Rehefa mandroso ny fampivoarana rindrambaiko mandritra ny tsingerin'ny famatsiana rindrambaiko, dia mipoitra ho toy ny dingana fototra ny dingana fonosana, izay mamadika ny kaody loharano ho lasa zavatra azo ampiasaina efa voaomana hozaraina. Na izany aza, ity dingana manan-danja ity dia tsy afa-miala amin'ny fahalemena, ka mahatonga azy io ho lasibatra voalohany ho an'ireo mpanao ratsy izay mikendry ny hanimba ny fahamarinan'ny rindrambaiko sy ny fiarovana azy. Ity lahatsoratra bilaogy ity dia mikaroka ireo fandrahonana miely patrana izay mety hipoitra mandritra ity dingana ity ary mamaritra paikady mahomby hampihenana azy ireo. Ity votoaty ity dia toy ny tohiny amin'ny andian-dahatsoratra bilaogy momba ny fikarohana software supply chain security any amin'ny SDLC.
Ny Dingana Fonosana ao amin'ny Tsingerin'ny Fiainana Fampandrosoana Rindrambaiko
Ny dingana fametrahana fonosana amin'ny tsingerin'ny famatsiana rindrambaiko dia mahafaoka ny fizotran'ny famonosana sy fanomanana ny rindrambaiko hozaraina amin'ny mpampiasa. Ity dingana ity dia ahitana ny famoronana fonosana fametrahana, ny fitantanana ny fiankinan-doha, ary ny famoronana metadata ho an'ny rindrambaiko.
Ny fandrahonana amin'ny tsy fivadihan'ny rafitra dia fahalemena izay mety ahafahan'ny mpanafika mampiditra fanovana tsy nahazoana alalana amin'ny rindrambaiko mandritra ny fizotran'ny fonosana. Ireo fandrahonana ireo dia azo ampidirina amin'ny alàlan'ny fomba isan-karazany, toy ny fanimbana ny rejisitry ny fonosana, ny fanararaotana ny fahalemena amin'ny fitaovana fonosana, na ny fanodinkodinana ny fiankinan-doha amin'ny antoko fahatelo.
Ny fiankinan-doha tanteraka amin'ny singa open-source amin'ny rindrambaiko maoderina dia nahatonga ity dingana ity ho ny dingana S mahazatra indrindra.SCA lasibatra. Ny fampidirana malware miafina ao anaty singa open-source malaza dia nofinofy ho an'ny mpanao heloka bevava an-tserasera maro. Izany no antony mihoatra noho ny Fonosana mampidi-doza miisa 245,000 no hita nandritra ny taona 2023.
Ohatra amin'ny Software Supply Chain Security Loza mitatao amin'ny dingana fonosana
Ampiasao ny fonosana voajirika
Izany dia manondro ny fampiasana na fametrahana rindrambaiko izay novaina na nosimbain'ny fahavalo.
Mety hitranga izany rehefa avy niala tao amin'ny rejisitry ny fonosana ofisialy ny fonosana, na amin'ny alàlan'ny fidirana mivantana amin'ny rafitry ny mpampiasa na amin'ny alàlan'ny tetika informatika sosialy izay mamitaka ny mpampiasa mba hisintona na hametraka fonosana manimba. Ohatra iray amin'izany ny Fikarohana amin'ny navigateur typosquatting Fanafihana.
Nisy mpanafika iray, izay nikasa ny hanimba ny rafitra Linux sy Mac, niditra an-tsokosoko tao amin'ny fizotran'ny fampandrosoana ny tranomboky Node.js malaza antsoina hoe Browserify. Nampiditra kaody ratsy tao amin'ny kaody loharanon'ny tetikasa ilay mpanafika, nikasa ny hizara izany tamin'ny alàlan'ny rejisitry ny fonosana NPM. Raha vao nampidirina tao amin'ny NPM ny fonosana Browserify voaloto, dia nisintona sy nametraka izany ireo mpamorona tsy nanampo, satria nino fa io no dikan-teny ara-dalàna. Hiasa mangina ilay kaody ratsy, tafiditra ao anatin'ilay fonosana, ka hanimba ny fahamarinan'ny rafitra voany. Mety hiteraka halatra angona, tsy fahamarinan-toerana amin'ny rafitra, na fidirana lavitra ho an'ny mpanafika izany.
Rejistra fonosana marimaritra iraisana
Ny rejisitra fonosana voajirika dia tahiry rindrambaiko izay nidiran'ny fahavalo tsy nahazoana alalana tamin'ny interface na fotodrafitrasa ara-pitantanana an'ny rejisitra.
Izany dia ahafahan'ny fahavalo manova na manolo ireo fonosana rindrambaiko ara-dalàna amin'ireo rindrambaiko ratsy, izay azo zaraina amin'ireo mpampiasa tsy ampoizina. Ohatra iray amin'ity karazana fandrahonana ity ny Fanafihana fitaratra fonosana: Nisy mpikaroka iray, izay nikasa hampiroborobo ny rindrambaiko open-source, nanao fahadisoana tamin'ny rejisitra fonosana malaza maromaro, anisan'izany ny Maven Central, NPM, ary RubyGems. Tamin'ny alàlan'ny fidirana amin'ireo rejisitra ireo, dia afaka namorona fitaratra sy dika mitovy amin'ireo tahiry tany am-boalohany ilay mpikaroka, izay nanome safidy mety ho an'ny mpamorona rindrambaiko mba hisintonana fonosana.
Na izany aza, ireo fitaratra ireo dia nanana tanjona ratsy. Ireo fitaratra voajirika ireo dia toy ny fantsona ho an'ny mpikaroka mba hizarana fonosana manimba. Ireo fonosana ireo dia nisolo ireo fonosana ara-dalàna, izay tsy hitan'ny rejisitra voalohany, ary ireo mpamorona tsy nanampo dia nisintona sy nametraka azy ireo tsy nahy. Rehefa tafapetraka, ireo fonosana manimba ireo dia namoaka ny entany, nampihatra kaody tsy ara-dalàna, nangalatra angon-drakitra saro-pady, na nanelingelina ny asa.
Ampidiro ny fonosana novaina
Mampakatra fonosana novaina ao amin'ny tahiry na fantsona fizarana misy kaody na entana mampidi-doza ny fahavalo. Azo atao izany amin'ny alàlan'ny fanovana ny kaody loharano, ny fonosana, na ny metadata-n'ny fonosana.
Ny iray amin'ireo karazana fandrahonana malaza indrindra dia ny Fanafihana CodeCov tamin'ny taona 2021. Mpanafika iray, mitady hanimba tetikasa rindrambaiko mampiasa CodeCov, fampidirana mitohy sy fanaterana mitohy malaza (CI/CD) fitaovana, nampiasa fahazoan-dàlana niparitaka mba hahazoana fidirana tsy nahazoana alalana amin'ny Google Cloud Storage (GCS) an'ny tetikasa iray. Raha vao nahazo ny GCS bucket ny mpanafika dia nandefa zavatra ratsy izy ireo, dika novaina tamin'ny fonosana CodeCov, izay nozaraina tamin'ny mpampiasa tamin'ny alàlan'ny serivisy CodeCov. Ireo mpamorona tsy mailo, izay miantehitra amin'ny endri-javatra fanavaozana mandeha ho azy, dia hisintona sy hametraka ilay fonosana ratsy, satria mino fa io no ara-dalàna. Rehefa tafapetraka dia hiasa mangina ilay kaody ratsy, ka hanimba ny fahamarinan'ny rafitra voany. Mety hiteraka halatra angona, tsy fahamarinan-toerana amin'ny rafitra, na fidirana lavitra ho an'ny mpanafika izany.
Fahita matetika ny fanafihana ireo rejisitry ny fonosana ka nahazo anarana hoe: ny sasany amin'ireo lamina fanafihana
In Typosquatting, ilay mpilalao ratsy fanahy dia mampiditra ao amin'ny rejisitra fonosana manimba maromaro misy lesoka kely amin'ny fanoratana na anarana mitovy amin'ireo tena izy sy malaza, miaraka amin'ny fanantenana fa handika diso ny anaran'ny fonosana kasaina hasiana iray ratsy fanahy ireo mpamorona rindrambaiko. Matetika ilay fonosana manimba dia mody miseho ho tena izy mba handalo tsy ho hita, ka mampitombo ny mety ho tratran'ny fijerena kintana.
Fisafotofotoana momba ny fiankinan-doha Mampiasa ny fomba famahàn'ny mpitantana fonosana sasany ireo fonosana nangatahina avy amin'ny rejisitra maromaro. Rehefa mampiasa singa anatiny navoaka tao amin'ny rejisitra anatiny ny fikambanana iray, dia mety hamoaka singa mampidi-doza mitovy anarana ao amin'ny rejisitra ho an'ny daholobe ny mpanafika izay mahafantatra izany. Raha tsy voafaritra ny anarana ampiasaina ho an'ny singa anatiny, dia haka ny singa mampidi-doza fa tsy ny anatiny ny mpitantana fonosana sasany.
miaraka Fonosana Troyan, manafina malware amin'ny alalan'ny kaody manan-kery sy mahasoa ilay jiolahy an-tserasera. Azo ampiasain'ny mpanoratra tena izy izany, na ataon'ny mpandray anjara izay manolo-tena hikarakara ny fonosana. Fantatra ihany koa amin'ny hoe Fangalarana fonosanaNampiasa teknika maro ireo mpanafika mba hakana an-keriny fonosana efa misy, toy ny Fandraisana an-tanana ny sehatra izay nalain'ny mpanafika ny sehatra efa lany daty izay naverina nosokafana ary naveriny indray ny mailaka mpikojakoja taloha ary nanao famerenana tenimiafina mba handraisana an-tanana ny kaontin'ny mpikojakoja.
Fanamarihana farany
Rehefa mihamaro hatrany ireo fikambanana mampiasa fomba fiasa amin'ny famolavolana rindrambaiko izay manome laharam-pahamehana ny automatique sy ny fanaterana mitohy, dia tena zava-dehibe ny fiarovana ny dingana fametrahana rindrambaiko. Amin'ny alàlan'ny fampiharana fepetra fiarovana matanjaka mandritra ity dingana manan-danja ity, dia afaka mampihena be ny mety ho tratran'ny fanafihana ratsy izay mety hanimba ny fahamarinan'ny rindrambaikony ireo fikambanana.
Ireo paikady voalaza ato amin'ity lahatsoratra bilaogy ity, miaraka amin'ireo ohatra nomena, dia mampahatsiahy mazava tsara fa ny dingana fonosana dia maneho teboka marefo ao anatin'ny rojo famatsiana rindrambaiko. Tsy maintsy mitandrina amin'ireo fandrahonana ireo ny fikambanana ary mampihatra ireo fepetra fiarovana ilaina mba hiarovana ny rindrambaiko amin'ny fanafihana. Amin'ny fanaovana izany, dia afaka miantoka ny fahamarinan'ny rindrambaiko, ny fiarovana ary ny fahatokisana azy ireo ho an'ny mpampiasa sy ny mpanjifany izy ireo.
Miaraha amin'ny dianay mankany amin'ny tontolo iainana azo antoka amin'ny rindrambaiko
Aza adino ny fahafahana hijanona ho dingana iray mialoha eo amin'ny sehatry ny software supply chain securityMisoratra anarana amin'ny bilaoginay anio ary aoka ho isan'ireo voalohany hahazo ny hevi-baovao farany avy aminay, mba hahazoana antoka fa hijanona ho matanjaka sy azo antoka ny fikambanananao eo anivon'ny fandrahonana miovaova. Miaraka isika dia afaka manorina tontolo iainana rindrambaiko matanjaka sy azo antoka kokoa ho an'ny rehetra.
Tsarovy, software supply chain security dia dia mitohy, fa tsy toerana aleha. Amin'ny alàlan'ny fanombanana sy fampifanarahana tsy tapaka ny fomba fanao momba ny fiarovana mba hiatrehana ireo fandrahonana mipoitra, dia afaka miaro ny rojo famatsiana rindrambaiko ny fikambanana ary manome rindrambaiko azo itokisana ho an'ireo mpampiasa azy.
Jereo ny Video Demo anay
