Miha-miely patrana sy mandravarava hatrany ny fanafihana amin'ny rojo famatsiana rindrambaiko. Ohatra, Gartner maminavina fa 45% amin'ny orinasa rehetra no hiharan'ny fanitsakitsahana amin'ny taona 2025. Ankoatra izany, Fikarohana momba ny fiarovana amin'ny cyber manamafy ny halehiben'ity fandrahonana ity, izay vinavinaina hahatratra 138 miliara dolara isan-taona amin'ny taona 2031. Raha fintinina, ireo vinavina ireo dia manasongadina ny filàna maika ho an'ny fikambanana mba hanomezana laharam-pahamehana software supply chain security ary mampihatra fepetra hentitra hiarovana ny angon-drakitra, ny asa ary ny laza saro-pady.
Satria maoderina pipelineMiankina betsaka amin'ny singa ivelany ny s, ny fitomboan'ny tranomboky avy amin'ny antoko fahatelo, ny tsingerin'ny fampivoarana rindrambaiko haingana kokoa, ny rojo famatsiana sarotra, ny tsy fahitana mazava, ny teknika fanafihana vaovao, ny fampiasana SaaS, ary ny loharanon-karena voafetra dia samy mitarika ny fitomboan'ny fanafihana amin'ny rojo famatsiana rindrambaikoNoho izany, ireo fikambanana dia tsy maintsy mampiasa fomba fiasa feno sy mavitrika mba handaminana ireo fanamby ireo sy hiarovana ny rojo famatsiana rindrambaiko.
Inona no atao hoe fanafihana amin'ny rojo famatsiana rindrambaiko?
ENISA mamaritra ny a Fanafihana amin'ny rojo famatsiana rindrambaiko as "fanimbana fananana manokana, ohatra ny fotodrafitrasan'ny mpamatsy rindrambaiko sy ny rindrambaiko ara-barotra, mba hanimbana ankolaka lasibatra iray na maromaro, ohatra ny mpanjifan'ny mpamatsy rindrambaiko." Raha lazaina amin'ny teny hafa, ny Fanafihana amin'ny Rojo Famatsiana Rindrambaiko dia hetsika ratsy mikendry ny rojo famatsiana rindrambaiko, mikendry ny hanimba sy hampiditra fahalemena na malware amin'ny fizotran'ny fampandrosoana sy fizarana. Vokatr'izany, ity karazana fanafihana ity dia manararaotra ny tambajotra mifamatotra sy matetika sarotra misy ny dingana, fitaovana ary sampana tafiditra amin'ny fananganana sy fanaterana rindrambaiko.
Ireo singa sy hevitra fototra mifandraika amin'ny fanafihana amin'ny rojo famatsiana rindrambaiko
Matetika no tsy ampy ny fahalalana momba ny fandrahonana an-tserasera sy ny literatiora momba ny infosec fanafihana amin'ny rojo famatsiana rindrambaiko ho sokajy miavaka mba hahazoana famakafakana sy fiarovana tsara kokoa. Araka izany, ity fizarana ity dia mampiditra ireo hevitra dimy fototra voafaritry ny Katalogy momba ny lamina fanafihana MITREIty katalaogy ity dia mandamina ny lamina fanafihana amin'ny rojo famatsiana mba hanamorana ny famakafakana amin'ny fampiasana loharano isan-karazany, anisan'izany ireo fandrahonana fahavalo nangonin'ny NIST.
Fanafihana: Inona
Ny fanafihana dia ny fihetsika manokana izay manome entana na fikasana ratsy amin'ny rafitra iray. Vokatr'izany, miteraka fahavoazana mivantana izany.
- Ohatra 1: Rindrambaiko ratsy nampidirina tao amin'ny rindrambaiko nandritra ny dingana fananganana.
- Ohatra 2: Ireo fepetra takian'ny rafitra na ireo antontan-taratasy momba ny famolavolana dia novaina an-kitsirano.
Vector Fanafihana: Ny Fomba
Ny vecteur de attack dia ny fomba ampiasain'ny fahavalo hanararaotana ny fahalemena na hikirakirana ny fahalemena. Vokatr'izany, mampiseho ny fomba idiran'ny mpanafika sy ny fanararaotana ny velaran'ny fanafihana.
- Ohatra 1: Manova ny kaody loharano ao amin'ny tahiry voajirika ny mpanafika iray.
- Ohatra 2: Mahazo fidirana tsy nahazoana alalana amin'ny antontan-taratasy ara-teknika anatiny ny mpanafika iray.
Mikaroha bebe kokoa ao amin'ny Rakibolana Vektora Fanafihana ho an'ny fanazavana fanampiny.
Fiandohana ny fanafihana: Ilay Iza
Ny niandohany no mamaritra ny loharanon'ny fanafihana. Noho izany, manazava ny anjara asan'ny mpanafika, ny toerany, na ny fifandraisany amin'ny rafitra izany.
- Ohatra 1: Misy olona ao amin'ny insider manana fidirana manokana hanangana mpizara manova script.
- Ohatra 2: Mampakatra fonosana voatsindrona trojan any amin'ny rejisitra ho an'ny daholobe ny mpisehatra fandrahonana ivelany.
Tanjona Fanafihana: Ny Antony
Ny tanjona dia manazava ny antony ao ambadiky ny fanafihana. Ambonin'izany rehetra izany, manasongadina izay tian'ny fahavalo hotratrarina.
- Fanelingelenana: fijanonan'ny serivisy na fananganana.
- Kolikoly: mampihena ny fitokisana amin'ny alàlan'ny fanovana ny zavatra tranainy na ny kaody loharano.
- Fanambarana: famoahana tsiambaratelo saro-pady na fananana ara-tsaina.
Fiantraikany amin'ny fanafihana: Ny vokany
Farany, ny fiantraikany dia mamaritra ny vokatry ny fanafihana, izay mampiseho ny vokany ho an'ny mpamatsy rindrambaiko sy ny mpanjifa.
- Ohatra 1: Ny tetikasa rehetra mampiasa programa ratsy dia ho simba any aoriana.
- Ohatra 2: Mametraka rindrambaiko ratsy ao amin'ny rafi-piasany ny olona nefa tsy fantany akory.
Fanafihana mahazatra indrindra amin'ny rojo famatsiana rindrambaiko
Karazana maro fanafihana amin'ny rojo famatsiana rindrambaiko misy, ary tsy maintsy mahafantatra ireo karazana fandrahonana samihafa ireo fikambanana amin'ny dingana tsirairay amin'ny tsingerim-piainana. Mifototra amin'ny ny rafitra SLSA, ny Ivontoerana Nasionalin'i Etazonia Standardsy Teknolojia (NIST), ary ny Sampan-draharahan'ny Fiarovana amin'ny Aterineto sy ny Fotodrafitrasa (CISA), ireo fandrahonana ireo dia azo sokajiana ho sokajy efatra: loharano, fananganana, fonosana ary risika amin'ny fiankinan-doha.
Fanafihana amin'ny rojo famatsiana rindrambaiko eo amin'ny dingana loharano
- Alefaso ny kaody ratsy → jereo ny fomba Fangatahana tavoara. Mahazoa fampiasana diso or lesoka amin'ny deserialization tsy azo antoka mamorona sehatra fanafihana mivantana.
- Repo loharano marimaritra iraisana
- Amboary avy amin'ny loharano novaina
- Manorata kaody tsy azo antoka
- Fanodinkodinana rakitra manan-danja → araka ny fanazavana ao amin'ny Famakafakana ny varavarana ambadika chmod 777.
Fanafihana amin'ny rojo famatsiana rindrambaiko mandritra ny dingana fananganana
ao amin'ny Dingana fananganana, ireo mpamorona kaody dia manangona sy mampiditra kaody ao anaty dikan-teny miasa. Satria zava-dehibe ho an'i PNM tena zava-dehibe ity dingana ity, ka anisan'ny mety ho loza ny tsy fanaraha-maso ny fiarovana ao amin'ny CI/CD pipeline, manova ny kaody aorian'ny fanaraha-maso ny dikan-teny, na manimba ny fizotran'ny fananganana. Noho izany, mety hiditra an-tsokosoko ao amin'ny zavatra noforonina tsy misy mahamarika ny kaody mampidi-doza.
- Bypass CI/CD → mifandray amin'ny Malware efa namboarina mialoha ao amin'ny GitHub.
- Ovay ny kaody aorian'ny fanaraha-maso ny loharano
- Dingana fananganana marimaritra iraisana → nohamaivanina tamin'ny Fitiliana mialoha ny DevSecOps.
- Fitehirizana artifact marimaritra iraisana
Fanafihana amin'ny rojo famatsiana rindrambaiko eo amin'ny dingana fonosana
The Dingana fonosana dia rehefa atambatra ny kaody rehetra mba hahazoana vokatra farany. Mampidi-doza ity ampahany ity satria mety hisy olona hampiasa fonosana ratsy na hanova ny toerana ahazoantsika azy ireo an-tserasera. Afaka mampiakatra dikan-teny manimba amin'ny fonosana malaza any amin'ireo tranonkala ireo mihitsy aza ireo mpanafika.
- Ampiasao ny fonosana voajirika → voarakotra fanombanana ny scanner malware.
- Rejistra fonosana marimaritra iraisana
- Ampidiro ny fonosana novaina → nohadihadiana tao amin'ny Rindrambaiko mpamoaka angona sandoka Namso-gen.
Fanafihana amin'ny rojo famatsiana rindrambaiko amin'ny dingana fiankinan-doha
ao amin'ny Dingana fiankinan-doha, manampy tranomboky sy fonosana avy amin'ny antoko fahatelo amin'ny rindrambaiko izahay. Mampidi-doza ity dingana ity satria ny olana rehetra amin'ireo faritra ireo dia mety hiparitaka mora foana amin'ny ambin'ny tetikasa.
- Ampiasao ny fiankinan-doha amin'ny alalan'ny Compromised → hazavaina amin'ny Loza ateraky ny DoS amin'ny fiankinan-doha miafina.
- Fiankinan-doha efa lany andro na marefo
- Loza ateraky ny fiankinan-doha amin'ny alalan'ny fifindrana
- Rejistra fonosana ratsy → nohafohezina tamin'ny Fitaovana fiarovana DevOps sy fitantanana risika amin'ny antoko fahatelo.
Ireo risika mahazatra amin'ny rojo famatsiana isaky ny dingana SDLC
| Stage | Fandrahonana mahazatra | ohatra |
|---|---|---|
| Source | • Fandefasana kaody manimba na tsy azo antoka • Fanodinkodinana ireo rakitra manan-danja • Fanimbana ny tahiry loharano | XcodeGhost (2015): kaody mampidi-doza nampidirina tao amin'ny mpamorona Xcode an'ny Apple, niparitaka tamin'ny fampiharana iOS. |
| Manaova | • Fandalovana CI/CD fisavana fiarovana • Fanovana ny kaody aorian'ny fanaraha-maso ny loharano • Fitehirizana zavatra artifact manimba | SolarWinds Orion (2020): niditra an-tsokosoko tao amin'ny tranobe ireo mpanafika pipeline, mampiditra varavarana ambadika ao anatin'ireo fanavaozana rindrambaiko nosoniavina. |
| Package | • Fampidirana fonosana novaina • Rejistra fonosana fanapoizinana • Fizarana ireo zavatra simba | EventStream NPM (2018): Nampiditra varavarana ambadika tao anaty fonosana NPM malaza izay efa alaina in'arivony ny mpanafika. |
| fiankinan-doha | • Fampiasana fiankinan-doha efa lany andro na marefo • Fampiasana ny fiankinan-doha amin'ny alalan'ny fifindrana • Famoahana fonosana mitovy endrika amin'ny zavatra ratsy | XZ Utils Backdoor (2024): Saika nalefa tany amin'ireo fizarana Linux ny tranomboky famatrarana voatrona. |
Teknika mahazatra amin'ny fanafihana rojo famatsiana rindrambaiko
Araka ny CISAraka ny tatitry ny NIST iray, ny fanafihana amin'ny rojo famatsiana rindrambaiko dia matetika mizara ho sokajy telo lehibe.
Na izany aza, ireo tranga vao haingana dia mampiseho antony fanampiny izay tsy maintsy takatry ny mpamorona.
Eto ambany izahay dia hanazava bebe kokoa ireo teknika mifandraika indrindra miaraka amin'ny ohatra azo ampiharina.
Fanavaozana momba ny fakana an-keriny
Manimba ny rafitra fanavaozana ara-dalàna ireo mpanafika mba hanaparitahana malware.
Ohatra, ny fanafihana NotPetya tamin'ny taona 2017 dia nanararaotra ny mpizara fanavaozana rindrambaiko momba ny hetra MEDoc Okrainiana, ka nahatonga
malware mpamadika manimba mody atao patch. Mba hiarovana amin'ity risika ity dia tokony hampihatra ny ekipa Fitihana sy famaliana ny fandrahonana ho an'ny DevOps fomba fanao izay manamarika fitondran-tena tsy mahazatra amin'ny fizotran'ny fanavaozana.
Fanimbana ny Fanasoniavana Fehezan-dalàna
Ity teknika ity dia mahakasika ny fanararaotana na ny fangalarana ireo mari-pankasitrahana sonia manan-kery mba hampisehoana fa ara-dalàna ny kaody mampidi-doza.
Tranga niavaka ny fidirana an-tsokosoko tao amin'ny CCleaner tamin'ny taona 2017, izay nizaran'ireo mpanafika rindrambaiko misy trojan izay nosoniavina niaraka tamin'ny mari-pankasitrahana manan-kery.
Vokatr'izany, mila fanaraha-maso mitambatra momba ny fahamarinan-toetra toy ireo voalaza ao amin'ny paikady amin'ny sehatra fiarovana amin'ny aterineto
Fampidirana ny kaody loharano misokatra
Mampiditra "backdoors" (trano ambadika) ao anatin'ireo fonosana open-source malaza ireo fahavalo, izay taty aoriana dia voasarika ho amin'ny tetikasa an'arivony.
Ny tranga EventStream NPM sy ny XZ Utils backdoor (2024) dia mampiseho ny maha-zava-dehibe ity vector ity.
Tokony handinika ireo loharano toy ny Fanontaniana Matetika Apetraka momba ny Fiarovana NPM sy tranga tsy fahatomombanan'ny fonosana mba hianarana ny fomba hisorohana ny fiankinan-doha amin'ny poizina.
Fisafotofotoana momba ny fiankinan-doha
Nohazavain'i Alex Birsan voalohany tamin'ny taona 2021, ity fanafihana ity dia manararaotra ny fifandonana amin'ny fanomezana anarana eo amin'ny rejisitra fonosana anatiny sy ho an'ny daholobe, mamitaka ny rafitra fananganana mba hisintona dikan-teny ratsy fa tsy fonosana anatiny azo itokisana.
Fanovana Typosquatting sy Fonosana Manimba
Mamoaka fonosana manimba manana anarana mitovy amin'ny tranomboky malaza (ohatra, "reqeusts" fa tsy "fangatahana") ireo mpanafika.
Mametraka azy ireo tsy nahy ireo mpamorona rindrambaiko, ka mampiditra malware ao anatin'ny tetikasany.
Ohatra tena izy no dinihina ao amin'ny Malware Namso-gen ary ao amin'ny lisitry ny anay scanner malware loharano misokatra.
Manaova Pipeline Manelingelina
Araka ny hita ao amin'ny SolarWinds Orion compromise, afaka miditra an-tsokosoko ao amin'ny mpizara build ireo mpanafika mba hampiditra kaody ratsy mandritra ny fanangonana.
Izany dia mahatonga ny rojo artifact nosoniavina manontolo tsy azo itokisana. Ny teknika fisorohana dia ahitana ny fanaraha-maso CI/CD fahamarinan-toetra miaraka amin'ny famantarana fampitandremana mialoha ary mamakafaka
Fanentanana mialoha ny fananganana malware ao amin'ny GitHub.
Ahoana ny endriky ny fanafihana amin'ny rojo famatsiana rindrambaiko: Ny raharaha SolarWinds
Ambonin'ny zava-drehetra, ny fanafihana SolarWinds Orion no ohatra fantatra indrindra amin'ny fanitsakitsahana ny rojo famatsiana rindrambaiko. Mampiseho ny fomba ahafahan'ny mpanafika mihetsika tsikelikely amin'ny dingana fananganana ary, vokatr'izany, manaparitaka kaody manimba amin'ny mpampiasa an'arivony.
Voalohany, niditra tao amin'ny mpizara namboarina an'ny SolarWinds ireo mpanafika.
Taorian'izay, dia nampiditra kaody mampidi-doza mangingina tao amin'ny fanavaozana Orion izy ireo.
Satria nosoniavina sy nalefa ho rindrambaiko azo itokisana ireo fanavaozana ireo, dia orinasa maro no nametraka azy ireo nefa tsy nahalala ny mety ho risika.
Raha fintinina, fikambanana maherin'ny 18,000 no voakasik'izany, ary nahazo niditra tamin'ireo rafitra tena saro-pady ireo mpanafika.
Araka ny fijerin'ny mpamorona rindrambaiko, ity fanafihana ity dia manome lesona tsotra telo:
- Tsy ampy ny fiarovana ny sisin-tany: nanova ny fananganana ireo mpanafika pipeline tenany.
- Tena ilaina ny fanamarinana mitohyazo antoka build attestations, ny fanamarinana ny fahamarinan'ny fitaovana, ary ny fitadiavana ireo tsy fetezana dia manampy amin'ny fisorohana ny fanodinkodinana.
- Mety hiely eran-tany ny trano iray misy poizina: tokana pipeline ny marimaritra iraisana dia mety hiteraka krizy ara-piarovana maneran-tany.
Xygeni: Sehatra AppSec feno sy azo ampiasaina tsara indrindra
Satria mety hamely amin'ny dingana rehetra amin'ny sehatry ny famatsiana rindrambaiko ny fanafihana amin'ny rojo famatsiana rindrambaiko SDLC,
ny sehatra AppSec rehetra ao anaty iray, Xygeni, miaro ny dingana loharano, fananganana, fonosana ary fiankinan-doha. Manome toerana iray ho an'ny mpamorona sy ekipa fiarovana izy io mba hisorohana, hamantarana ary hanamboarana ny risika amin'ny fomba tsotra. Vokatr'izany, tsy mila mampiasa fitaovana maro intsony ianao, ny Xygeni dia mandrakotra ny tsingerim-piainana manontolo.
Fiarovana ny sehatra loharano
Eo amin'ny dingana voalohany, ny risika dia ahitana ny tsy azo antoka commits, tahiry voapoizina, na rakitra novaina. Xygeni dia mijery kaody amin'ny fotoana tena izy miaraka amin'ny lalina SAST ary ny fitadiavana tsiambaratelo.
Manakana ireo zavatra manimba ihany koa izy io commits amin'ny alàlan'ny CI/CD guardrails.
Amin'izany fomba izany, dia mijanona ny olana alohan'ny hivoahany avy ao amin'ny tahiry.
Fiarovana amin'ny sehatra fanorenana
Mandritra ny dingana fananganana, mety hanandrana handalo ireo mpanafika pipelines na manova zavatra vita an-tsoratra.
Miantoka ny fizotran'ny fananganana i Xygeni miaraka amin'ny fanamarinana mifanaraka amin'ny SLSA, fanamarinana ny fahamarinan-toerana, ary sonia tsy misy fanalahidy. Manara-maso ihany koa izy raha misy fihetsika tsy mahazatra ao anatiny CI/CD asa. Vokatr'izany, ireo fanovana natao dia asiana marika avy hatrany ary sakanana alohan'ny hamoahana azy.
Fiarovana amin'ny dingana fonosana
Ao amin'ny dingana fanamboarana fonosana, ny rejisitra voajirika na ny tranomboky novaina dia matetika mampiditra malware. Fitiliana malware sy fijerena fahazoan-dàlana an'ny Xygeni mandinika ny zavatra rehetra vita tanana, raha mbola Manolotra lalana fanavaozana azo antoka ny AutoFix miaraka amin'ny famakafakana ny risika fanarenana. Ireo fonosana voamarina sy mifanaraka amin'ny lalàna ihany no mandroso ao amin'ny pipeline.
Fiarovana amin'ny dingana fiankinan-doha
Ny kaody avy amin'ny antoko fahatelo no sehatra fanafihana lehibe indrindra. Famakafakana ny firafitry ny rindrambaiko Xygeni (SCA) Tsy vitan'ny hoe mitanisa CVE fotsiny izy, fa manamarina ihany koa raha azo ampiasaina ny kaody mampidi-doza. Manisy marika ihany koa izy fa misy malware miafina sy fiankinan-doha mampidi-doza. Ambonin'izany rehetra izany, izany dia miantoka fa ny mpamorona dia mandefa fiankinan-doha azo antoka ihany.
Tsiambaratelo sy Fiarovana ny Fotodrafitrasa
Ankoatra ny kaody sy ny fonosana, matetika ny fanafihana dia manararaotra ny tsiambaratelo tafaporitsaka na ny fotodrafitrasa malemy. Mijery ireo fanalahidy, tokens ary credentials hita ny Xygeni ao amin'ny kaody, configs, ary sosona Docker. Afaka manamarina sy manafoana ho azy ny tsiambaratelo tafaporitsaka ihany koa izy io miaraka amin'ny Fanamboarana AutoFix. Mandritra izany fotoana izany, IaC scanning misoroka ny fandrindrana diso izay mety ho ampiasain'ny mpanafika amin'ny fomba ratsy any aoriana.
Fitihana sy fanamboarana marani-tsaina kokoa
Mijanona amin'ny fanairana ny ankamaroan'ny fitaovana. Manohy lavidavitra kokoa i Xygeni. Mamorona patch azo antoka ny motera AutoFix-ny, pull requests, na torolalana tsikelikely arakaraka ny olana. Ny fijery Remediation Risk dia mampiseho ihany koa hoe iza amin'ireo dikan-teny patch no azo antoka indrindra, mba hahafahan'ny ekipa mamaha ny olana tsy mila manampy vaovao.
Sehatra iray mitambatra
Satria mitambatra ny Xygeni SAST, SCA, fitadiavana malware, fitantanana tsiambaratelo, IaC fitiliana, fitadiavana tsy fetezana, ary fanaraha-maso azo antoka ao anaty sehatra AppSec iray,
manome fandrakofana feno manerana ny SDLCSamy mahazo loharanom-pahamarinana iray ny mpamorona rindrambaiko sy ny ekipa fiarovana, miaraka amin'ny fahitana mazava, vahaolana azo ampiharina, ary fiarovana matanjaka amin'ny fanafihana amin'ny rojo famatsiana.
Ny zavatra rehetra noheverina, Xygeni, sehatra AppSec feno sy tsara indrindra, manampy ireo ekipa hanangana haingana sy hijanona ho voaro. Amin'ny alàlan'ny fiarovana ny dingana loharano, fananganana, fonosana ary fiankinan-doha, ary amin'ny alàlan'ny fanampiana fanamboarana mandeha ho azy isaky ny dingana, dia miantoka fa hijanona ny fanafihana amin'ny rojo famatsiana rindrambaiko alohan'ny hahatongavany amin'ny famokarana.
