Орчин үеийн програм хангамжийн хөгжүүлэлт нь олон нээлттэй эхийн бүрэлдэхүүн хэсгүүдээс хамаардаг. Номын сан бүр хүргэлтийг хурдасгадаг боловч далд эрсдэл үүсгэж болзошгүй. Хуучирсан эсвэл аюултай ганц хамаарал нь таны pipeline эсвэл үйлдвэрлэлийн орчин.
Тийм учраас л хамаарлыг шалгах хэрэгслүүд орчин үеийн DevSecOps-д гол үүрэг гүйцэтгэдэг. Тэд хөгжүүлэгчдэд эмзэг байдлыг эрт илрүүлэх, хянах, засахад тусалдаг бөгөөд програм хангамжийг аюулгүй, найдвартай байлгадаг. Гэсэн хэдий ч энгийн хамаарлыг сканнердах нь хангалтгүй болсон. Орчин үеийн програмын хамаарлын зураглалын хэрэгслүүд контекст, харагдах байдал болон автоматжуулалтыг нэмнэ үү. Эдгээр нь зөвхөн таны ашиглаж буй бүрэлдэхүүн хэсгүүдийг төдийгүй тэдгээр нь хэрхэн холбогддог, хэрхэн ажилладаг, аль нь ашиглах боломжтойг харуулдаг.
Хамаарал шалгах хэрэгслүүд яагаад чухал вэ
Өнөөдрийн мацаг барих өдөр CI/CD ажлын урсгалууд, шинэ хамаарлууд бараг бүх бүтээн байгуулалтад гарч ирдэг. Зарим нь мэдэгдэж буй CVE, аюултай тохиргоо, эсвэл бүр хортой код агуулж болно. Үүний үр дүнд багууд найддаг хамаарлыг шалгах хэрэгслүүд гаргахаас өмнө асуудлыг илрүүлж, засах.
Эдгээр хэрэгслүүд нь төслийн манифест, контейнер болон бүтээх файлуудыг сканнерддаг. Дараа нь тэд таны бүрэлдэхүүн хэсгүүдийг олон нийтийн эмзэг байдлын мэдээллийн сантай харьцуулдаг. Үндэсний эмзэг байдлын мэдээллийн сан (NVD) болон OSV.devЭнэ нь автоматаар тохиолддог тул хөгжүүлэгчид гараар хянахын оронд код бичихэд анхаарлаа төвлөрүүлж болно.
Гэсэн хэдий ч хамаарлыг шалгах хэрэгслүүд нь зөвхөн мэдэгдэж буй асуудлуудыг л онцолж өгдөг. Илүү гүнзгий ойлголт авахын тулд байгууллагууд одоо ашиглаж байна хамаарлын зураглалын хэрэгслүүд бүрэлдэхүүн хэсгүүдийн хоорондох холболтыг дүрслэн харуулж, бодит ашиглалтын замыг илрүүлдэг. Үүний үр дүнд багууд реактив нөхөөсөөс урьдчилан сэргийлэх, тасралтгүй хамгаалалт руу шилждэг.
Хамаарал шалгах хэрэгслүүд 101
A хамаарлын шалгалт Төслийн хамаарлыг шинжилж, мэдэгдэж буй эмзэг байдалтай тохирох сангуудыг хайдаг. Энэ нь багцын нэр, хувилбар гэх мэт мета өгөгдлийг цуглуулж, тэдгээрийг олон нийтийн мэдээллийн сантай харьцуулдаг. Энэ үйл явц нь хуучирсан эсвэл эмзэг програм хангамжийг үйлдвэрлэлд хүрэхээс өмнө тодорхойлдог.
OWASP хамаарлын шалгалтын үүрэг
Бүх сканнеруудын дунд, OWASP хараат байдлын шалгалт нэг юм хамгийн алдартай нээлттэй эхийн шийдлүүдЭнэ нь мэдэгдэж буй CVE-тэй номын сангуудыг илрүүлж, ноцтой байдлын оноог (CVSS) оноож, хөгжүүлэгчдэд зориулсан тайлангуудыг үүсгэдэг.
Энэ нь үнэ төлбөргүй бөгөөд олон нийтэд чиглэсэн тул олон багуудын хувьд ашигтай нэвтрэх цэг хэвээр байна SCA (Програм хангамжийн бүтцийн шинжилгээ).
Гэсэн хэдий ч OWASP Dependency-Check нь өөрийн гэсэн хязгаартай. Энэ нь зөвхөн мэдэгдэж буй эмзэг байдалд анхаарлаа төвлөрүүлж, мэдээллийн сангийн шинэлэг байдалд найддаг. Түүнээс гадна, энэ нь ашиглалт эсвэл хүртээмжийг хэмждэггүй. Үүний үр дүнд хөгжүүлэгчид аль эрсдэл хамгийн чухал болохыг гараар шийдэх ёстой.
Орчин үеийн хамаарлын зураглалын хэрэгслүүд нь ажиллах хугацааны контекст, ашиглалтын таамаглал, автомат засваруудыг нэмж оруулснаар үүнийг шийддэг.
Хамаарлын шалгалтаас хамаарлын зураглал хүртэл
Уламжлалт сканнерууд нэг асуултанд хариулдаг: "Ямар хамаарлууд эмзэг вэ?"
Гэсэн хэдий ч орчин үеийн төслүүдэд илүү их нөхцөл байдал хэрэгтэй. Багууд одоо дараах асуултыг тавьж байна: "Энэ хамаарлыг хаана ашигладаг вэ?", "Эмзэг кодод хүрэх боломжтой юу?"Болон "Энэ нь чухал системүүдэд нөлөөлдөг үү?"
A хамаарлын зураглалын хэрэгсэл Таны номын сангууд болон тэдгээрийн хэрхэн холбогддог талаарх бүрэн графикийг бүтээдэг. Энэ нь шууд болон шилжилтийн хамаарлыг хянаж, нэг сул тал нь үйлчилгээ эсвэл контейнеруудад хэрхэн тархаж болохыг харуулдаг.
Орчин үеийн хамаарлын зураглалын хэрэгслүүд юу санал болгодог вэ
- Хүрэх чадварын шинжилгээ: Эмзэг кодын замууд үнэхээр ашиглагдаж байгаа эсэхийг тодорхойл.
- Ашиглалтын оноо: CVSS-ийн хүндийн зэргийг EPSS магадлалын өгөгдөлтэй хослуул.
- Хөрөнгийн нөхцөл байдал: Эрсдэлээс хамааралтай үйлчилгээ эсвэл програмуудыг харуул.
- Тасралтгүй интеграци: Шалгалтуудыг гүйцэтгэх CI/CD pipelineбодит цагийн санал хүсэлтийн хувьд s.
- Дагаж мөрдөх дэмжлэг: үүсгээрэй SBOMмөн нээлттэй эхийн лицензүүдийг автоматаар баталгаажуулна.
Тиймээс хамаарлын зураглал нь статик тайлангуудыг үйлдэл хийх боломжтой аюулгүй байдлын мэдээлэл болгон хувиргадаг.
Хамаарлын шалгалт ба Хамаарлын зураглалын хэрэгслүүд
Хоёр аргын хоорондох тодорхой харьцуулалтыг доор харуулав.
| онцлог | Хамаарлын шалгалтын хэрэгслүүд | Хамаарлын зураглалын хэрэгслүүд |
|---|---|---|
| зорилго | Мэдэгдэж буй эмзэг байдлыг илрүүлэх. | Хамаарлын харилцаа болон нөлөөллийг харуул. |
| Өгөгдлийн эх үүсвэр | NVD, OSV.dev. | NVD + OSV + ашиглалтын тэжээл (EPSS, KEV). |
| Гүн | Төслүүдийн статик сканнердах. | Ажиллах хугацаанд хүрэх боломж болон бизнесийн орчин. |
| автоматжуулалт | Гараар эсвэл хуваарьт скан хийх. | Үргэлжилсэн CI/CD нэгтгэх. |
| Дахин арилгах | Гараар нөхөөс хийх. | Автоматжуулсан pull requests болон аюулгүй хувилбарын шинэчлэлтүүд. |
| Харагдац | Ганц төслийн анхаарал. | Нийлүүлэлтийн сүлжээний бүрэн хамрах хүрээ. |
Үүний үр дүнд хамаарлын шалгалтын хэрэгслүүд нь бат бөх суурь шугамыг тогтоодог бол хамаарлын зураглалын хэрэгслүүд динамик харагдах байдал, автоматжуулалт болон урьдчилсан мэдээллийг нэмэхcisион.
Xygeni нь хамаарлын шалгалтыг хэрхэн сайжруулдаг вэ
Хамаарал шалгах хэрэгслүүд нь аюулгүй байдлын бат бөх суурийг бий болгодог. Гэсэн хэдий ч хамаарлын зураглалын хэрэгслүүд нь харагдах байдал, автоматжуулалт болон урьдчилсан байдлыг нэмэгдүүлдэг.cisэнгийн сканнердах боломжгүй ион.
Xygeni хамаарлын сканнер Үүнийг нэг алхам урагшлуулдаг. Энэ нь илрүүлэлтийг бодит нөхцөл байдал, автоматжуулалт болон хөгжүүлэгчийн ажлын урсгалтай холбодог.
Статик тайлан гаргахын оронд энэ нь багуудад шууд харагдах байдал, кодоос эхлээд ажиллах хугацаа хүртэл тодорхой, хэрэгжүүлэх боломжтой ойлголтыг өгдөг.
Хэдийгээр OWASP хараат байдлын шалгалт мэдэгдэж буй эмзэг байдлыг олоход анхаарлаа төвлөрүүлдэг, Ксигени үүн дээр тулгуурладаг standardЭнэ нь CI болон CD дотор корреляци, ашиглалтын оноо болон автомат нөхөн сэргээлтийг нэмдэг. pipelines.
Тиймээс хөгжүүлэгчид сэрэмжлүүлгийг хянахад бага цаг зарцуулж, аюулгүй, тогтвортой код хүргэхэд илүү их цаг зарцуулдаг.
Илрүүлэлтээс илрүүлэлт хүртэлcisионы
Xygeni нь эрсдэлийг илрүүлэхээс илүү ихийг хийдэг. Энэ нь багуудад юу үнэхээр чухал болохыг шийдэхэд тусалдаг.
Шинэ эмзэг байдал гарч ирэхэд сканнер нэн даруй дараахыг шалгана:
- Хаана амьдардаг вэ: нөлөөлөлд өртсөн хамаарлыг аль репозитор эсвэл бүтээлт ашигладаг.
- Хэрэв энэ нь ажиллавал: эмзэг кодын зам ажиллах үед идэвхтэй байгаа эсэх.
- Энэ нь хэр хүнд вэ: Бодит нөлөөллийг ойлгохын тулд CVSS, EPSS, болон KEV өгөгдлийг нэгтгэдэг.
- Дараа нь юу хийх вэ: аюулгүй хувилбар, нөхөөс эсвэл тохиргооны өөрчлөлтийг санал болгож байна.
Энэ үйл явц нь энгийн илрүүлэлтийг удирдлагатай, итгэлтэй залруулга болгон хувиргадаг.
Хөгжүүлэгчдэд чиглэсэн автоматжуулалт
Уламжлалт сканнеруудаас ялгаатай нь Xygeni нь хөгжүүлэгчид аль хэдийн ажиллаж байгаа газарт ажилладаг: дотор CI/CD pipelines, GitHub Үйлдлүүд эсвэл тэдгээрийн IDE-үүд.
Энэ нь бүгдийг нь сканнерддаг pull request болон commit автоматаар, аюултай нэгтгэлтийг хааж, шаардлагатай үед аюулгүй шинэчлэлтүүдийг санал болгодог.
Үндсэн чадварууд нь:
- Тасралтгүй сканнердах: Шинэ зөвлөгөө гарч ирмэгц бүх репозиторыг хянадаг.
- Хүрч хүрэх боломж ба ашиглах боломж: Бодит, ашиглах боломжтой эрсдэлийг тодруулахын тулд олдворуудыг ажиллах үеийн өгөгдөлтэй тохируулдаг.
- Ухаалаг эрэмбэлэлт: Эмзэг байдлыг ноцтой байдал, хүртээмжтэй байдал болон бизнесийн ач холбогдлоор нь ангилдаг.
- Автомат засварууд: The Xygeni Bot аюулгүй нээгдэнэ pull requests, шинэчлэлтүүдийг туршиж, баталгаажуулсны дараа нэгтгэдэг.
- SBOM болон лицензийн хяналт: Үүсгэдэг SPDX болон CycloneDX лицензийн нийцлийг автоматаар тайлагнаж, баталгаажуулдаг.
Энэхүү автоматжуулалтын ачаар өмнө нь хэдэн цаг зарцуулдаг байсан зүйл одоо хэвийн хөгжүүлэлтийн урсгалд явагдаж байна.
Статик сканнердахаас гадна
Уламжлалт сканнерууд илрүүлэлт дээр зогсдог. Xygeni нь үр дүнг хэмжигдэхүйц ахиц дэвшил болгон хувиргаснаар цааш явдаг.
Сэрэмжлүүлэг бүр нь хүрэх боломжтой байдал, ашиглах боломжтой байдал болон нөхөн сэргээх дэлгэрэнгүй мэдээллийг агуулдаг. Энэ нь илрүүлэлтээс эхлээд шийдэл хүртэл бүрэн харагдах байдлыг хангадаг.
Үйлдэл бүрийг аудит хийх зорилгоор бүртгэдэг бөгөөд энэ нь багуудад дүрэм журмыг биелүүлэхэд тусалдаг. NIS2, ДОРА, эсвэл SSDF.
Энэхүү харагдах байдал нь эмзэг байдлыг цаг тухайд нь олж, хянаж, зассан болохыг нотолж байна.
Жишээ: Үйл ажиллагаа дахь хамаарлын зураглал
Төсөлдөө дараахь зүйлийг багтаасан гэж төсөөлөөд үз дээ log4j цөм хэд хэдэн үйлчилгээнд.
Энгийн хамаарлын шалгалт нь асуудлыг тэмдэглэх боловч түүний нөлөөллийг тайлбарлахгүй.
Хамтран Xygeni-ийн хамаарлын зураглал, та шууд харж болно:
- Номын санг ямар үйлчилгээнүүд ашигладаг вэ.
- Эмзэг ангилалд хүрч болох эсэх.
- Аль хувилбарыг шинэчлэх нь аюулгүй вэ.
Дараа нь, Xygeni Bot a pull request, таны засварыг шалгадаг pipeline, мөн нэгтгэсний дараа асуудлыг хаадаг.
Энэ үйл явц нь гар ажиллагаатай ажлыг багасгаж, саатал гарахаас сэргийлж, эмзэг хамаарлыг үйлдвэрлэлд хүрэхээс сэргийлдэг.
Энэ нь яагаад чухал вэ?
Холбосноор хамаарлын шалгалт, зураглалБолон автоматжуулсан нөхөн сэргээлт, Xygeni нь AppSec-ийг энгийн, тасралтгүй процесс болгон хувиргадаг.
Энэ нь багуудад хөгжлийг удаашруулахгүйгээр эрт илрүүлэх, хурдан эрэмбэлэх, өөртөө итгэлтэйгээр засахад тусалдаг.
Товчхондоо, Xygeni нь хамаарлын аюулгүй байдлыг тасралтгүй, тодорхой, автомат болгодог. Энэ нь DevSecOps багуудын хувьд програм хангамжаа эхнээс нь гаргах хүртэл хамгаалах хамгийн ухаалаг арга юм.
Эцсийн бодол: Хамаарлын шалгалтаас тасралтгүй зураглал хүртэл
Орчин үеийн програм хангамжийн хөгжүүлэлт хурдацтай хөгжиж байна. OWASP Dependency Check гэх мэт уламжлалт хамаарлын шалгалтын хэрэгслүүд одоо ч хэрэгтэй хэвээр байгаа боловч зөвхөн эмзэг гэж мэдэгдэж буй зүйлийг л харуулдаг. Тэд ямар эрсдэл хамгийн чухал эсвэл таны кодонд хаана байгааг тайлбарладаггүй.
Тийм ч учраас багууд одоо програмын хамаарлын зураглалын хэрэгслүүдийг ашиглаж байна. Эдгээр хэрэгслүүд нь контекст болон харагдах байдлыг нэмэгдүүлдэг. Эдгээр нь аль бүрэлдэхүүн хэсэг идэвхтэй, аль эмзэг байдалд хүрч болох, аль нь таны бүтээлтэд нөлөөлж болохыг харуулдаг. Хоёр арга хоёулаа хамтдаа ажиллах үед хөгжүүлэгчид бүрэн хяналтыг авч, илүү хурдан засах боломжтой.
Xygeni эдгээр санаануудыг нэгтгэдэг. Энэ нь батлагдсан нээлттэй эх сурвалж дээр суурилдаг. standards нь автоматжуулалт, хүртээмжийн шалгалт, удирдамжтай нөхөн сэргээлтийг нэмдэг. Аюулгүй байдал нь хөгжүүлэлтийн мөчлөгийн нэг хэсэг болохоос удаан нэмэлт алхам биш юм.
Товчхондоо, эрт илрүүлж, хамаарлуудаа тодорхой ойлгож, асуудлыг автоматаар засдаг. Орчин үеийн багууд програм хангамжаа Xygeni ашиглан ингэж хамгаалдаг.
Зохиогчийн Тухай
Бичигдсэн Фатима Said, Контент маркетингийн менежер, програмын аюулгүй байдлын чиглэлээр мэргэшсэн Xygeni Security.
Фатима нь AppSec дээр хөгжүүлэгчдэд ээлтэй, судалгаанд суурилсан контент бүтээдэг. ASPM, болон DevSecOps. Тэрээр кибер аюулгүй байдлын инновацийг бизнесийн нөлөөлөлтэй холбосон нарийн төвөгтэй техникийн ойлголтуудыг тодорхой, хэрэгжүүлэх боломжтой ойлголт болгон хөрвүүлдэг.
