ഡെവലപ്പർമാർക്കുള്ള മൂന്നാം കക്ഷി റിസ്ക് മാനേജ്മെന്റ് സോഫ്റ്റ്‌വെയർ

2. മൂന്നാം കക്ഷി വെണ്ടർ റിസ്ക് മാനേജ്മെന്റ് സോഫ്റ്റ്‌വെയറിന് നിങ്ങളുടെ കോഡിലുള്ളത് കാണാൻ കഴിയാത്തത് എന്തുകൊണ്ട്?

പരമ്പരാഗതമായി, മൂന്നാം കക്ഷി റിസ്ക് എന്നാൽ വെണ്ടർ റിസ്ക് എന്നാണ് അർത്ഥമാക്കുന്നത്. നിങ്ങൾ ഒരു ചോദ്യാവലി അയയ്ക്കും, സർട്ടിഫിക്കേഷനുകൾ പരിശോധിക്കും, ഒരുപക്ഷേ ഒരു ദ്രുത ഓഡിറ്റ് നടത്തുകയും തുടർന്ന് മുന്നോട്ട് പോകുകയും ചെയ്യും. എന്നിരുന്നാലും, സോഫ്റ്റ്‌വെയർ ഇനി അങ്ങനെ പ്രവർത്തിക്കില്ല.

ഇന്ന്, നിങ്ങളുടെ കോഡ്ബേസ് പാക്കേജുകൾ എടുക്കുന്നത് npm, PYPI, മാവൻ, ഡോക്കർ ഹബ്, കൂടാതെ മറ്റു പലതും. ഇവർ നിങ്ങൾ കരാറിൽ ഏർപ്പെടുന്ന വെണ്ടർമാരല്ല, നിങ്ങൾക്ക് പരിചയമില്ലാത്ത സംഭാവകരാണ്. അവരിൽ ചിലർ നിർണായകമായ ആശ്രിതത്വങ്ങൾ നിലനിർത്തുന്നു, മറ്റുള്ളവർ വർഷങ്ങളായി അവരുടെ കോഡ് അപ്‌ഡേറ്റ് ചെയ്തിട്ടില്ല. ഇടയ്ക്കിടെ, ആരെങ്കിലും ഉപയോഗപ്രദമായ മൊഡ്യൂളായി വേഷംമാറി മാൽവെയർ അപ്‌ലോഡ് ചെയ്യുന്നു.

തൽഫലമായി, ഈ "അദൃശ്യ വിതരണക്കാർ" വളർന്നുവരുന്ന ഒരു ആക്രമണ പ്രതലത്തെ പ്രതിനിധീകരിക്കുന്നു. അവർക്ക് ഇവ അവതരിപ്പിക്കാൻ കഴിയും:

• ഗുരുതരമായ ദുർബലതകൾ
• അനുയോജ്യമല്ലാത്തതോ അപകടസാധ്യതയുള്ളതോ ആയ ലൈസൻസുകൾ (GPL, AGPL, SSPL…)
• ഭാവിയിലെ അപ്‌ഡേറ്റുകളില്ലാത്ത ഉപേക്ഷിക്കപ്പെട്ട പാക്കേജുകൾ
• ട്രോജനൈസ്ഡ് ഡിപൻഡൻസികൾ അല്ലെങ്കിൽ അവ്യക്തമായ പേലോഡുകൾ

അതനുസരിച്ച്, പരമ്പരാഗത മൂന്നാം കക്ഷി വെണ്ടർ റിസ്ക് മാനേജ്മെന്റ് സോഫ്റ്റ്‌വെയറിനെ മാത്രം ആശ്രയിക്കുന്നത് നിങ്ങളുടെ ഉള്ളിൽ ഇതിനകം തന്നെ ഇരിക്കുന്ന ഭീഷണികളിൽ നിന്ന് നിങ്ങളെ സംരക്ഷിക്കില്ല. pipelineനിങ്ങളുടെ മൂന്നാം കക്ഷി റിസ്ക് തന്ത്രത്തിൽ ഘടകതല സ്കാനിംഗ് ഉൾപ്പെടുന്നില്ലെങ്കിൽ, നിങ്ങൾ ഒരു ബ്ലൈൻഡ് സ്പോട്ട് തുറന്നിടുകയാണ്.

മാത്രമല്ല, പാലിക്കൽ ചട്ടക്കൂടുകൾ DORA, NIS2 എന്നിവ പോലെയുള്ളവ ഇപ്പോൾ നിങ്ങൾ മൂന്നാം കക്ഷി സേവനങ്ങൾ കൈകാര്യം ചെയ്യുന്നതുപോലെ തന്നെ മൂന്നാം കക്ഷി കോഡ് കൈകാര്യം ചെയ്യണമെന്ന് പ്രതീക്ഷിക്കുന്നു. അതിൽ ലൈസൻസ് ഗവേണൻസ്, സോഫ്റ്റ്‌വെയർ പ്രൊവൻസ്, സജീവമായ ദുർബലത ലഘൂകരണം എന്നിവ ഉൾപ്പെടുന്നു.

മൂന്നാം കക്ഷി റിസ്ക് മാനേജ്മെന്റ് പ്ലാറ്റ്‌ഫോമിന്റെ കഴിവുകൾ യഥാർത്ഥത്തിൽ എന്തൊക്കെയാണ്?

നിങ്ങളുടെ മൂന്നാം കക്ഷി റിസ്ക് മാനേജ്മെന്റ് ഉപകരണം വെണ്ടർമാരെ മാത്രമേ ട്രാക്ക് ചെയ്യുന്നുള്ളൂവെങ്കിൽ, അത് യഥാർത്ഥ പ്രശ്നം നഷ്ടപ്പെടുത്തുന്നു. പാക്കേജുകൾ, കണ്ടെയ്നറുകൾ, സ്ക്രിപ്റ്റുകൾ എന്നിവയിൽ നിന്ന് ഇപ്പോൾ ഡെവലപ്പർമാർ എക്കാലത്തേക്കാളും കൂടുതൽ പരിശോധിക്കാത്ത കോഡ് ഇറക്കുമതി ചെയ്യുന്നു, CI/CD പ്ലഗിനുകൾ. അതിനാൽ, നിങ്ങൾ അയയ്ക്കുന്ന സോഫ്റ്റ്‌വെയറിൽ പലപ്പോഴും നിങ്ങൾ നിർമ്മിക്കുകയോ അവലോകനം ചെയ്യുകയോ സ്ഥിരീകരിക്കുകയോ ചെയ്യാത്ത നൂറുകണക്കിന് മൂന്നാം കക്ഷി ഘടകങ്ങൾ അടങ്ങിയിരിക്കുന്നു.

ഈ റിസ്ക് ശരിയായി കൈകാര്യം ചെയ്യുന്നതിന്, ആധുനിക മൂന്നാം കക്ഷി റിസ്ക് മാനേജ്മെന്റ് സോഫ്റ്റ്‌വെയർ പുതിയ standard കൂടാതെ, യഥാർത്ഥ അപകടസാധ്യതകൾ നിലനിൽക്കുന്ന തലത്തിൽ ഇത് പ്രവർത്തിക്കേണ്ടതുണ്ട്: നിങ്ങളുടെ കോഡ്ബേസിലും pipelines.

പ്രത്യേകിച്ചും, ശരിയായ പരിഹാരം നൽകേണ്ടത് ഇതാ:

SBOMഒരു മൂന്നാം കക്ഷി റിസ്ക് മാനേജ്മെന്റ് പ്ലാറ്റ്‌ഫോമിലെ ദൃശ്യപരതയും

നിങ്ങൾക്ക് കാണാൻ കഴിയാത്തത് സുരക്ഷിതമാക്കാൻ കഴിയില്ല. നിങ്ങളുടെ പ്ലാറ്റ്‌ഫോം ട്രാൻസിറ്റീവ് ഡിപൻഡൻസികളും സിസ്റ്റം-ലെവൽ പാക്കേജുകളും ഉൾപ്പെടെ എല്ലാ മൂന്നാം കക്ഷി ഘടകങ്ങളെയും തിരിച്ചറിയണം. പൂർണ്ണവും തുടർച്ചയായി അപ്‌ഡേറ്റ് ചെയ്തതുമായ സോഫ്റ്റ്‌വെയർ ബിൽ ഓഫ് മെറ്റീരിയൽസ് (SBOM) ഇനി ഓപ്ഷണൽ അല്ല, DORA, NIS2, എക്സിക്യൂട്ടീവ് ഓർഡർ 14028 പോലുള്ള ഫ്രെയിംവർക്കുകൾ ഇത് ആവശ്യപ്പെടുന്നു.

ലൈസൻസ് റിസ്ക് ഡിറ്റക്ഷനും ഗവേണൻസും

ലൈസൻസ് ലംഘനങ്ങൾ കേസുകൾക്ക് കാരണമാകാം അല്ലെങ്കിൽ നിങ്ങളുടെ മുഴുവൻ സ്റ്റാക്കും ഓപ്പൺ സോഴ്‌സ് ചെയ്യാൻ നിർബന്ധിതരാക്കാം. നിങ്ങളുടെ ഉപകരണങ്ങൾ ഉയർന്ന അപകടസാധ്യതയുള്ള ലൈസൻസുകൾ കണ്ടെത്തുക (AGPL അല്ലെങ്കിൽ SSPL പോലുള്ളവ), ഇഷ്ടാനുസൃത നയങ്ങൾ നടപ്പിലാക്കുക, അജ്ഞാതമോ വൈരുദ്ധ്യമുള്ളതോ ആയ ലൈസൻസ് തരങ്ങൾ ഉൽപ്പാദനത്തിൽ എത്തുന്നതിനുമുമ്പ് പിടിക്കുക.

അറ്റകുറ്റപ്പണികളും കാലഹരണപ്പെടൽ മുന്നറിയിപ്പുകളും

കാലഹരണപ്പെട്ട ലൈബ്രറികൾ പലപ്പോഴും ദുർബലവും, പാച്ച് ചെയ്യാത്തതും, പരിപാലിക്കാത്തതുമാണ്. ഒരു ഘടകം വർഷങ്ങളായി അപ്‌ഡേറ്റ് ചെയ്യാത്തപ്പോഴോ, അതിന്റെ മെയിന്റനർ അപ്രത്യക്ഷമായപ്പോഴോ നിങ്ങളുടെ പ്ലാറ്റ്‌ഫോം നിങ്ങളെ അറിയിക്കണം. സാങ്കേതിക കടം സുരക്ഷാ കടമായി മാറുന്നത് തടയാൻ ഇത് സഹായിക്കുന്നു.

തത്സമയ മാൽവെയറും വിതരണ ശൃംഖല ഭീഷണി കണ്ടെത്തലും

ദോഷകരമായ പാക്കേജുകൾ ഓഡിറ്റ് അവലോകനങ്ങൾക്കായി കാത്തിരിക്കില്ല. അവ നിശബ്ദമായി സംയോജിച്ച് സജീവമാക്കുന്നതിനാണ് രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത്. അതുകൊണ്ടാണ് നിങ്ങളുടെ റിസ്ക് മാനേജ്മെന്റ് പ്ലാറ്റ്‌ഫോമിൽ ട്രോജനുകൾ, ബാക്ക്‌ഡോറുകൾ, ടൈപ്പോസ്‌ക്വാട്ടിംഗ്, സംശയാസ്പദമായ സ്‌ക്രിപ്റ്റുകൾ എന്നിവ നിങ്ങളുടെ പരിതസ്ഥിതിയിൽ എത്തുന്നതിനുമുമ്പ് തത്സമയ സ്‌കാനിംഗ് ഉൾപ്പെടുത്തേണ്ടത്.

അന്തർനിർമ്മിതമായ എത്തിച്ചേരൽക്ഷമതയും മുൻഗണനയും

500 ഉപയോഗശൂന്യമായ ദുർബലതകൾ ഡെവലപ്പർമാരെക്കൊണ്ട് നിറയ്ക്കുന്നത് സുരക്ഷ മെച്ചപ്പെടുത്തുന്നില്ല. പകരം, അത് ശബ്ദമുണ്ടാക്കുകയും, പ്രവർത്തനം വൈകിപ്പിക്കുകയും, സമയം പാഴാക്കുകയും ചെയ്യുന്നു. അതിനാൽ, ഉപയോഗപ്രദമായ ഒരു പ്ലാറ്റ്‌ഫോം കൂടുതൽ മുന്നോട്ട് പോകണം. നിങ്ങളുടെ ആപ്പിൽ യഥാർത്ഥത്തിൽ എന്താണ് എത്തിച്ചേരാവുന്നതെന്നും എന്താണ് ചൂഷണം ചെയ്യേണ്ടതെന്നും അത് കാണിക്കണം. കൂടാതെ, ബിസിനസ്സ് ആഘാതത്തെ അടിസ്ഥാനമാക്കിയുള്ള പ്രശ്‌നങ്ങൾക്ക് മുൻഗണന നൽകുകയും യഥാർത്ഥ അപകടസാധ്യതകൾ മറച്ചുവെക്കാതെ ജാഗ്രതാ ക്ഷീണം കുറയ്ക്കുകയും വേണം.