Tsy afaka miantehitra amin'ny fomba fiasa tànana intsony ny AppSec maoderina. Fanaraha-maso mandeha ho azy ny fitantanana ny fahalemena dia zavatra ilaina ankehitriny, fa tsy safidy. Vao haingana izahay no nanana fahafahana niditra tao amin'ny DevSecOps azo ampiharina podcast, izay ahitana ny CTO-nay Luis Rodriguez hevitra nozaraina nandritra ny fivoriana "Fiantohana ireo rohy malemy indrindra: Fisorohana ny fanafihana amin'ny rojo famatsiana alohan'ny hihoaran'izy ireo." Tao amin'ity lahateny ity, nanazava ny fomba DevSecOps afaka mijanona ho lohalaharana amin'ireo fandrahonana lehibe indrindra ankehitriny ireo ekipa. Ambonin'izany rehetra izany, nasehony fa miankina amin'ny fampifangaroana ny automation amin'ny laharam-pahamehana mifototra amin'ny risika ary manorina fiarovana matanjaka amin'ny fonosana npm ratsy fanahy.
Lesona 1: Atsaharo ny tabataba amin'ny alàlan'ny fanomezana laharam-pahamehana mifototra amin'ny risika
Voalohany, nanazava i Luis fa ny sarotra indrindra dia tsy ny fitadiavana ireo fahalemena, fa ny famaritana hoe iza no tena zava-dehibe. Ireo fitaovana nentim-paharazana dia manome fanairana tsy misy fiafarany, ary maro amin'izy ireo no hita fa diso. Vokatr'izany, very fotoana ireo injeniera amin'ny fitadiavana olana izay tsy mampidi-doza mihitsy.
Fametrahana laharam-pahamehana mifototra amin'ny risika mamaha izany. Mandinika ny fahafahana manararaotra, ny fiparitahana, ary ny fiantraikan'ny orinasa izy io mba hanasongadinana ireo olana mety hampiasain'ireo mpanafika. Ankoatra izany, ny an'i Xygeni Application Security Posture Management mampihena ny fanairana hatramin'ny 90%, ka mahatonga ny asa fiarovana ho mazava kokoa sy tsy dia manelingelina loatra.
Fitsaboana lehibe: raha ny marina, ny fanaovana "automatique" dia tsy momba ny fijerena bebe kokoa, fa momba ny fampisehoana vokatra vitsy kokoa, fa ireo olana tena manan-danja ihany.
Lesona 2: Efa ao anatin'ny fonosanao ny fonosana npm ratsy fanahy Pipeline
Faharoa, nanasongadina zava-misy iray izay tsy azo tsinontsinoavina intsony i Luis: fonosana npm ratsy fanahy dia mandrakotra ny tontolo iainana misokatra. Raha ny marina, iray amin'ireo fonosana npm na PyPI vaovao folo navoaka tamin'ny taona 2024 no nahitana malware. Vokatr'izany, niely haingana kokoa noho izay azon'ny ankamaroan'ny ekipa atao ny fanafihana amin'ny rojo famatsiana.
Raiso ny raharaha ny Kankana Shai-Hulud: fonosana ratsy iray monja no nahavoa tetikasa an-jatony tao anatin'ny ora vitsivitsy. Tsy vitan'ny hoe nanakorontana be izany, fa nampiseho ihany koa ny fomba fampiasan'ny mpanafika ny fiankinan-doha tsy misy pin ary CI/CD modely fitokisana.
Xygeni dia miresaka momba izany amin'ny:
- Fanaraha-maso tsy tapaka ny rejisitra mba hanamarinana ireo fonosana manimba.
- Guardrails izay mijanona tsy miforona rehefa hita ireo fiankinan-doha ao anatin'ny karantina.
- Fanairana mialoha izay mampahafantatra avy hatrany ny ekipa rehefa misy fandrahonana vaovao miseho.
Fitsaboana lehibe: noho ireo teboka ireo, miantehitra amin'ny nentim-paharazana ihany SCA Raha tsy ampy izany, dia tsy maintsy manakana ny malware amin'ny fotoana tena izy ny fanaovana automation.
Lesona 3: Arovy ny orinasa amin'ny alàlan'ny Automation amin'ny fitantanana ny fahalemena
Fahatelo, nampahatsiahy antsika i Luis fa tsy ireo fampiharana ihany no kendren'ireo mpanafika, fa ireo... pipeline mihitsyMora ny miditra amin'ny GitHub Actions malemy, ny workflows tsy misy pin, ary ny tokens manana tombontsoa tafahoatra. Raha lazaina amin'ny teny hafa, ny CI/CD Ny rafitra no "orinasa" iorenan'ny rindrambaiko maoderina. Raha simba ny orinasa, dia tandindonin-doza ny vokatra rehetra any aoriana.
Ao no misy izany fanaraha-maso ny fahalemena amin'ny alalan'ny automation tena mamirapiratra. Ohatra, amin'ny alàlan'ny fampidirana fanamarinana mandeha ho azy, artifacts nosoniavina, ary ny fitadiavana anomaly mivantana ao anaty CI/CD, afaka:
- Fisorohana ny fiasan'ny workflows tsy azo antoka.
- Hamarino amin'ny alalan'ny fanamarinana kriptografika ny fananganana tsirairay.
- Fantaro avy hatrany ny fihetsika tsy mahazatra, ny fampitomboana ny tombontsoa azo, na ireo "plugins" sandoka.
Fitsaboana lehibe: Ho fehiny, ny fiarovana ny orinasa dia mitaky fampiharana tsy tapaka sy mandeha ho azy, ny famerenana amin'ny tanana fotsiny dia tsy hihoatra ny fetrany mihitsy.
Ny dikan'izany ho an'ny ekipa DevSecOps
Raha fintinina, mazava ny lesona azo avy amin'ny lahatenin'i Luis: ny AppSec maoderina dia tsy maintsy mampiray ny fitantanana ny fahalemena, ny fiarovana ny fonosana npm ratsy, ary ny laharam-pahamehana mifototra amin'ny risika. Raha tsy izany, mety ho tototry ny tabataba ny ekipa raha toa kosa ka manararaotra ny banga ny mpanafika.
Miaraka amin'ny Xygeni, mahazo tombony ireo fikambanana:
- Fikarohana sy fanisana fananana mandeha ho azy.
- Fantsona dinamika ho an'ny laharam-pahamehana amin'ny fahalemena mifototra amin'ny risika.
- Tafiditra ao anatin'izany ny fitadiavana malware sy tsiambaratelo amin'ny fotoana tena izy CI/CD.
Noho izany, ny automation dia tsy momba ny fahombiazana fotsiny ihany; fa io no hany fomba hijanonana ho mahatohitra ny fanafihana miovaova eo amin'ny rojo famatsiana.
Jereo ny lahateny feno miaraka amin'i Luis Rodríguez
Jereo ny fivoriana feno "Fiarovana ireo rohy malemy indrindra: Fisorohana ny fanafihana amin'ny rojo famatsiana alohan'ny hihoaran'izy ireo" ary mianara ny fomba fanaovana ho azy ny fitantanana ny fahalemena ao amin'ny DevSecOps-nao pipeline.
Vonona hampihatra ireto lesona ireto ve ianao?
Tsy teoria fotsiny ny fanaovana ho azy ny fitantanana ny fahalemena sy ny fiarovana amin'ny fonosana npm ratsy, fa zavatra azonao atomboka anio ihany. Miaraka amin'ny Xygeni, hahazo laharam-pahamehana mifototra amin'ny risika ianao, ny fitadiavana malware amin'ny fotoana tena izy, ary CI/CD guardrails io mizana io miaraka amin'ny ekipanao.
Atombohy ny fitsarana anao maimaimpoana ary jereo ny fomba ifandraisan'ny automation amin'ny fitantanana ny fahalemena mivantana amin'ny anao pipeline.
