Fanafihana amin'ny rojo famatsiana rindrambaiko: Tokony hanahy ve aho?

Nivoatra ny teknolojian'ny rindrambaiko, ary niara-nivoatra tamin'izany koa ireo mpijirika. Ny fifaninanana fitaovam-piadiana tamin'ireo mpanao ratsy dia voafetra ho amin'ny fahalemena sy fanafihana natao tamin'ny rindrambaiko napetraka. Ny fanafihana ny rojo famatsiana rindrambaiko, na dia tsy hita maso aza, dia tsy ny lasibatra voalohany ho an'ireo olon-dratsy…

Ny fanafihana izay nolazain'ny maro ho fiandohan'ny fiovana eo amin'ny fomba fiasan'ny Advanced Persistent Threats (APTs) dia ny Fanafihana an'ny SolarWindsTsy ny voalohany, fa tena nisy fiantraikany lehibe izay nalaza be ary nandravarava ny ITsec.

Ohatra: SolarWinds, Codecov, Kaseya

Mpivarotra rindrambaiko lehibe ny SolarWinds izay manome fitaovana fanaraha-maso ny tambajotra sy ny fotodrafitrasa. Ny iray amin'ireo vokatra atolotry ny orinasa dia ny Orion, sehatra fanaraha-maso sy fitantanana ny fotodrafitrasa. Ampiasain'ny fikambanana ho an'ny daholobe sy tsy miankina maherin'ny 30,000 izy io mba hitantanana ny loharanon-karena IT-ny. Miditra amin'ny rafitra IT ny Orion mba hahazoana angon-drakitra momba ny log sy ny fahombiazan'ny rafitra.

Tamin'ny Desambra 2019, niditra tao amin'ny tambajotra, rafitra ary angon-drakitry ny mpanjifa SolarWinds an'arivony ireo mpijirika. Nanafika ny rojo famatsiana rindrambaiko izy ireo tamin'ny fampidirana kaody maloto tao amin'ny sehatra. Taorian'izay, nanolotra ny malware backdoor ho fanavaozana ny rindrambaiko Orion ny SolarWinds, izay azon'ireo mpijirika idirana sy misandoka ho mpampiasa sy kaontin'ireo fikambanana niharam-boina. Ny fihoaram-pefy tao amin'ny SolarWinds dia toa fifohazana amin'ny fiarovana an-tserasera ho an'ny fikambanana rehetra miasa ao amin'ny tontolo misy rahona.

Ity fanafihana amin'ny rojo famatsiana ity dia narahin'ny hafa toa ny Codecov, fitaovana fandrakofana kaody rindrambaiko. Tamin'ny Janoary 2021, naka fahazoan-dàlana ny mpanafika voatahiry tsy nahy tao amin'ny sary Docker an'ny Codecov, izay nampiasain'ilay mpilalao hanovana ny script-n'ny mpampiakatra ao amin'ny fitaovana. Nampiditra andalana kaody tokana fotsiny ilay mpilalao izay nandefa ny variables rehetra an'ny CI tany amin'ny mpizara fehezin'ny mpanafika rehefa notanterahina ny script. Nandritra ny volana maro, ireo mpilalao ratsy fanahy dia nahazo fidirana tamin'ireo rafitra izay nampiasa ny script Codecov novaina.

Tatỳ aoriana, tamin'ny 2 Jolay 2021, ny fanafihana an'i Kaseya nitranga izany. Ampiasain'ny MSP maro izay manome tolotra IT ho an'ny orinasa hafa ny sehatra VSA-ny mba hanatanterahana ny fitantanana patch sy ny fanaraha-maso ny mpanjifa. Nanafika ny rojo famatsiana an'ny Kaseya VSA ireo mpijirika, ka nanimba ny fotodrafitrasany ary avy eo dia namoaka fanavaozana ratsy tao amin'ny mpizara eo an-toerana an'ny VSA mba hampidirana ny rafitry ny orinasa tantanin'izy ireo, hanafenana ny angon-drakitra ary hitakiana vidim-panavotana. Ransomware amin'ny alàlan'ny fitaovana trojanized ampiasain'ny MSP amin'ny orinasa tantanin'izy ireo, izay lasibatra farany. Tena kinga!

Hatramin'ny nitrangan'ny SolarWinds, dia nihamaro hatrany ny fanafihana natao tamin'ny rojo famatsiana rindrambaiko, izay nisy fiantraikany tamin'ny endrika sy ny toekaren'ny orinasa toa an'i Samsung, Uber, Nissan, Nvidia, ary ny maro hafa. Araka ny Gartner, "amin'ny taona 2025, 45% amin'ireo fikambanana maneran-tany no hiharan'ny fanafihana ny rojo famatsiana rindrambaiko, izay fitomboana avo telo heny nanomboka tamin'ny taona 2021."

Taranaka Vaovao amin'ny Fanafihana amin'ny Rojo Famatsiana Rindrambaiko

Ny fanafihana ireo rindranasa na tontolo famokarana an'ny orinasa iray dia miteraka lasibatra tokana ihany. Izany, miaraka amin'ny zava-misy fa ny ankamaroan'ny orinasa dia efa nampihatra fiarovana AppSec toy ny AST, SCA na fitaovana WAF, dia nitarika ho amin'ny fipoiran'ny taranaka vaovao mpanafika mikendry ny fampivoarana rindrambaiko pipelineMety hisy fiantraikany amin'ny orinasa an'arivony ny fanafihana amin'ny rojo famatsiana amin'ny fanafihana tsotra iray monja: ny amplifier tonga lafatra.

Mora lasibatra ho an'ny mpanafika ny fotodrafitrasa fampandrosoana. Ny velarany midadasika dia ahafahana miditra amin'ny tontolo famokarana sy ny angon-drakitra ao aminy. Ny fotodrafitrasa manontolo an'ny fitaovana DevOps: tahiry, rafitra fitantanana ny loharano, fitaovana fananganana, fitaovana fametrahana, fotodrafitrasa toy ny môdely kaody, fitoeran-javatra, rakitra script, sns., dia somary lehibe sy marefo. Ankoatra izany, ireo fitaovana rehetra ireo dia lavitra ny fifehezana ny faritra fiarovana ary tantanin'ny ekipa fampandrosoana sy famokarana. Fantatry ny mpijirika izany ary manararaotra ireo fahalemena ireo.

Ny Tanjona Vaovao

Matetika ireo mpamorona rindrambaiko dia manoratra tsiambaratelo ao amin'ny kaody loharano toy ny fahazoan-dàlana sy ny lakile ho an'ny fitsapana mandritra ny fampandrosoana. Ireo dia voatahiry ao anaty rakitra izay matetika eo ambany fanaraha-maso ny dikan-teny, ary mety ho hitan'ireo mpanafika amin'ny ho avy, na dia esorina aza ireo rakitra na tsiambaratelo. Izany dia ahafahan'ireo mpanafika mametraka backdoors, mamaky ny kaody loharano, mampiditra kaody ratsy, maka angona saro-pady, sns... Rehefa avy manana ny maha-azo itokiana ireo mpanao ratsy dia afaka mampiasa azy ireo. login fahazoan-dàlana azon'izy ireo mifindrafindra amin'ny lafiny iray amin'ny alalan'ny SDLCIreo fahazoan-dàlana ireo dia ahafahan'izy ireo mifindra any amin'ny fitaovana hafa ary mahazo tombontsoa ho an'ny mpampiasa mba hikaroka fampahalalana sarobidy kokoa.

Afaka mampiasa ny fahazoan-dàlana hidirana an-tsokosoko ireo mpijirika SDLC, saingy mety hiditra an-keriny ao amin'ny tahiry na fitaovana tsy voalamina tsara na tsy azo antoka ihany koa izy ireo, izay mety hampidi-doza ny rafitra sy ny angona.

Mikendry ireo fonosana open-source ihany koa ny fanafihana. Fantatsika rehetra ny tantara mahatsiravina momba ny fanafihana izay manararaotra ireo fahalemena fantatra, toy ny Log4j. Etsy ankilany, hafa ny fanafihana amin'ny rojo famatsiana: mampiditra kaody mampidi-doza ao anaty fonosana open source malaza ny mpanafika mba hampiasain'ny fikambanana maro eran-tany amin'ny dingana fananganana any aoriana.

Raha fintinina: afaka manararaotra ny fidirana manokana, ny fandrindrana diso ary ny fahalemena ao amin'ny tambajotra ireo mpijirika CI/CD pipeline fotodrafitrasa ho toy ny fitaovana hampidirana malware ao anaty rindrambaiko izay azon'ny maro ampiasaina.

Ahoana no hiarovana ny tenantsika SDLC avy amin'ny fanafihana rojo famatsiana rindrambaiko?

Mitombo hatrany ny isan'ny fanafihana amin'ny rojo famatsiana, ary mihetsika manoloana izany toe-javatra izany ny tsena. Misy fikambanana sasany nametraka rafitra hiatrehana izany. software supply chain security, toy ny NIST Secure Software Development Framework (SSDF) sy ny Google's Supply Chain Levels for Software Artifacts (SLSA). Na izany aza, tsy dia maro ireo orinasa manao ho laharam-pahamehana ny fiarovana ny fitaovana sy ny fotodrafitrasa DevOps mba hisorohana ny fanafihana ny rojo famatsiana azy ireo. Raha ny marina, 82%-n'ny CIO no mihevitra fa ho mora andairan'izany izy ireo.

Tsy ny fiarovana ny rindranasany ihany no tokony hoeritreretin'ny orinasa fa ny fotodrafitrasa rindrambaiko sy ny zavatra vita an-tsoratra izay anisan'ny SDLC satria ireo mpilalao ratsy fanahy dia mikendry ny rojo famatsiana. Ny sakanyn'ny fanafihana, ny tsy fahampian'ny fahafantarana avy amin'ireo ekipa mpamorona momba ity karazana fanafihana ity ary ny tsy fahampian'ny fitaovana fiarovana manokana dia mamela ireo mpanafika hifantoka amin'ny rojo famatsiana rindrambaiko.