Орчин үеийн хөгжил pipelines нь нээлттэй эхийн програм хангамжаар ажилладаг. Гэхдээ зохих ёсоор харагдах байдалгүйгээр танай байгууллага лицензийн эрсдэл, эмзэг байдал, дагаж мөрдөх дарамт шахалтад өртөж болзошгүй. Тиймээс үүнийг хэрэгжүүлэх нь чухал юм нээлттэй эхийн бүрэлдэхүүн хэсгүүдийг хэрэглэгчдэд мэдээлэх шилдэг туршлагууд, мөн эдгээр мэдээллийг ашиглан арга хэмжээ авах Нээлттэй эхийн бүрэлдэхүүн хэсгүүдийг аюулгүй болгох хамгийн сайн шийдлүүд.
Энэхүү гарын авлагад бид ил тод, найдвартай мэдээллийг хэрхэн бүрдүүлэх талаар авч үзэх болно SBOMs, VDR болон баруун талд open source security сканерАлхам бүр нь одоогийн дүрэм журамтай нийцэж байна. enterprise хүлээлт.
1. Нээлттэй эхийн бүрэлдэхүүн хэсгүүдийг ил болгох шилдэг туршлагууд яагаад чухал вэ?
Нээлттэй эхийн бүрэлдэхүүн хэсгүүдийг ашиглах нь standard бараг бүх хөгжүүлэлтийн ажлын урсгалд. Гэсэн хэдий ч тодорхой мэдээлэлгүйгээр та дараах эрсдэлд орно:
- Үл мэдэгдэх лицензээс үүдэлтэй хууль эрх зүйн зөрчил
- Хортой багцуудаас нийлүүлэлтийн сүлжээний халдлага
- Зохицуулалтын баримт бичиг муу байгаагаас болж гэрээ алдсан
Эдгээр эрсдэлээс зайлсхийхийн тулд таны ил тод байдлын стратеги бүрэн гүйцэд, үнэн зөв, шинэчлэгдсэн байх ёстой. Үүнийг хэрэгжүүлэх Нээлттэй эхийн бүрэлдэхүүн хэсгүүдийг аюулгүй болгох хамгийн сайн шийдлүүд ил тод байдлыг бодит эрсдэлийг бууруулахтай хослуулсан эсэхийг баталгаажуулдаг.
2. Автоматжуулалт SBOM болон нээлттэй эхийн бүрэлдэхүүн хэсгийн ил тод байдлын VDR
Нээлттэй эхийн бүрэлдэхүүн хэсгүүдийг хэрэглэгчдэд ил болгох шилдэг туршлагыг хэрэгжүүлэхийн тулд хамгийн чухал суурь нь автоматжуулалт юм. Багууд багцын жагсаалтыг гараар эмхэтгэхийн оронд бүрэн болон бүрэн эхийг бий болгодог хэрэгслүүдэд найдах хэрэгтэй. standards-нийцтэй Програм хангамжийн материалын жагсаалт (SBOM) мөн нарийвчлалтай Эмзэг байдлын ил тод байдлын тайлан (VDR).
An SBOM дэлгэрэнгүй мэдээлэл бүр нээлттэй эхийн бүрэлдэхүүн хэсэг таны аппликейшнд ашигласан, шууд болон шилжилтийн хамаарлыг оруулаад хувилбарын дугаар, лиценз, гарал үүсэл гэх мэт мэдээллээр. Энэ нь цаашид заавал биш юм. Иймэрхүү журам NIS2 болон 14028 тоот Гүйцэтгэх захирамж нь програм хангамжийн хангамжийн сүлжээнд бүрэн харагдах байдлыг шаарддаг.
Гэсэн хэдий ч зөвхөн жагсаалт хангалтгүй. VDR нь танд болон таны үйлчлүүлэгчдэд бодит хариултыг өгдөг: аль бүрэлдэхүүн хэсэг нь эмзэг, эдгээр эмзэг байдал нь ашиглагдах боломжтой эсэх, мөн ямар арга хэмжээ авсан бэ. VDR нь програм хангамжийн үйлдвэрлэгчид зөвхөн юу ашиглаж байгаагаа төдийгүй эрсдэлийг хэрхэн удирдаж байгаагаа харуулах ёстой зохицуулалттай салбаруудад онцгой ач холбогдолтой юм.
Xygeni-тэй хамт, SBOM мөн VDR үүсгэлтийг таны хөгжүүлэлтэд суулгасан болно pipelineСистем нь хамаарлын мета өгөгдлийг автоматаар цуглуулж, лицензийн болон эмзэг байдлын мэдээллээр баяжуулж, салбарын форматаар экспортлодог. SPDX болон CycloneDXЭдгээр тайлангууд нь хамгийн хатуу чанд нийцлийн шаардлагыг хангаж, үйлчлүүлэгч, аудит болон худалдан авалтын ажлын урсгалын туршид итгэлцэлд суурилсан мэдээллийг дэмждэг.
3. Экосистемд суурилсан анализатор ашиглан хамаарлыг сканнердах
Зөв мэдээлэл задруулах нь нарийвчлалтай сканнердахаас эхэлдэг. Бүрэн бүтэн байдлыг хангахын тулд танд багцын экосистем бүрт зориулсан анализаторууд хэрэгтэй: npm, Maven, PyPI, NuGet болон бусад.
The Ксигени open source security сканер статик манифест задлан шинжлэхээс гадна хэлний онцлог шинж чанартай анализаторуудыг ашигладаг. Эдгээр анализаторууд нь таны бүтээлтэд ашиглагдаж буй бодит шууд болон шилжилтийн бүрэлдэхүүн хэсгүүдийг илрүүлж, хувилбаруудыг шийдвэрлэж, дараах гол мета өгөгдлийг цуглуулдаг:
- Лицензийн төрлүүд
- Бүрэлдэхүүн хэсгийн гарал үүсэл
- Үйлчилгээний эзэмшигчийн таних тэмдэг
- Багцын нас эсвэл засвар үйлчилгээний байдал
Энэхүү түвшний нарийвчилсан мэдээлэл нь нээлттэй эхийн бүрэлдэхүүн хэсгүүдийг хэрэглэгчдэд ил болгох шилдэг туршлагыг хэрэгжүүлэхэд зайлшгүй шаардлагатай. Ерөнхий сканнерууд нь санамсаргүйгээр олон нийтийн бүртгэлд ил болж болзошгүй, хүрээгүй дотоод npm багцууд гэх мэт чухал үзүүлэлтүүдийг алдаж байна.
4. Ил болгохоосоо өмнө эрсдэлтэй болон сэжигтэй бүрэлдэхүүн хэсгүүдийг илрүүлэх
Өндөр чанартай ил тод байдлын үйл явц нь бараа материалын нөөцөөс гадна дараахь зүйлийг багтаана эрсдэлийн шүүлтүүрЭнэ бол Xygeni-ийн газар юм. open source security сканер өөрийгөө ялгаруулдаг. Үүнд дараах зориулалттай тусгай илрүүлэгчүүд багтдаг:
- Хараат бус байдлын төөрөгдөл: Олон нийтийнхтэй таарч буй дотоод багцын нэрийг олох.
- Бичлэг бичих: Хуурах зорилгоор бүтээгдсэн төстэй багцуудыг хаах.
- үзүүлж чадахгүйСуулгах үеийн эсвэл ажиллах үеийн скриптүүдэд хортой зан үйлийг тодорхойлох.
- Сэжигтэй скриптүүдИтгэмжлэгдээгүй бүрхүүлийн командууд эсвэл кодлогдсон логикийг илрүүлэх.
- Аномаль багцууд: Ховор эсвэл загвараас гажсан бүрэлдэхүүн хэсгүүдийг тодруул.
- Хязгаарлагдаагүй npm модулиудСанамсаргүйгээр нийтлэгдэж болзошгүй дотоод кодыг тэмдэглэ.
Эдгээр чадварууд нь open source security Сканнер нь нээлттэй эхийн бүрэлдэхүүн хэсгүүдийг аюулгүй болгох хамгийн сайн шийдлүүдийн чухал хэсэг бөгөөд таны мэдээлэл үйлчлүүлэгчдэд хүрэхээсээ өмнө аюулгүй байдлыг нэн тэргүүнд тавьдаг хандлагыг тусгасан эсэхийг баталгаажуулдаг.
| Багц менежер | хэл | Дэмжигдсэн хамаарлын файлууд |
|---|---|---|
| Модон | Java | pom.xml |
| Хөвөө | Жава, Котлин | build.gradle, build.gradle.kts, gradle.lockfile, gradle.properties |
| NPM | JavaScript | багц.json, багц түгжээ.json |
| Утас | JavaScript | утас.цоож |
| PNPM | JavaScript | pnpm-lock.yaml |
| Бауэр | JavaScript | bower.json |
| NuGet | .NET, C# | .nuspec, packages.config, .csproj, project.assets.json, packages.lock.json |
| Pip | Python | requirements.txt, pipfile.toml, pipfile.lock, setup.py, setup.cfg, environment.yml |
| Яруу найраг | Python | requirements.txt, pyproject.toml, poetry.lock |
| Модулиуд руу шилжих | Голанг (Го) | go.mod, go.sum |
| хөгжмийн зохиолч | PHP | хөгжмийн зохиолч.json, хөгжмийн зохиолч.түгжээ |
| бадмаараг | Ruby | Gemfile, Gemfile.lock |
5. Хүрэх боломжтой байдал болон ашиглах боломжтой байдалтай хамт эмзэг байдлын контекстийг нэмэх
Эмзэг байдлыг илчлэх үед контекст хамгийн чухал байдаг. Бүх CVE-үүд адилхан биш. Хэрэв нөлөөлөлд өртсөн код хүрэх боломжгүй бол таны програмд ноцтой эмзэг байдал хэзээ ч үүсч чадахгүй байж магадгүй.
Xygeni нь VDR-үүдээ дараах байдлаар баяжуулдаг:
- Хүрэх чадварын шинжилгээ: Эмзэг функцийг үнэхээр дуудсан эсэхийг тодорхойлно.
- EPSS оноо: Бодит ертөнцийн мөлжлөгийн магадлалыг тооцоолно.
- Засварлах эрсдэлийн талаарх ойлголтууд: Засварласан хувилбаруудад гарсан өөрчлөлтүүд эсвэл шинэ эрсдэлүүд зэрэг шинэчлэлтийн аль сонголтууд хамгийн аюулгүй болохыг харуулна.
Энэ нь чимээ шуугианыг бууруулж, танд чухал зүйл дээр мэдээлэл өгөхөд тусалдаг. Үйлчлүүлэгчид урт, үйлдэл хийх боломжгүй жагсаалт биш харин жинхэнэ аюулгүй байдлын мэдээлэл авдаг.
6. Интеграци хийх CI/CD Ил тод байдлыг үнэн зөв, бодит цаг хугацаанд нь байлгах
Нээлттэй эхийн бүрэлдэхүүн хэсгүүд байнга өөрчлөгддөг. Тийм ч учраас статик ил тод байдлын баримт бичгүүд хурдан хуучирдаг. Нарийвчлалыг хангахын тулд таны ил тод байдлын ажлын урсгалыг дараахтай нэгтгэх ёстой CI/CD.
Xygeni танд дараах боломжийг олгоно:
- автомат хэрэглэх SBOM болон бүтээн байгуулалтын үед VDR үүсгэх
- Аюултай багцуудыг хаахын тулд аюулгүй байдлын хаалгыг тохируулна уу
- Цэвэр хамаарал эмзэг болох үед шуурхай мэдэгдэл хүлээн авах
- Өөрчлөлтийг хянах pull requests болон байршуулалтууд
Энэхүү бодит цагийн интеграци нь таны мэдээллийг шинэчилж, дараахтай уялдуулан хадгалдаг нээлттэй эхийн бүрэлдэхүүн хэсгүүдийг хэрэглэгчдэд мэдээлэх шилдэг туршлагууд, ялангуяа харьцах үед enterprise үйлчлүүлэгчид эсвэл аудитын хүрээ.
7. Итгэлцлийг бий болгох аудитад бэлэн тайланг хүргэх
Таны үйлчлүүлэгчид болон аудиторуудад жагсаалтаас илүү ихийг хэрэгтэй, тэдэнд тодорхой байдал, нотолгоо хэрэгтэй. Xygeni үүнийг хялбар болгодог.
Чи чадна:
- Экспорт SBOMнэг товшилтоор s болон VDR-үүд
- Хүндрэл, лицензийн төрөл эсвэл ашиглах чадвараар шүүх
- Дүрэм журмыг хангахын тулд манай вэб интерфэйсийг ашиглана уу dashboards
- Эрсдэлийг тэмдэглэж, нөхөн сэргээх тэмдэглэл хавсаргана уу
Эдгээр функцууд нь зөвхөн аудитыг хялбаршуулаад зогсохгүй, нээлттэй эхийн бүрэлдэхүүн хэсгүүдийг аюулгүй болгох хамгийн сайн шийдлүүдийн бүрэн цар хүрээг хангахад тусалдаг.
Нээлттэй эхийн бүрэлдэхүүн хэсгүүдийг хэрэглэгчдэд мэдээлэх шилдэг туршлагыг хэрэгжүүлэх
Амжилттай удирдаж байна open source security энэ нь зөвхөн техникийн сорилт биш, өрсөлдөх давуу тал болсон. Дараахь зүйлийг дагаж мөрдсөнөөр нээлттэй эхийн бүрэлдэхүүн хэсгүүдийг хэрэглэгчдэд мэдээлэх шилдэг туршлагууд, та програм хангамж нь зөвхөн ажиллагаатай төдийгүй аюулгүй, ил тод, стандартад нийцсэн гэдгийг харуулж байна.
Таныг илчилж байна нээлттэй эхийн бүрэлдэхүүн хэсгүүд бодит цагийн эмзэг байдлын өгөгдөлтэй хамт хэрэглэгчид болон хэрэглэгчдийн аль алиных нь итгэлийг бий болгодог нь тодорхой байна enterprise үйлчлүүлэгчид. Энэ нь мөн NIS2, DORA, болон 14028 тоот Гүйцэтгэх захирамж зэрэг хүрээний нийцлийг дэмждэг.
А ашиглах нь open source security сканер Xygeni шиг танай багт дараах автоматжуулалт болон оюун ухааныг өгдөг:
- Нарийвчлалтай үүсгэх SBOM мөн VDR тайлангууд нь бүх бүтээн байгуулалттай хамт
- Програм хангамжийн хангамжийн сүлжээн дэх далд аюулыг илрүүлэх
- Бүрэлдэхүүн хэсгүүдийнхээ ашиглалтын боломж болон лицензийн эрсдэлийг тодруулна уу
- Хэрэгжүүлэх боломжтой, аудит хийхэд бэлэн тайлангуудыг хүсэлтийн дагуу хүргэх
Эдгээр чадварууд нь нээлттэй эхийн бүрэлдэхүүн хэсгүүдийг аюулгүй болгох хамгийн сайн шийдлүүдийн нэг хэсэг бөгөөд танай багийг аюулгүй байдлын чиглэлээр идэвхтэй, найдвартай түншүүд болгон байрлуулдаг.
