Modern fanombanana ny vulnerability miankina amin'ny fahafantarana tsara hoe inona avy ireo fiankinan-doha ampiasain'ny kaody-nao. Na izany aza, mbola maro ny fitaovana tsy mahomby amin'io asa fototra io. Eto no misy ny purl sy pkg zava-dehibe ny famantarana. Amin'ny fampiasana ny URL-n'ny fonosana standard, afaka mamantatra ny fiankinan-doha mialoha ny fitaovana fiarovanacismahomby, mampihena ny tabataba, ary manome vokatra izay tena azon'ny mpamorona itokisana.
Amin'ny fampiharana, ny scanner dia tsy sahirana satria tsy mahita ny fahalemena. Fa kosa, sahirana izy ireo satria tsy afaka mifanaraka amin'ny tena atao hoe fiankinan-doha. Miverimberina manerana ny tontolo iainana ny anaran'ny fonosana, miova haingana ny dikan-teny, ary fiankinan-doha amin'ny tetezamita miafina lalina ao anatin'ilay grafika.
Noho izany, matetika ny tatitra momba ny fahalemena dia ahitana vokatra diso, tsy fitoviana, na fiantraikany tsy mazava. Vokatr'izany, very fotoana ireo mpamorona rindrambaiko amin'ny fanamarinana fampandrenesana fa tsy manamboatra ny tena loza mety hitranga.
Mamaha ity olana ity ny purl amin'ny fanomezana maha-izy azy miavaka sy tsy miovaova ho an'ny fiankinan-doha tsirairay. Rehefa mifanaraka amin'ny maha-izy azy ny fitaovana, dia lasa mazava kokoa, haingana kokoa ary mora kokoa ny manao fanombanana ny fahalemena.
Inona no atao hoe purl ary nahoana no zava-dehibe ny pkg
purl (URL-n'ny fonosana) dia misokatra standard izay mamaritra manokana ny fonosana rindrambaiko. Amin'ny fampiharana, mamadika ny fiankinan-doha ho lasa zavatra efa misy izy iocise, famantarana azo vakian'ny milina. Io famantarana io dia manomboka amin'ny pkg, izay mamaritra ny tontolo iainana sy ny rafitry ny fonosana.
Raha lazaina amin'ny fomba hafa, pkg no fototra, ary purl no endrika ianteheran'ny fitaovana fiarovana mba hamantarana ny fiankinan-doha tsy misy fisalasalana.
Purl naorina tamin'ny pkg mamaritra:
- Ny karazana fonosana, toy ny npm, maven, pypi, na docker
- Ny anaran-toerana na vondrona
- Ny anaran'ny fonosana
- Ny dikan-teny marina
- Ireo fepetra takiana azo isafidianana, toy ny maritrano na ny distro
- Antsipirian'ny subpath azo isafidianana
Noho io rafitra io, Manala vinavina ny famantarana purl mifototra amin'ny pkgTsy mifandona intsony ny fiankinan-doha roa mitovy anarana nefa samy hafa tontolo iainana. Vokatr'izany, mijanona tsy maminavina intsony ny scanner ary manomboka mampifanaraka amim-pahatokiana.
Ataovy tsotra izao, pkg manome fitaovana fiteny iraisana mba hilazana ny fiankinan-doha manerana ny SDLC.
Nahoana ny pkg sy purl no tena ilaina amin'ny fanombanana ny fahalemena
A fanombanana ny vulnerability miasa ihany rehefa efa voafaritra mialoha ny famantarana ny fiankinan-dohacise. Raha tsy izany, dia very ny fitokisana ny vokatra ary mandany fotoana amin'ny fanamarinana ireo fampandrenesana ireo mpamorona fa tsy manamboatra olana.
Ao no misy izany famantarana purl mifototra amin'ny pkg hanova ny lalao.
Manampy izy ireo satria:
- Esory ny tsy fahazoana antoka rehefa miverimberina manerana ny tontolo iainana ny anaran'ny fonosana
- Hatsarao ny fampifanarahana amin'ny angon-drakitra momba ny fahalemena toy ny NVD sy OSV
- Ampifanaraho ny scanner, SBOMs, ary mitatitra momba ny maha-izy azy miankina amin'ny tena izy
Vokatr'izany, lasa haingana kokoa ny fanamarinana ny fanombanana ny fahalemena ary mora kokoa ny mandray andraikitra.
Raha tokony hanontany hoe “Mitovy ihany ve ny fiankinan-doha amin'izao?”, dia afaka mifantoka amin'ny hoe “Tena misy fiantraikany amintsika ve izany?” ny ekipa.
Ohatra ara-teknika tsotra: pkg sy purl amin'ny fampiharana
Alaivo sary an-tsaina hoe misy serivisy Java mampiasa Log4j. Tsy maintsy mamantatra ny dikan-teny marina momba ny fiankinan-doha ny scanner mba hifanaraka tsara amin'ny fahalemena.
miaraka fonosana sy purl, toy izao ny endriky ny fiankinan-doha:
pkg:maven/org.apache.logging.log4j/log4j-core@2.17.1
Ity andalana tokana ity dia milaza amin'ny fitaovana izay rehetra ilainy:
- Ekosistema: Maven
- Vondrona: org.apache.logging.log4j
- Fonosana: log4j-core
- Version: 2.17.1
tsy misy famantarana mifototra amin'ny pkg, mety hahita fotsiny ilay scanner:
log4j-core
Amin'izay fotoana izay dia maminavina ilay fitaovana. Vokatr'izany, miseho ireo vokatra diso ary voalevina ireo loza tena izy.
miaraka fonosana sy purl, mifanaraka tsara sy tsy tapaka amin'ny torohevitra ireo scanner.
fonosana, purl, SBOMs, ary ny Sarintanin'ny Fiankinan-doha
Ny lanjan'ny fonosana sy purl mitombo bebe kokoa rehefa mamorona ekipa SBOMs ary mampiasa fitaovana fanaovana sarintany fiankinan-doha.
Modern fitaovana fanaovana sarintany fiankinan-doha amin'ny fampiharana miantehitra famantarana mifototra amin'ny pkg mampifandray:
- miankina
- fahalementsika
- Manorina sy pipelines
- Zavatra tsy ampy amin'ny fanarahan-dalàna
Satria ny rafitra rehetra dia mampiasa mitovy fonosana sy purl, mijanona ho mitovy ny zavatra hita manomboka amin'ny kaody loharano ka hatramin'ny famokarana.
Ahoana ny fisehon'ny pkg ao anaty SBOM (Ohatra amin'ny CycloneDX)
Ity misy kely indrindra Ohatra amin'ny CycloneDX:
{
"bomFormat": "CycloneDX",
"specVersion": "1.5",
"components": [
{
"type": "library",
"name": "log4j-core",
"version": "2.17.1",
"purl": "pkg:maven/org.apache.logging.log4j/log4j-core@2.17.1"
}
]
}
Izany dia ahafahana manombana ny fahalemena na SCA fitaovana ho an'ny:
- Ampifanaraho tsara ireo torohevitra
- Araho ny fiankinan-doha amin'ny fananganana rehetra
- Ampifandraiso amin'ny tontolon'ny runtime ny zavatra hita
Amin'ny fampiharana, pkg miasa toy ny lakaoly eo SBOMs, scanner, ary fitaovana fanaovana sarintany fiankinan-doha.
Fitaovana Fanamarinana ny Fiankinan-doha vs. Fitaovana Fanaovana Sarintany ny Fiankinan-doha
nentim-paharazana fanamarinana ny fiankinan-doha Ireo fitaovana dia mamaly fanontaniana iray:
"Mora andairan'ny fiankinan-doha ve ity?"
Fitaovana fanaovana sarintany fiankinan-doha valio izay sarotra kokoa:
"Aiza marina no tena maha-zava-dehibe ity fiankinan-doha ity?"
Ny fanamarinana dia mahita olana. Ny fanaovana sarintany dia manazava ny fiantraikany.
Rehefa mampiasa fitaovana fonosana sy purl, miara-miasa ny fanamarinana sy ny fanaovana sarintany. Vokatr'izany, ny lisitra lava momba ny fahalemena dia mivadika ho endrika mazava sy mora ampiasaina ho an'ny mpamorona rindrambaiko.cision.
Avy amin'ny pkg sy purl mankany amin'ny Action miaraka amin'ny Xygeni SCA
mampiasa pkg sy purl manome fomba iraisana hamantarana ny fiankinan-doha amin'ny fitaovana. Na izany aza, ny famantarana fotsiny dia tsy mamaha ny risika. Ny zavatra ilain'ny mpamorona manaraka dia ny hetsika mazava.
Ao no misy izany Xygeni SCA mampifandray ny angon-drakitra momba ny fiankinan-doha amin'ny fomba fiasa tena izy amin'ny fanarenana.
Fampiasana Xygeni famantarana purl mifototra amin'ny pkg ho fototry ny motera Famakafakana ny Famoronana Rindrambaiko. Satria ny fiankinan-doha tsirairay dia manana nycismaha-izy azy, afaka mampifandray tsara ny angona amin'ny alalan'ny scanner ny Xygeni, SBOMs, ary ireo famantarana mandritra ny fotoana fiasana.
Vokatr'izany, mihoatra noho ny fanamarinana fiankinan-doha fototra fotsiny ny sehatra.
Ahoana no ahafahan'i Xygeni mamadika ny angon-drakitra momba ny fiankinan-doha ho Decision
Rehefa mahita fiankinan-doha marefo ny Xygeni dia manaraka filaharana mazava tsara izy:
- Mamantatra ny fiankinan-doha amin'ny alàlan'ny pkg sy purl izy io, mba hisorohana ny fifandonana anarana
- Maneho ny toerana isehoan'io fiankinan-doha io eo amin'ny repositories sy services izy io
- Manamarina izy raha tena miasa tokoa ny lalan'ny kaody marefo
- Manombana ny fahafahana ampiasaina amin'ny fampiasana EPSS sy angon-drakitra fampiasana fantatra izy io
- Mandamina ny olana mifototra amin'ny risika tena izy, fa tsy ny hamafin'ny olana fotsiny ihany
Noho io fikorianan'ny fampahalalana io dia tsy mahazo fampandrenesana manta intsony ireo mpamorona rindrambaiko. Mahazo fampahalalana mifandraika amin'izany izy ireo.
Fanamboarana mora ampiasaina avy amin'ny mpamorona
Raha vao manamafy ny Xygeni fa zava-dehibe ny fiankinan-doha iray, dia manampy ireo mpamorona rindrambaiko hanamboatra izany tsy mila miala amin'ny fomba fiasany.
Ohatra:
- Guardrails afaka manakana ny fampivondronana tsy azo antoka rehefa miseho ny fiankinan-doha mampidi-doza
- The Bot Xygeni manokatra a pull request miaraka amin'ny fanavaozana azo antoka
- Miasa ho azy ny fitsapana alohan'ny hampiraisana azy
- Mifarana ny olana rehefa tonga ny fanamboarana
Amin'ny fampiharana, pkg sy purl dia manome fahazavana, ary Xygeni SCA mamadika izany fahazavana izany ho asa.
Nahoana no zava-dehibe izany amin'ny tetikasa tena izy
Mizara fiankinan-doha amin'ny ekipa, serivisy ary pipelines. Raha tsy misy sarintany dia maminavina ny ekipa. Amin'ny alàlan'ny sarintany dia mihetsika izy ireo.
Amin'ny fampifangaroana pkg, purl, sarintany fiankinan-doha, ary automation, Xygeni SCA manafohy ny lalana manomboka amin'ny fitadiavana ka hatramin'ny fanarenana. Vokatr'izany, ireo mpamorona rindrambaiko dia mamaha ny fiankinan-doha mety, amin'ny toerana mety, amin'ny fotoana mety.
Izany no mahatonga ny fiarovana ny fiankinan-doha ho anisan'ny fampandrosoana andavanandro fa tsy asa fiarovana misaraka.
Ny fomba fiasan'ny fiarovana ny fiankinan-doha, manomboka amin'ny fitadiavana ka hatramin'ny fanamboarana
Fitiliana → Fametrahana sarintany → Fanamboarana
Detection
Xygeni SCA mamantatra ireo fiankinan-doha marefo amin'ny fampiasana marina fonosana sy purl famantarana manerana ny repositories sy builds rehetra.
Mapping
Mametraka sarintany ny sehatra izay ampiasana ny fiankinan-doha tsirairay, manamarina ny fahafahana mahatratra izany, ary manampy teny manodidina ny fahafahana ampiasaina mba hanamafisana ny tena loza mety hitranga.
Fix
Mampihatra ny Xygeni guardrails, misokatra azo antoka pull requests, manao fitsapana, ary manampy ireo mpamorona rindrambaiko hampifangaro haingana ireo fanavaozana azo antoka.
Result
Mazava nycisions, vokatra diso vitsy kokoa, ary fanarenana haingana kokoa nefa tsy manapaka ny fikorianan'ny developer.
Fehiny: Avy amin'ny Fanamarinana ny Fiankinan-doha mankany amin'ny Fiarovana ny Fiankinan-doha Tena Izy
Amin'ny fivoarana maoderina, mbola mitana anjara toerana ny fitaovana fanamarinana ny fiankinan-doha. Na izany aza, ny tena fiarovana dia mitaky mihoatra noho ny famantarana fotsiny. Amin'izao fotoana izao, ny fanombanana ny fahalemena mahomby dia manomboka amin'ny fahafantarana tsara hoe inona avy ireo fiankinan-doha ampiasain'ny kaody anao sy ny fomba fitondran-tenany amin'ny tontolo tena izy.
Amin'ny fampiharana, eto no tena zava-dehibe ny famantarana purl sy pkg. Amin'ny alàlan'ny fanomezana fomba mazava sy tsy miovaova hamantarana ny fiankinan-doha, dia misoroka ny fisafotofotoana eo amin'ny tontolo iainana ny ekipa. Vokatr'izany, ny scanner, SBOMs, ary ny rejisitra dia miteny fiteny iray ihany amin'ny farany.
Ankoatra izany, ny famantarana marina dia manamora kokoa ny fanomezana laharam-pahamehana. Rehefa mifanaraka amin'ny maha-izy azy ny fitaovana, dia mandany fotoana kely kokoa amin'ny fanamarinana ny fanairana ny mpamorona ary mandany fotoana bebe kokoa amin'ny fanamboarana ny tena loza. Raha lazaina amin'ny teny hafa, ny mazava dia manolo ny vinavina.
Xygeni SCA miorina amin'io fototra io. Tsy raisina ho lisitra statika ny fiankinan-doha, fa ampiarahana ao anaty workflow mitohy iray ny pkg, purl, ny sarintanin'ny fiankinan-doha, ary ny automation. Vokatr'izany, lasa haingana kokoa ny fanombanana ny fahalemena, ary efa voaomana mialoha kokoa.cise, ary mora kokoa ny manao zavatra mifanaraka amin'izany.
Amin'ny farany, ny AppSec maoderina dia tsy momba ny fitadiavana olana bebe kokoa. Fa kosa, momba ny fahatakarana tsara kokoa ny fiankinan-doha sy ny fanamboarana izay tena zava-dehibe. Rehefa manomboka amin'ny pkg ny fiarovana ny fiankinan-doha, mijanona ho tsy miovaova mandritra ny purl, ary miasa tsy tapaka ho ampahany amin'ny fanombanana ny fahalemena, dia mahazo hafainganam-pandeha, fahatokisana ary fifehezana manerana ny ekipa. SDLC.
About ny Author
Mpanoratra Fatima Said, Mpitantana ny Varotra amin'ny Votoaty manampahaizana manokana momba ny Fiarovana ny Rindranasa ao amin'ny Fiarovana Xygeni.
Mamorona votoaty mifototra amin'ny fikarohana sy mora ampiasaina amin'ny mpamorona ao amin'ny AppSec i Fátima. ASPM, ary DevSecOps. Mandika ireo hevitra ara-teknika sarotra ho lasa hevi-baovao mazava sy azo ampiharina izy, izay mampifandray ny fanavaozana ny fiarovana an-tserasera amin'ny fiantraikan'ny orinasa.
