Fizahan-takelaka
Introduction to Build Security ao amin'ny SDLC
Ny tsingerin'ny fampandrosoana rindrambaiko azo antoka (SDLC) dia maneho fomba fiasa feno, mampiditra fomba fanao sy fitsipika momba ny fiarovana amin'ny dingana rehetra amin'ny famoronana sy fametrahana rindrambaiko. Anisan'izany ny dingana fananganana izay tena zava-dehibe. Eo no avadika ho kaody binary ny kaody loharano, ka mametraka ny dingana ho an'ny fanatanterahana. Ity dingana ity dia tena ilaina amin'ny fampidirana ny fiarovana ao amin'ny rindrambaiko, izay ahitana ny fandinihana hentitra ny kaody mba hahitana ny fahalemena, ny fampiharana ny politika momba ny fiarovana, ary ny fiantohana fa ny fiheverana ny fiarovana dia fototra, fa tsy ny eritreritra miverimberina.
Ny maha-zava-dehibe ny Build Security amin'ny Fampandrosoana Rindrambaiko
Build security dia tena ilaina amin'ny famoronana rindrambaiko azo antoka, miasa ho fiarovana mialoha amin'ny mety ho fahalemena, ary miantoka ny fanarahana ny fenitra standards. Ity dingana amin'ny fampandrosoana ity no mampidi-doza indrindra ho an'ny fahamarinan'ny kaody sy ny tsiambaratelony. Mety hiparitaka be ny rindrambaiko simba rehefa misy fahadisoana, ka mahatonga azy io ho tena ilaina ny miaro ity dingana ity mba hiarovana ireo mpampiasa farany sy hitazonana ny fitokisana ary ny fanarahana ny lalàna. Ankoatra izany, ny dingana fanamboarana dia tena ilaina amin'ny fampihenana ny loza mety hitranga mifandraika amin'ny rojo famatsiana rindrambaiko, izay mety hisy fiantraikany miely patrana ny fahalemena amin'ny lafiny rehetra. Manantitrantitra build security mametraka ny fototra ho an'ny fanavaozana amin'ny ho avy, ahafahan'ny fikambanana mampivelatra ny fomba fanao amin'ny fampandrosoana azy ireo soa aman-tsara.
Fanasongadinana ny voka-dratsin'ny tena izy
Ny maha-zava-dehibe ny matanjaka build security Ireo fepetra ireo dia aseho mazava tsara amin'ny tranga toy ny fanitsakitsahana ny SolarWinds Orion, ny fanitsakitsahana ny Codecov Bash Uploader, ny tranga Event-Stream, ny fanitsakitsahana ny angon-drakitra Equifax, ary indrindra indrindra, ny Ledger Attack. Ireo ohatra ireo dia fampahatsiahivana mazava ny fiantraikan'ny tsy fanarahan-dalàna momba ny fiarovana mandritra ny dingana fananganana, manomboka amin'ny fanamorana ny fanafihana amin'ny rojo famatsiana ka hatramin'ny fampiharihariana angon-drakitra saro-pady amin'ny ambaratonga goavana.
Ny Fanafihana Ledger
Ny fanafihana Ledger dia maneho fanararaotana sarotra ny fahalemen'ny rojo famatsiana rindrambaiko, manamarika zava-nitranga manan-danja eo amin'ny sehatry ny fiarovana an-tserasera. Natomboka tamin'ny alàlan'ny fanafihana spear phishing izay nikendry ny kaontin'ny NPM an'ny mpiasan'ny Ledger teo aloha, afaka namoaka dikan-teny ratsy amin'ny fitaovana connect-kit an'ny rindrambaiko an'ny Ledger ireo mpanafika. Niteraka fatiantoka farafahakeliny $600,000 avy amin'ny poketra fitaovana an'ny mpampiasa ity fandikan-dalàna ity. Tsy toy ny fanafihana mivantana tamin'ny fizotran'ny fananganana, ity tranga ity dia nampiasa ny fitokisana napetraka tamin'ny fiankinan-doha amin'ny antoko fahatelo sy ny rojo famatsiana rindrambaiko, izay manasongadina ireo fandrahonana sarotra atrehin'ny fampandrosoana rindrambaiko maoderina. Ny fandikan-dalàna dia tsy vitan'ny hoe nampiharihary ny maha-zava-dehibe ny fiarovana ny fiankinan-doha amin'ny rindrambaiko fa nanasongadina ihany koa ny filàna fanaraha-maso hentitra ny fidirana, ny fitantanana ny fahazoan-dàlana, ary ny fanaraha-maso mialoha ny singa avy amin'ny antoko fahatelo. Ny tranga Ledger dia fampahatsiahivana mazava ny mety ho vokatry ny tsy firaharahiana ny fiarovana ao amin'ny rojo famatsiana rindrambaiko sy ny maha-zava-dehibe ny fandraisana fepetra fiarovana feno mba hiarovana amin'ny fanafihana mivantana sy ankolaka.
Ny fiparitahan'ny SolarWinds Orion
Anisan'ny fanafihana goavana sy sarotra indrindra tato ho ato ny fihoaram-pefy nataon'ny SolarWinds Orion, izay nikatsaka ny hanararaotra ireo fahalemena nandritra ny fanamboarana ny rindrambaiko SolarWinds. Nametraka ny kaody ratsy tao anatin'ny rafitra fanamboarana ireo mpanafika nandritra ny fanavaozana ny rindrambaiko ary nandefa izany tany amin'ny mpanjifa 18,000, anisan'izany ireo masoivoho governemanta sy orinasa lehibe. Nasongadiny ny maha-mampidi-doza sy mivelatra ny fanafihana toy izany amin'ny rojo famatsiana.
Ny fifanarahana amin'ny Codecov Bash Uploader Script
Fampiharana iray hitsapana ireo fepetra fandrakofana kaody izay voahitsakitsaka ny Codecov. Afaka nanova ny script Bash Uploader-ny ireo mpanafika ary naka angona avy amin'ny tontolo iainana an'ny mpanjifa an'arivony maro. Ity fanitsakitsahana ity dia manamafy ny mety ho loza ateraky ny fitaovana fananganana ary manaporofo fa tsy maintsy arovana ny fahamarinan'ny script sy ny fitaovana fananganana.
Ny Zava-nitranga Mifamahofaho
Raha ny tranga Event-Stream, dia nisy fonosana NPM malaza be voajirika. Tao anatin'ity fonosana ity, nisy mpikarakara voalohany nanolotra ny fifehezana tamin'ny mpanafika iray izay mody nikarakara fatratra. Tatỳ aoriana, dia nampiditra entana tao anaty fonosana izay nanana fikasana ratsy ilay mpanafika, nikendry sehatra cryptocurrency iray manokana. Ity no ohatra tonga lafatra amin'ny fanadihadiana tranga iray izay mampiseho ny mombamomba ny risika ateraky ny fahalemena amin'ny fiankinan-doha sy ny ambaratongan'ny fanamarinana azo ampiharina izay tokony hataon'ny orinasa amin'ny fonosana sy mpikarakara antoko fahatelo.
Ny fanitsakitsahana ny angon-drakitra Equifax
Na dia tsy fahalemena fotsiny aza ny fanitsakitsahana ny angon-drakitra Equifax nandritra ny dingana fanamboarana, dia vao mainka niharatsy kokoa izany noho ny tsy fanavaozana ny tranomboky an'ny antoko fahatelo izay tokony ho nohavaozina nefa marefo (amin'ity tranga ity, Apache Struts). Nisy fiantraikany tamin'ny olona 147 tapitrisa izany. Amin'ny lafiny rehetra, ny fanitsakitsahana ny angon-drakitra Equifax dia tantara fampitandremana momba ny fitantanana ny fiankinan-doha.
Loza mipoitra ho an'ny Build SecuritySary fohy
Ao anatin'ny tambajotra sarotra amin'ny fampivoarana rindrambaiko maoderina, ny dingana fananganana dia mijoro ho teboka manan-danja izay anova ny kaody loharano ho rindrambaiko azo ampiasaina. Ity dingana ity dia tsy momba ny fanangonana fotsiny ihany fa momba ny fiantohana ny fiarovana sy ny fahamarinan'ny vokatra farany ihany koa. Ny fahafantarana ireo fandrahonana mahazatra atrehina mandritra ity dingana ity dia tena ilaina mba hihazonana ny fahamarinan'ny rafitra. software supply chain securityRaha te-handalina kokoa momba ireo fandrahonana ireo sy paikady feno hampihenana izany ianao dia diniho ny fandinihana lalina momba Loza ateraky ny rojo famatsiana rindrambaiko mandritra ny dingana fananganana.
- nandika CI/CD Pipelines: Fandosirana ny fiarovana ny CI/CD Ny dingana dia ahafahan'ny mpanafika mampiditra kaody mampidi-doza mivantana ao amin'ny fananganana, amin'ny alàlan'ny fandingana ny fanamarinana fiarovana ilaina.
- Fanovana ny fanaraha-maso aorian'ny loharano amin'ny kaody: Fanovana natao tamin'ny kaody loharano taorian'ny commitNy tsy fanaraha-maso ny loharano dia mety hampiditra fanovana tsy nahazoana alalana, izay manimba ny fahamarinan'ny rindrambaiko.
- Fampihenana ny fizotran'ny fanangananaNy fanodinkodinana mivantana ny fizotran'ny fananganana dia mety hiteraka fampidirana kaody mampidi-doza, fanovana ny niandohan'ny fananganana na fanelingelenana tanteraka ny fizotrany.
- Tahiry Artifact Mampidi-doza: Ny fidirana tsy nahazoana alalana, na ny fanodinkodinana, ny tahiry artifact dia mety hanelingelina ny fizotran'ny fametrahana ary hampiditra rindrambaiko voajirika ao amin'ny rojo famatsiana.
misy poizina Pipeline Famonoana (PPE): Loza Lalina Kokoa
misy poizina Pipeline Miseho ny fahalemen'ny fanatanterahana (PPE) rehefa manodinkodina ny fizotran'ny fananganana ireo mpanafika, na amin'ny alàlan'ny fanovana ny CI/CD pipeline fikirakirana mivantana (Direct PPE, na D-PPE) na amin'ny fanovana ireo rakitra pipeline referansa (PPE ankolaka, na I-PPE). Mety hanimba tanteraka ny fahamarinan'ny rindrambaiko ny fanafihana toy izany, ka mahatonga ny rafitra famantarana sy fiarovana mialoha ho tena ilaina.
Fahatakarana ny karazana PPE
- PPE mivantana (D-PPE) Mitranga rehefa manova ny rakitra fikirakirana CI ireo mpanafika mba hampandeha baiko ratsy ao anatin'ny tontolo fananganana, ka mandingana ny standard protocols fiarovana.
- PPE tsy mivantana (I-PPE) mivelatra amin'ny alàlan'ny fanovana ireo rakitra ivelany pipeline mandrindra, toy ny script, ahafahan'ny mpanafika mampiditra kaody mampidi-doza ankolaka.
Fampiharana mahomby Build Security fepetra
Mba hiatrehana ireo fandrahonana sy fahalemena ireo mandritra ny dingana fananganana, dia tokony hampiharina ny rafitra ampiasaina araka ny tokony ho izy sy ny fanarahana ny fomba fanao tsara indrindra araka ny voalazan'ny manampahefana toa ny NIST. Azo hatsaraina amin'ny alàlan'ny fampiharana sy ny fanarahana ireo rehetra voalaza etsy ambony ireo. Rafitra Fampandrosoana Rindrambaiko Azo Antoka an'ny NIST (SSDF)), ankoatra ny loharano hafa, ny fanatsarana ny fihetsikao amin'ireto fomba manaraka ireto.
Tena ilaina Build Security Fomba fanao tsara indrindra:
- Fandrafetana kaody azo antoka: Ampiharo ireo fomba fanao tsara indrindra amin'ny fiarovana ny kaody mandritra ny fampandrosoana. Fantaro ireo fahalemena mety hitranga amin'ny alàlan'ny fampiasana fitaovana famakafakana kaody statika izay tena ilaina amin'ny dingana fananganana.
- Famakafakana ny firafitry ny rindrambaiko (SCA): Ampitambatra SCA fitaovana miaraka amin'ny anao CI/CD pipeline mba hahitana ireo fiankinan-doha open-source ampiasaina ao amin'ny rindrambaiko miaraka amin'ny fahalemena fantatra ary hitazona ny vaovao farany Lisitra momba ny fitaovana rindrambaiko (SBOM).
- Tontolo iainana azo antoka amin'ny fanorenana: Ampiasao ireo fanaraha-maso fidirana matanjaka indrindra izay mety hamerana ireo fidirana tsy nahazoana alalana ao amin'ireo mpizara sy tahiry namboarina.
- Fitaovana fanaraha-maso mitohy raha fintinina dia manondro ny fahitana izay endrika hetsika mampiahiahy mitranga ao amin'ny tontolo fanorenana. Hohamarinina izany ary halefa soa aman-tsara any amin'ny pipeline amin'ny alalan'ny sonia nomerika. Tsy maintsy misy rafitra fanamarinana isan-karazany hapetraka mba hahazoana antoka ny maha-azo itokiana ny zavatra vita pirinty alohan'ny hampiasana azy.
Ny herin'i Build Attestations
Tena ilaina ny fomba fanao tsara indrindra toy ny fandrafetana kaody azo antoka sy ny tontolo fananganana azo antoka, saingy miaraka amin'ny Xygeni Build Security Vahaolana, izany indrindra no ataon'izy ireo. Mifandray amin'ny fomba fiasanao ny vahaolanay mba hanomezana fomba feno momba ny build security izay ahitana ny fahefan'ny fanamarinana.
Eritrereto hoe antontan-taratasy nosoniavina ny fanamarinana ny fananganana izay miantoka ny maha-azo itokiana sy ny fahamarinan'ny fananganana. Izany indrindra no atao hoe fanamarinana ny fananganana—fanangonana metadata nosoniavina tamin'ny alalan'ny kriptografika izay mirakitra ny antsipirian'ny fizotran'ny fananganana. Ireo dia karazana mpiambina ny fizotran'ny fananganana ary miatrika tombony maro azo avy amin'ireto manaraka ireto.
- Nohatsaraina ny mangarahara: Ny Fanamarinana ny Fanorenana dia miantoka fa misy ny fahatokisana amin'ny alalan'ny fahitana mazava tsara ny tontolo manodidina ny fanorenana, ny fitaovana, ny firafitra ary ny fiankinan-doha ampiasaina amin'ny fananganana ny Fanorenana. Ny tontolo mangarahara toy izany dia hamporisika ny fitokisana sy angamba ny fiaraha-miasa.
- Fanamarinana Mandritra ny Pipeline: Ny fanamarinana dia manome antoka fa amin'ny dingana rehetra ao amin'ny CI/CD pipeline, manomboka amin'ny kaody loharano ka hatramin'ny zavatra vita farany, dia azo hamarinina ny maha-izy azy. Manamarina izany fa tsy misy fanovana tsy nahazoana alalana nitranga nandritra ny fizotran'ny fananganana.
- Fototra matanjaka kokoa hanaraha-maso sy hanamarina: Ny angon-drakitra amin'ny antsipiriany ao anatin'ny fanamarinana dia manorina ny fototra ho an'ny fanadihadiana mitohy momba ny fiarovana mandritra ny tsingerin'ny fampandrosoana, ahafahan'ny olona iray mamantatra mialoha izay mety ho fahalemena tokony hovahana.
Ahoana Xygeni Build Security Mampiasa Fanamarinana
Ao no misy izany Build Security Ny vahaolana dia maka ny foto-kevitry ny Build Attestations Dingana iray lavidavitra kokoa noho ny fampiasana ny automation, ary mandray dingana goavana iray fanampiny amin'ny fomba fiasa mivelatra kokoa ny Xygeni.
- Famokarana Fanamarinana ho azy: Xygeni, izay tsy maintsy atao mandeha ho azy ny famoronana fanamarinana, mba hamoronana fanamarinana tsy misy fanovana tsy mila fidirana an-tsehatra amin'ny tanana, ary amin'ny fomba izay manome fanamarinana tsy tapaka amin'ny fananganana rehetra.
- Fanangonana sy fitahirizana porofo azo antoka: Manome fiarovana amin'ny fomba fanangonana sy fitahirizana porofo ny Xygeni. Manangona ny porofo amim-pitandremana tsara izy avy amin'ny lafiny rehetra amin'ny fizotran'ny fananganana. Mitahiry ny fanangonana ao amin'ny fotodrafitrasa fitahirizana azo antoka izy, miantoka fa tsy misy diso ny fanamarinana.
- Fanaraha-maso Fanamarinana Granular: Ny vahaolanay dia mifehy ny fanamarinana, izay manaraka tsy tapaka. Manome andiana politika azo amboarina izy io; azo ampidirina na tsy ampidirina ao anatin'ny dingana ny fanamarinana, ka amboarina tsara araka izay ilaina.
- Fitihana Loza Amin'ny Fotoana Mivantana sy Mahatalanjona: Ny andiana endri-javatra feno momba ny tatitra avy amin'ny Xygeni dia mihoatra lavitra noho ny fampandrenesana tsotra momba ny tsy fahombiazana/fahombiazana. Ny rafitray dia manome topimaso azo ampiharina amin'ny fizotran'ny fananganana anao mba hanampiana anao hahafantatra sy hanitsy mialoha ny mety ho fahalemena.
Ny Tombony Xygeni: Tombontsoa azonao itokisana
Amin'ny fampiasana Xygeni Build Security, mahazo tombony maro ianao:
- Fitokisana sy Mangarahara Nohatsaraina: Ny fanamarinana ny fanorenana dia miantoka fa ny mpandray anjara rehetra dia mahazo sary mazava momba ny fizotran'ny fanorenana, ary mandritra izany dia mitombo ny fitokisana sy ny fiaraha-miasa.
- Fampihenana ny mety hisian'ny fahadisoana sy ny fahalemena: Ny famoronana sy fanamarinana mandeha ho azy dia mampihena ny mety hisian'ny fahadisoana sy ny fahalemena amin'ny faran'izay kely indrindra azo atao, ka manome fiarovana tsy tapaka manerana ny fananganana. pipeline.
- Kalitaon'ny Rindrambaiko Nohatsaraina: Mahazoa fahalalana lalina momba ny fandrahonana sy fahatakarana lalina mba hahazoana antoka fa afaka manome vokatra rindrambaiko tsara kalitao sy azo antoka kokoa ianao.
- Fanaraha-maso tsotra: Manamora ny ezaka fanarahana ny lalàna ny fampifanarahana nataon'ny Xygeni tamin'ny tolo-kevitry ny NIST SP 800-204D.
Vonona ny hianatra bebe kokoa? Mifandraisa amin'i Xygeni anio raha te hahalala ny fomba fiasanay Build Security afaka manome hery ny ekipanao mpamorona ny vahaolana.
Jereo ny Video Demo anay
