ pipeline ຕົວເອງການກະທຳ GitHub ທີ່ອ່ອນແອ, ຂັ້ນຕອນການເຮັດວຽກທີ່ບໍ່ໄດ້ປັກໝຸດ, ແລະໂທເຄັນທີ່ມີສິດທິພິເສດເກີນແມ່ນຈຸດເຂົ້າເຖິງທີ່ງ່າຍ. ເວົ້າອີກຢ່າງໜຶ່ງ, CI/CD ລະບົບແມ່ນ "ໂຮງງານ" ຂອງຊອບແວທີ່ທັນສະໄໝ. ຖ້າໂຮງງານຖືກທຳລາຍ, ທຸກໆສິ່ງປະດິດທີ່ຢູ່ລຸ່ມຈະຕົກຢູ່ໃນຄວາມສ່ຽງ.
ນີ້ແມ່ນບ່ອນທີ່ ການອັດຕະໂນມັດການຄຸ້ມຄອງຄວາມສ່ຽງ ສ່ອງແສງແທ້ໆ. ຕົວຢ່າງ, ໂດຍການຝັງການກວດສອບອັດຕະໂນມັດ, ສິ່ງປະດິດທີ່ໄດ້ເຊັນແລ້ວ, ແລະ ການກວດຈັບຄວາມຜິດປົກກະຕິໂດຍກົງໃສ່ CI/CD, ທີມສາມາດ:
- ປ້ອງກັນການເຮັດວຽກທີ່ບໍ່ປອດໄພ.
- ກວດສອບຄວາມຖືກຕ້ອງຂອງທຸກໆການສ້າງດ້ວຍການຢັ້ງຢືນແບບເຂົ້າລະຫັດ.
- ກວດຫາການກະທຳທີ່ຜິດປົກກະຕິ, ການຍົກລະດັບສິດທິພິເສດ, ຫຼື ປລັກອິນທີ່ຫຼອກລວງໃນທັນທີ.
ປຸ່ມຮັບເອົາທີ່ ສຳ ຄັນ: ສະຫຼຸບແລ້ວ, ການຮັບປະກັນຄວາມປອດໄພຂອງໂຮງງານຮຽກຮ້ອງໃຫ້ມີການບັງຄັບໃຊ້ໂດຍອັດຕະໂນມັດຢ່າງຕໍ່ເນື່ອງ, ການທົບທວນດ້ວຍຕົນເອງຢ່າງດຽວຈະບໍ່ສາມາດຂະຫຍາຍໄດ້.
ນີ້ໝາຍຄວາມວ່າແນວໃດສຳລັບທີມງານ DevSecOps
ໂດຍລວມແລ້ວ, ບົດຮຽນຈາກການສົນທະນາຂອງ Luis ແມ່ນຈະແຈ້ງ: AppSec ທີ່ທັນສະໄໝຕ້ອງລວມເອົາລະບົບອັດຕະໂນມັດການຄຸ້ມຄອງຄວາມສ່ຽງ, ການປ້ອງກັນແພັກເກດ npm ທີ່ເປັນອັນຕະລາຍ, ແລະການຈັດລຳດັບຄວາມສຳຄັນໂດຍອີງໃສ່ຄວາມສ່ຽງ. ຖ້າບໍ່ດັ່ງນັ້ນ, ທີມງານມີຄວາມສ່ຽງທີ່ຈະຈົມຢູ່ໃນສຽງລົບກວນໃນຂະນະທີ່ຜູ້ໂຈມຕີໃຊ້ປະໂຫຍດຈາກຊ່ອງຫວ່າງ.
ດ້ວຍ Xygeni, ອົງກອນຕ່າງໆຈະໄດ້ຮັບ:
- ການຄົ້ນພົບຊັບສິນ ແລະ ສິນຄ້າຄົງຄັງແບບອັດຕະໂນມັດ.
- ຊ່ອງທາງໄດນາມິກສຳລັບ ການຈັດລຳດັບຄວາມສຳຄັນຂອງຄວາມສ່ຽງໂດຍອີງໃສ່ຄວາມສ່ຽງ.
- ປະສົມປະສານການກວດສອບມັນແວ ແລະ ຄວາມລັບໃນເວລາຈິງເຂົ້າກັບ CI/CD.
ດັ່ງນັ້ນ, ລະບົບອັດຕະໂນມັດບໍ່ພຽງແຕ່ກ່ຽວກັບປະສິດທິພາບເທົ່ານັ້ນ; ມັນເປັນວິທີດຽວທີ່ຈະຮັກສາຄວາມຕ້ານທານຕໍ່ກັບການໂຈມຕີລະບົບຕ່ອງໂສ້ການສະໜອງທີ່ພັດທະນາຢູ່ສະເໝີ.
ເບິ່ງການສົນທະນາເຕັມຮູບແບບກັບ Luis Rodríguez
ເບິ່ງກອງປະຊຸມຄົບຖ້ວນ “ການຮັກສາຈຸດອ່ອນທີ່ສຸດ: ການປ້ອງກັນການໂຈມຕີລະບົບຕ່ອງໂສ້ການສະໜອງກ່ອນທີ່ມັນຈະແຜ່ລາມ” ແລະຮຽນຮູ້ວິທີການອັດຕະໂນມັດການຈັດການຄວາມສ່ຽງໃນ DevSecOps ຂອງທ່ານ pipeline.
ພ້ອມແລ້ວບໍທີ່ຈະນຳເອົາບົດຮຽນເຫຼົ່ານີ້ໄປປະຕິບັດ?
ການຈັດການຄວາມສ່ຽງແບບອັດຕະໂນມັດ ແລະ ການປ້ອງກັນຈາກແພັກເກດ npm ທີ່ເປັນອັນຕະລາຍບໍ່ພຽງແຕ່ເປັນທິດສະດີເທົ່ານັ້ນ, ແຕ່ມັນເປັນສິ່ງທີ່ທ່ານສາມາດເລີ່ມຕົ້ນໄດ້ໃນມື້ນີ້. ດ້ວຍ Xygeni, ທ່ານຈະໄດ້ຮັບການຈັດລຳດັບຄວາມສຳຄັນໂດຍອີງໃສ່ຄວາມສ່ຽງ, ການກວດຫາມັນແວໃນເວລາຈິງ, ແລະ CI/CD guardrails ຂະໜາດນັ້ນກັບທີມງານຂອງເຈົ້າ.
ເລີ່ມຕົ້ນການທົດລອງຟຣີຂອງທ່ານ ແລະເບິ່ງວ່າລະບົບອັດຕະໂນມັດການຄຸ້ມຄອງຄວາມສ່ຽງເໝາະສົມກັບຂອງທ່ານໂດຍກົງແນວໃດ pipeline.
