Ity no fizarana fahatelo amin'ny andian-dahatsoratra momba ny karazana fanafihana amin'ny rojo famatsiana rindrambaiko miely patrana indrindra: ireo izay manararaotra ny rejisitra ho an'ny daholobe Open-source singa rindrambaiko. Rehefa avy nandinika tao amin'ny fizarana teo aloha "Anatomia amin'ireo fonosana ratsy fanahy: Inona avy ireo fironana?"Ahoana no fomba ampidiran'ireo olon-dratsy fitondran-tena ratsy amin'ireo singa vaovao na efa navoaka, vonona izahay ny hanao ny akanjo famonoana afo ary handinika ny fomba ahafahanay manakana amim-pahombiazana ireo rindrambaiko ratsy alefa amin'izany fomba izany, na koa, miatrika tranga an-tserasera mety ho lehibe satria nandray fomba fiasa diso izahay."
Ny ankamaroan'ny matihanina mahafantatra ny fiarovana dia manana hevitra momba ny fomba hiatrehana ity fandrahonana ity. Efa nandre mpitantana ny fiarovana nilaza tsy nisalasala izahay fa SCA Efa milaza aminao ny fitaovana rehefa malware ny dikan-teny iray. Na miankina amin'ny singa rindrambaiko malaza sy nojerena tsara izy ireo, izay ahafahana mamantatra sy manala avy hatrany ny malware rehetra. Mampiasa dikan-teny open minor/patch izy ireo mba hahazoana fanamboarana ho azy ny fahalemena, ary izany no fomba mety sy atolotra hampihenana ny risika amin'ny fiankinan-doha amin'ny open source, manaraka ny "mametaka aloha, mametaka matetika” fitsipika.
Ato amin'ity fizarana ity, dia hojerentsika ny antony maha-diso ireo hevitra ireo, ary ny fomba andraisan'ireo hevi-diso ireo anjara amin'ny lazan'ity rafitra fanafihana ity, ary ny loza mitatao ateraky ny fikambanana. Hofaranantsika amin'izay tena mahomby, ary inona no ezaka sy loharanon-karena tafiditra amin'izany.
Hevi-diso fahita
Nandritra ny dianay tamin'ny fiarovana rindrambaiko, dia nahita ny fivoaran'ny teknika fanafihana sy ny hevitra maro samihafa avy amin'ireo olona mitandrina ny fiarovana izahay. Matetika ny fikambanana no tsy mahatakatra izay mahomby amin'ity fandrahonana ity, koa hodinihintsika aloha izay tsy mahomby, izay hofintinina amin'ity lisitra manaraka ity, fa tsy feno, momba ireo hevi-diso.
Hevi-diso #1: SCA efa mitatitra singa manimba ny fitaovana
Tokoa! Fa taorian'ny zava-misy… Rehefa mety ho tara loatra raha toa ka nampiasaina tamin'ny fananganana rindrambaiko ilay singa, ary efa nahazo toerana tao amin'ny mpamorona rindrambaiko na CI/CD mpampiantrano. Mety ho voasokajy ny tsiambaratelo, nisy rindrambaiko ratsy fanampiny nakarina sy napetraka, ary angamba nifindrafindra toerana ny fahavalo ary efa nahazo fidirana tany an-kafa.
Famakafakana ny firafitry ny rindrambaiko (SCA) dia natao hamantarana ireo fahalemena mety ho fantatra. Manao asa tsara ireo fitaovana maoderina amin'ny fampitomboana ny tahan'ny signal-noise, mamaritra raha azo tratrarina na azo ampiasaina tokoa ny fahalemena. Saingy tsy misy ilana azy ireo amin'ny malware vaovao. Eritrereto ho fahalemena zero-day ny singa ratsy iray: Rehefa hita ny fitondran-tenany ratsy dia taterina any amin'ny rejisitra mpihazona ilay singa, izay rehefa avy nojeren'ny ekipa fiarovana dia voamarina fa ratsy ary esorina amin'ny rejisitra. [1].
Amin'izay fotoana izay, izao tontolo izao (anisan'izany ny SCAs) mahafantatra fa tsy zavatra tsara ny fametrahana na fampiasana ny singa (na ny dikan-teny sasany amin'ny singa efa misy). Saingy amin'izay fotoana izay dia tsy azo jerena ao amin'ny rejisitra ilay singaTsara ny mahafantatra fa manana fahalemena amin'ny singa avy amin'ny antoko fahatelo aho, na singa izay sokajiana ho mampidi-doza araka ny rejisitra, saingy indrisy SCA na ireo fitaovana fanaraha-maso mahazatra dia tsy manampy amin'izany toe-javatra izany. Raha tsy ny SCANy fitaovana /audit dia afaka mahafantatra mialoha fa misy singa ratsy ny fitaovana iray alohan'ny hampiasana azy ao amin'ny orinasanao..
Tsarovy fa ny vahaolana rehetra hanoherana ireo singa open-source ratsy dia tsy maintsy mamantatra azy ireo. on-ny-lalitra, eo anelanelan'ny fotoana avoaka ao amin'ny rejisitra ny singa sy ny fotoana ampiasana voalohany ny singa (dikan-teny) ao amin'ny fikambananao. Ary tafiditra ao anatin'izany ny singa tetezamita.
Hevi-diso #2: Ny fanaraha-maso ny script fametrahana amin'ny fotoana fanamboarana dia misoroka ny fihetsika ratsy avy amin'ny singa open-source
Ireo mpitantana fonosana isan-karazany dia manolotra ny fahafahana mampandeha script (tafiditra ao amin'ny singa tarball [2]), noho ny antony ara-dalàna, toy ny fanangonana ireo zavatra ilaina amin'ny sehatra samihafa, famoronana kaody, na fanaovana fitsapana, ary tokony ho fantatsika rehetra fa mety ho ampiasain'ireo mpanao ratsy izy ireo raha toa ka tafiditra ao amin'ny tarball ny script ratsy, na raha toa ka afaka mampandeha script ratsy ny mpanafika fa tsy ilay tsara.
Raha fantatsika izany, dia afaka manamboatra ny mpitantana ny fonosana isika mba tsy hiraharaha ireo script. Ohatra, amin'ny NPM ny – tsinontsinona-scripts sainam-pirenena (na toetra fandrindrana ao amin'ny .npmrc rakitra) mandingana ireo script mandritra ny fametrahana. Mety hiteraka olana sasany izany satria mahazatra amin'ny tontolo iainana maro ny fampiasana script: Ny mpitantana fonosana sasany dia tsy mamela ny fanafoanana ny fanatanterahana script akory (soso-kevitra: "prompt"Iza amin'ireo mpitantana fonosana no tsy mamela ny fanafoanana ny fanatanterahana ny script fametrahana?"ao amin'ny AI tianao indrindra). Saingy tsy miaro amin'ny ankapobeny izany (mila mampihatra isika fa ny fikirakirana "skip disable" dia hita na aiza na aiza).
Ary rehefa tsy ao amin'ny script fametrahana no misy ny fihetsika ratsy fa ao amin'ny rindrambaiko hampiasaina mandritra ny fotoana fanombohana, dia tsy miaro antsika io safidy io irery.
Hevi-diso #3: Ny fametahana dikan-teny dia misoroka ny fametrahana singa mampidi-doza
Misy fifanakalozana eo amin'ny fanamboarana aloha sy matetika amin'ny dikan-teny misokatra (mamela ny mpitantana ny fonosana hametraka fanavaozana vaovao ho azy rehefa misy fanamboarana fiarovana) ary fametahana dikan-teny (manana ny fiankinan-doha mivantana sy tetezamita rehetra ho an'ny rindrambaiko amin'ny dikan-teny raikitra). Sarotra ny fitsipiky ny fiarovana ary indraindray mifanohitra, toy ny mitranga amin'ny "patch aloha, patch matetika" ary "Tsy tokony hohamaivanina ny fanavaozana"Misy mpitantana fonosana sasany manao fanavaozana mandeha ho azy miaraka amin'ny laharan'ny mpizara araka ny fomba atolotra. Tsara raha te handray fanavaozana mampidi-doza koa ianao! Eny, tsy maintsy havaozina ny singa mba hahazoana fanamboarana fiarovana izay manidy ireo lesoka haingana araka izay azo atao, fa ... aza avela hanao izany ho azy mihitsy ny mpitantana fonosana.
Hevi-diso #4: Azo antoka ny fampiasana singa azo itokisana. Ho hita sy havoaka ary hesorina avy hatrany izay dikan-teny manimba.
Nahoana no azo itokisana ny singa iray? Angamba satria malaza be izy io, miaraka amin'ny olona maro mitady ny fahalemena, mpandray anjara maro amin'ny fikojakojana, miaraka amin'ny mpikojakoja fototra maromaro izay mandinika tsara ny zava-drehetra. pull requestsHafa mihitsy ny zava-misy. Ny singa tena ilaina sasany dia tantanan'ny mpamorona rindrambaiko tokana tsy karamaina. Ny rafitra ampiasaina betsaka dia manana mpandray anjara tsy tapaka vitsivitsy, miaraka amin'ny fihenan'ny isan'ny commits isaky ny mpikojakoja (ireo tetikasa malaza dia manana mpandray anjara lava be izay manao drive-by sasany commit ary tsy hiverina intsony). Ary maro ireo tetikasa malaza misy mpikojakoja tokana.
Alaivo sary an-tsaina hoe miteny ianao hoe "Oh, mampiasa sary fototra Spring Boot / Angular / React / PyTorch / Docker ofisialy izahay, ka ambany dia ambany ny risika resahinao." Angamba marina izany, izahay mpivarotra fiarovana dia mampitahotra foana, ary ny fitsabahana amin'ny ekipa mpamorona mba hampihenana ny risika azo iadian-kevitra dia hadalana. Mety halaim-panahy hitsambikina any amin'ny fehintsoratra momba ny fanekena ny risika ianao (ao amin'ny fizarana manaraka) ary vita ny zava-drehetra. Indrisy anefa fa ireo singa malaza indrindra dia lasibatry ny mpanao ratsy, ary ohatra, ny malaza Nisy nanafika ny tranomboky PyTorch taloha.
"Hita avy hatrany, nambara ary nesorina". Maharitra andro maromaro vao azo esorina ao amin'ny rejisitra ho an'ny daholobe ny singa vaovao mampidi-doza. Mitandrina tsara ny rejisitra amin'ny fanesorana ny dikan-singa iray, ho amin'ny tsara. Ny zavatra niainanay dia rehefa avy nitatitra avy aminay ny rejisitra, ny fotoana antonony ho an'ny rejisitra hanesorana ny dikan-singa voakasik'izany dia 39 ora, mihoatra ny iray andro sy tapany. Misy singa mampidi-doza herinandro aorian'ny tatitra voalohany nataonay tao amin'ny rejisitra alohan'ny hanesorana azy. Ary amin'ny tranga sasany, ny singa dia esorina rehefa avy mitatitra tranga mahakasika ny singa ny niharam-boina na ny orinasa mpamonjy voina.
Inona no TSY MIASA AMIN'NY SINGA RATSY
Tsy hahomby tanteraka ny fomba fiasa tsy voafaritra tsara. Azo antoka izany, tsy manome fepetra mahomby hanoherana ny loza ateraky ny fandrahonana ianao.
nentim-paharazana SCA Ireo fitaovana ireo dia milaza aminao momba ny malware fantatra saingy manana varavarankely lehibe ahafahana mijery azy. Raha tsy manao fitiliana malware mialoha izy ireo amin'ny alàlan'ny fanakanana an-tery ireo singa manimba, dia tsy miasa amin'ity fandrahonana ity izy ireo.
Mety hanampy ny fanafoanana ny script fametrahana saingy mila ampiharina amin'ny toerana rehetra ilaina hametrahana singa iray. Toy izany koa ny fametrahana dikan-teny, satria tsy azo atao mandrakizay ny mametraka dikan-teny avy amin'ny toetra voalohany azo antoka.
Ny fiheverana fa mahazo saina ampy ireo singa malaza ka tsy azo ampidirina amin'ny fanafihana tsy nahy amin'ny rojo famatsiana raha tsy misy ny famantarana eo no ho eo mba hisorohana ny fahasimbana dia hadalana sy mampidi-doza. Tsy te hiaina eo amin'ny sisin-tany ianao, sa tsy izany?
Raha mijanona amin'izao fotoana izao ianao dia fanekena ny risika no hany zavatra azonao atao: Ity dia decisizay mila voarakitra an-tsoratra ao amin'ny modely fandrahonana/fanombanana ny risika, anisan'izany ny antony ekena ny risika sy ny mety ho fiantraikany. Ampitomboy ny fahatsiarovan-tena amin'ny alàlan'ny fampitana izany amin'ny fitantanana sy ireo antoko hafa mifandraika amin'izany. Ny sasany ho foana azo kasaina hatao rehefa misy singa ratsy napetraka na tafiditra ao amin'ny rindrambaikonao, saingy sarotra izany satria maro ny lalana tsy maintsy harahin'ireo mpanafika. Ny antsipirian'ny fanafihana amin'ny rojo famatsiana mifototra amin'ny fampiasana singa ratsy dia hanova be ny famoahana ampahibemaso ny tranga, izay mety tsy maintsy atao araka ny rafitra ara-dalàna ao amin'ny fikambanananao. Azonao atao ihany koa ny miresaka momba izany fanaraha-maso fanonerana or risika amin'ny famindrana ohatra amin'ny fiantohana.
Na izany aza, misy fanaraha-maso izay mamaha ny fandrahonana ary tokony hodinihina raha tsy afa-po amin'ny fanekena ny risika ianao. Azafady tohizo ny famakiana.
Inona no miasa amin'ny fanafihana mampiasa singa ratsy?
Fitantanana Version matanjaka
Ny fametrahana "version pinning" miaraka amin'ny "version bumps" voafehy sy voafehy no fomba tokony hatao, mba handanjalanjana ny filàna fanesorana ireo lesoka tsy misy malware. Saingy tadidio ny hevi-diso #3: Ny fametrahana "version pinning" irery dia tsy ampy hanakanana ny kaody ratsy avy amin'ny dikan-teny vaovao, satria mila manavao ny dikan-teny amin'ny ho avy ianao amin'ny fiankinan-doha mivantana na ankolaka. Amin'izay fotoana izay dia mila porofo matanjaka ampy ianao mba tsy hisian'ny malware amin'ny dikan-teny novaina rehetra.
Fampitandremana mialoha
Ny fomba iray hiatrehana ny olan'ny singa manimba dia ny rafitra fampitandremana mialoha (antsoina eto hoe Fampitandremana mialoha momba ny malware na MEW), izay anadihadian'ny motera famantarana ireo dikan-teny vaovao navoaka (ho an'ny singa vaovao na efa misy), izay rehefa ampy ny porofo hita dia mety hanasokajy ny dikan-teny vaovao ho mety hampidi-doza.
Tena ilaina eto ny fanaovana automatique, satria tsy azo atao ny mijery amin'ny tanana ireo singa vaovao rehetra amin'ny tahan'ny famoahana ankehitriny. Noho izany dia mila mampifangaro teknika isan-karazany ny motera fitadiavana, angamba anisan'izany ny famakafakana statika, dinamika, ary fahaiza-manao, ny lazan'ny mpampiasa, ary ny porofo avy amin'ny tsy fitoviana eo amin'ny metadata-n'ny singa sy ny votoatin'ny tarball, na eo amin'ny tarball sy ny tahiry loharano izay heverina fa niavian'ny singa.
Misy faritra maizina eo anelanelan'ny fotoana famoahana sy ny fotoana hamakafakana ny votoatin'ny singa ny motera, saingy tsy tokony hihoatra ny minitra vitsy izany. Azo ovaina ny tetika, ohatra amin'ny fiandrasana ny famakafakana ireo singa vaovao alohan'ny hamelana azy ireo hapetraka sy hampiasaina amin'ny fananganana rindrambaiko. pipelines, na mamakafaka azy ireo araka izay ilaina. Tsy azo ovaina ny singa iray amin'ny dikan-teny iray [3], ka indray mandeha monja no ilaina hamakafakana azy.
Tsy azo atao ny mandeha ho azy tanteraka, ary ilaina ny famerenana ny fiarovana ireo singa mety hanimba. Mitandrema amin'ireo mpanohana ny vahaolana nomerika: Tsy ampy ny fivoaran'ny AI sy ny Machine Learning ka tsy afaka mandray ny andraikitra farany amin'ny fanamafisana raha misy malware ny singa mampiahiahy iray. Mazava ho azy fa mitana anjara toerana lehibe amin'ny motera famantarana ny fianarana milina amin'ny fanasokajiana ny singa miditra avy amin'ny porofo manta voaray, fa rehefa "voatokana" ny singa dia ny famerenana amin'ny tanana ataon'ny ekipa fiarovana manana traikefa amin'ny singa mampidi-doza no andraikitra farany. Izany dia manamafy izay malware mety hitranga na manasokajy azy indray ho azo antoka. Ary ny fe-potoana dia ao anatin'ny elanelan'ny ora.
Ny rejisitra dia mitatitra momba ny dikan-teny/singa manimba; avy eo ny rejisitra dia manao ny famerenany mba hanamafisana ary manohy amin'ny famoahana ampahibemaso sy fanesorana amin'ny rejisitra. Ny rejisitra sasany dia mitazona fonosana fiarovana. Ny elanelam-potoana eto dia ny andro na herinandro nanomboka ny famoahana, izay ny 'fotoana iainana'na'varavarankely fampiharihariana' ho an'ny ankamaroan'ny singa manimba.
Azo fantarina ve raha misy dikan-teny ratsy amin'ny singa iray?
Koa mba ho fampitandremana mialoha, mila manome valiny mahafa-po amin'ity fanontaniana ity isika: Ahoana no ahafantarako fa (tsy) ratsy fanahy ny tranomboky na fonosana iray? Ahoana no fomba hanangonana porofo ampy momba ny fitondran-tena ratsy? Azo atao izany, saingy sarotra, satria mampiasa fahaiza-manao be ny fahavalo mba tsy ho tratra. Misy fomba fiasa samihafa, samy manana ny tombony sy ny fatiantoka.
Fanadihadiana static afaka mandinika ny lalan'ny fampiharana rehetra, manamarina ny teknika ampiasain'ireo mpanafika tsy mila mampiasa ny singa, ary manao asa fanodinana mialoha toy ny fanesorana ny obfuscation na ny famakiana. Rehefa miezaka manafina ny fahadisoany ireo mpanafika, dia porofon'ny malware tokoa ny andrana obfusation (saingy mariho fa ireo singa ara-dalàna dia manafina ny kaody ho fiarovana ny fananana ara-tsaina, mifanohitra amin'ny "loharano misokatra"). Vitsy an'isa amin'ireo fanafihana tena arifomba miaraka amin'ny fanafenana mahery vaika no mila fanamboarana amin'ny alalan'ny "sandboxing", saingy famantarana ny hasomparana mahery vaika toy izany ny fanafenana mahery vaika toy izany. Mariho fa ny fomba mahazatra SAST Natao ho an'ny fahalemena tsy nahy ireo fitaovana ireo, fa tsy ho an'ny fikasana ratsy toy ny backdoors.
Famakafakana dinamika mampandeha ny singa ary mandinika ny valiny amin'ny alàlan'ny fandrefesana ny fotoana fiasana, matetika amin'ny alàlan'ny fanomezana tontolo voafandrika. Ny fitondran-tena ratsy ateraky ny fepetra sasany dia mety tsy ho hita: mariho fa ny malware dia mety hampiasa teknika fisorohana toy ny Fampiharana virtoaly/Fialana amin'ny boaty fasika hiasa rehefa tsy eo ambany fanaraha-maso ihany, ary koa famantarana ny asa ratsy ho an'ny motera fanadihadiana statika rehetra.
Famakafakana ny fahaiza-manao mandinika izay ataon'ilay singa: ny toerana ifandraisan'izy io, ny rakitra inona no idirany, ny baiko na programa inona no ampiasaina, ny terminal na ny fitaovana I/O atao, na ny antso an-tariby inona no ampiasaina. Azo ampitahaina (ho an'ny singa efa misy) amin'ny dikan-teny samihafa io dian-tanana io, ka rehefa hita ny fihetsika tsy ampoizina, dia mety hampiahiahy ny fisian'ny hetsika ratsy mety hampidirina ao amin'ny dikan-teny vaovao izany porofo izany. Ity fomba fiasa ity dia manaraka ny dingana fizarana izay arahin'ireo mpandinika fiarovana rehefa sendra malware mety hitranga: fanaraha-maso mampiasa tady na fitaovana mitovy amin'izany. Ity fomba fiasa ity dia mamantatra ny fitondran-tena ratsy na inona na inona toe-javatra mahatonga azy ary miasa rehefa tsy misy kaody loharano azo ampiasaina.
Famakafakana ny toe-javatra Manangona fampahalalana momba ny fomba namoahana ny singa sy izay namoahana azy. Matetika ny fampielezan-kevitry ny mpanao ratsy dia mampiasa kaonty mpampiasa vaovao izay tsy iharan'ny dingana fanamarinana hentitra. Ny fanarahana ny asa teo aloha dia mety hanome topimaso momba ny mpampiasa fototra, indrindra ho an'ny tsy fetezana izay mety hanondro ny mety ho fisian'ny olan'ny mpampiasa. Sarotra ny mahazo laza ary mora very! Tsy miandany ny mpampiasa tsy manana asa teo aloha, fa ny karma kosa dia manenjika ny ratsy fanahy. Tokony harahina tsara ireo hacktivist, na mpampiasa tsotra izay nangalarina ny fahazoan-dàlana hamoaka lahatsoratra.
Fampahalalana iray hafa mifandraika amin'ny toe-javatra misy dia ny tsy fitoviana misy eo amin'ny tahiry loharano izay heverina fa nampiasaina hamoronana ny tarball singa sy ny votoatin'ny tarball mihitsy. Ary koa ny fanarahana fomba fanao tsara, toy ny famoronana marika na famoahana ao amin'ny tahiry loharano mifanaraka amin'ny dikan-tenin'ny singa navoaka tao amin'ny rejisitra ho an'ny daholobe. Rehefa ny tahiry loharano amin'ny toerana manokana commit voamarika hoe famoahana, ary tampoka teo dia tsy nanaraka izany ny dikan-teny iray, izany fotsiny dia porofo matanjaka fa mety ho voaloto ilay singa: mety ho nanimba ny kaonty nampiasaina hamoahana ilay singa ilay mpilalao ratsy fanahy, saingy tsy manana fahazoan-dàlana hanoratra ao amin'ny tahiry kaody loharano). Fanafihana maro no hita matetika amin'ny fampiasana ireo fitsipika ireo: ohatra, ny Fanafihana Ledger mora hita amin'izany fomba izany. Noho izany, ny famakafakana ny teny manodidina dia mamantatra ireo tsy fetezana ireo eo amin'ny fizotran'ny famoahana.
Firewall miankina
Fomba iray hafa ny fananana lisitra fotsy feno misy ireo singa ho an'ny grafika fiankinan-doha rehetra ampiasaina ao amin'ny rindrambaikonao, ka amin'ny fananganana rehetra pipeline Ny dikan-singa nahazo fankatoavana ihany no azo apetraka sy ampiasaina ao amin'ny fikambanananao. Ny "Firewall"dia ampiharina amin'ny alàlan'ny rejisitra anatiny izay anaovana ny tarballs ho an'ny dikan-singa azo avela (voatahiry na voatokana). Mariho fa tsy hiasa ny lisitra fotsy raha tsy manana ny teknolojia hanasokajiana ny dikan-teny vaovao ho azo antoka ianao mba hahafahana manampy azy amin'ny lisitra fotsy.
Mariho fa ny fampitandremana mialoha (fahitana haingana araka izay azo atao aorian'ny famoahana ny dikan-teny vaovao) dia mila ampiarahina amin'ny fomba fampiasana izany fampahalalana izany mialoha mba hanakanana ny singa misy fiantraikany amin'ny fananganana. pipelinena ny milina an'ny mpamorona [4]Antsoinay hoe "rindranasa fiarovana amin'ny fiankinan-doha": rafitra fanokanan-toerana hiarovana ny fananganana mandeha ho azy amin'ny fonosana manimba. Tsara ny fonosana anatiny sy ny rejisitry ny sary mba hiarovana ny fikambanana amin'ny ratsy ivelany, saingy ilaina ny porofo matanjaka mba hampandaitra ny fanokanan-toerana.
Sandboxing mandritra ny fotoana fiasana
Fomba iray hafa ahafahana mamantatra amin'ny fotoana famoahana ny rindrambaiko dia ny famakafakana ny fihetsika mandritra ny fotoana fanombohana. Ny tanjona dia ny maka ny fihetsika andrasana avy amin'ny rindrambaiko ary mamantatra (na manakana) izay tsy fetezana hita. Ity fomba fiasa ity dia manana olana amin'ny tsy maintsy fampiasana fitaovana ny fotoana fanombohana mba hanaraha-maso na hanakanana, ary hevitra mampanantena izany izay hampiana amin'ny fitaovam-piarovana amin'ny bibikely manimba.
Fametrahana paikady feno
Mila mampifangaro teknika samihafa amin'ny fizotran'ny fampandrosoana rindrambaiko ny paikady atolotra, ka mifehy ny fanavaozana ny dikan-teny mba hanakanana ireo singa mampidi-doza miditra. Tsy maintsy ampifanarahana amin'ny fametrahana dikan-teny ny fametrahana azy mba hisorohana ny aretina mandeha ho azy amin'ny fanavaozana ny dikan-teny mba hahazoana fanamboarana ireo fahalemena manan-danja; fanombanana haingana sy mahomby ny fiankinan-doha mivantana sy ankolaka mandritra ny fanavaozana ny dikan-teny mba hananana porofo ampy fa tsy feno malware izy ireo. Tsy maintsy sakanana ireo fananganana rindrambaiko izay miankina amin'ny singa mampidi-doza fantatra. Ary tsy maintsy ampiharina avokoa izany rehetra izany.
Ampiasao ny fametahana dikan-teny, raha azo atao, satria mahatonga ny dikan-teny ho azo averina kokoa izany. Fametahana dikan-teny miaraka amin'ny bump dikan-teny voafehy sy ankatoavina tanana, ary ampian'ny teknolojia mpanampy, dia tokony hanombana raha mitondra malware na manimba ny rindrambaiko ny fanavaozana, ary mampifanaraka ny fanavaozana mba hanamboarana ny fahalemena amin'ny fisorohana ny aretina malware. Ny fitaovana dia afaka manampy eto, amin'ny alàlan'ny (1) fanomezana laharam-pahamehana hoe inona avy ireo fahalemena tena manan-danja (azo tratrarina sy azo hararaotina, miaraka amin'ny mety ho lasibatry ny mpanafika), (2) fisafidianana ireo dikan-teny kendrena izay mifanaraka amin'ny fampiasana singa ankehitriny ary tsy manimba ny rindrambaiko, (3) fisafidianana ireo dikan-teny kendrena izay tsy misy fitondran-tena ratsy, ary (4) fanaovana ny fanavaozana ny dikan-teny ho an'ny fiankinan-doha mivantana sy ankolaka ho mora, amin'ny alàlan'ny fanolorana fanovana ao amin'ny rakitra manifest izay azo ekena haingana. Ny dingana (3) dia mila fampahalalana manokana momba ireo singa ratsy akaiky araka izay azo atao amin'ny fotoana famoahana azy ireo.
Tsy maintsy atao ity dingana fanavaozana ny fiankinan-doha ity ampiharina sy voamarina amin'ny toerana rehetra. Tsy maintsy voarakitra an-tsoratra ny dingana, ary tokony hofanina ny antoko rehetra voakasik'izany, satria matetika ny fampandrosoana sy ny fananganana/fametrahana rindrambaiko dia atao any ivelany. Ny CI/CD pipelineTokony hovaina araka izany ny s, mba tsy hamelan'ny automation ny fiankinan-doha ankolaka ratsy hiditra ao amin'ny build: guardrails Ny fanakanana ny fananganana raha misy porofo ampy momba ny malware mety hitranga ao anaty fiankinan-doha no fomba atolotra.
Raha manana rejisitra anatiny miasa ho toy ny solontena fiarovana amin'ny fitazonana ireo singa azo ampiasaina ny fikambananao, dia tsy maintsy mahazo fampahalalana momba ireo singa mampidi-doza (ankoatra ny fepetra hafa) ianao mba handinihana ny singa nangatahina alohan'ny hanampiana azy amin'ny lisitry ny azo ampiasaina.
Tsy mora ny mampiasa rindrambaiko open-source amim-pilaminana, ary tsy maintsy raisina an-tsaina tanteraka ny momba ny malware, ary tsy maintsy atao toy izany koa ny ezaka atao amin'ny fitantanana ny fahalemena.
Fanamarihana farany: Loharano niaviana, amin'ny endrika fanamarinana rindrambaiko, novokarina tamin'ny fotoana nananganana ny singa, dia singa fototra iray hafa amin'ny ezaka hanarahana ny artifact (component tarball) miaraka amin'ny loharano sy ny dingana fananganana izay namorona azy. Mariho fa ity rohy eo amin'ny source snapshot + build environment sy ny artifact rindrambaiko mifandraika amin'izany (nosoniavin'ny rafitra fananganana azo itokisana) ity dia tsy manakana ny fisian'ny fitondran-tena ratsy ao amin'ny singa, fa mahatonga azy ho sarotra kokoa ho an'ny olon-dratsy ny mampiditra malware. Ary ny fanaovana ny fanamarinana ny loharano ho fepetra takiana mahazatra amin'ny fampiasana singa open source dia haharitra ela, ary izany ihany no vao nampidirina tao amin'ny NPMNy fanaovana ireo rafitra azo itokisana ireo ho tsy azo kitihina, na ny fampandehanana ny famantarana izay mety ho kitihina ao anatin'ny rafitra dia tantara hafa, tsy tafiditra ao anatin'ny sehatry ny lahatsoratra ity.
Famakiana fanampiny
Ny fizarana manaraka Fonosana ratsy loharano misokatra: Ny fomba fiasa Xygeni hanolotra ny paikady arahinay ao amin'ny Xygeni ho an'ny anay Fampitandremana mialoha momba ny malware Rafitra (MEW). Sintonina ny dikan-teny vaovao ao amin'ny fonosana ho an'ny daholobe sy ny rejisitry ny sary ary alaina ny porofo amin'ny alàlan'ny fitambaran'ny fahaiza-manao statika, dinamika, ary famakafakana ny toe-javatra. Ny porofo, miaraka amin'ny lazan'ny mpampiasa sy ny tantaran'ny fiovana ao amin'ny tahiry kaody loharano, dia ahafahana manasokajy ho azy ny singa iray ho sokajy mampidi-doza sy mety ho ratsy. Mianatra avy amin'ny porofo taloha nangonina avy amin'ny fonosana ny rafitra mba hampihenana ho faran'izay kely ny vokatra diso.
Mahazo fampandrenesana momba ireo singa ampiasain'izy ireo, mivantana na ankolaka, ireo fikambanana misoratra anarana rehefa sokajiana ny dikan-teny manimba. Avy eo dia manao fanadihadiana tanana ireo mpandinika anay, izay manamafy na mandà ny fanasokajiana. Ho an'ny malware voamarina, dia ampahafantarina ny rejisitra ho an'ny daholobe mba hahafahany manao ny famakafakana azy manokana ary mazàna manala ny dikan-teny manimba na mandray fepetra fanampiny, toy ny fanakanana na fanesorana ny kaontin'ny mpampiasa resahina.
Hazavainay ny fomba hanampianay ny NPM, PyPI, GitHub, ary ireo fotodrafitrasa fototra hafa ao amin'ny tontolo iainana open source mba hampihenana ny fotoana hijanonan'ny singa vaovao mampidi-doza mbola miasa mandra-pahamarinina fa malware ary esorina amin'ny rejisitra. Ary ny fomba ahafahan'ny fikambanana mandray soa avy amin'ny rafitra MEW mba hahazoana fiarovana tsara kokoa amin'ny fanafihana amin'ny rojo famatsiana rindrambaiko izay misy singa open source.
- [1] Na izany na tsy izany, mila manamarina ireo mpampiasa ny singa raha voatahiry na voasoratra anarana any ho any ny tarball-n'ny singa, ohatra ao amin'ny rejisitra anatiny, mba ho foana ilay aretina.
- [2] Ny singa voafono dia ahitana manifest izay manambara ny votoatiny sy ny metadata, ny kaody loharano na voangona, ny script fametrahana, ary ireo zavatra fanampiny toy ny test suites, araka ny endrika fonosana ary matetika amin'ny endrika voatsindry. Izany dia antsoina hoe "component tarball".
- [3] Na dia afaka manova singa navoaka aza ilay mpilalao ratsy fanahy noho ny fanitsakitsahana tao amin'ny rejisitra, dia afaka mamantatra izay fiovana rehetra ao amin'ny tarball ny digest kriptografika tsotra rehefa vita ny fanadihadiana.
- [4] Tadidio fa misy singa manimba miasa amin'ny fotoana fametrahana, ka mety hisy fiantraikany amin'ny "node" mpamorona izay mampandeha tsy nahy ny "npm install X" miaraka amin'ny X singa manimba.
