Аюулгүй байдлын багууд ихэвчлэн ransomware, троян, өгөгдөл шүүрүүлэх хэрэгсэл (болон бусад) зэрэг илэрхий аюул заналхийлэлд анхаарлаа төвлөрүүлдэг боловч ард нь илүү чимээгүй эрсдэл ажилладаг: саарал програм хангамж. Эдгээр нь хууль ёсны мэт харагддаг ч хэрэглэгч эсвэл байгууллагын ашиг сонирхлын эсрэг үйлчилдэг програмууд юм. Тэд системд шууд хохирол учруулахгүй байж болох ч илрүүлэхэд маш хэцүү байдлаар аюулгүй байдал, нууцлал, гүйцэтгэлийг бууруулдаг.
Саарал програм хангамж гэж юу болохыг ойлгох нь DevSecOps баг болон аюулгүй байдлын удирдагчид болон мэргэжилтнүүдэд мэдэгдэж буй эмзэг байдлаас илүү итгэлцэл болон сул бодлогын хяналтыг ашигладаг програм хангамжийн ангиллыг тодорхойлоход тусалдаг.
Саарал хэрэгслийн утга ба ангилал #
Саарал програм хангамж гэдэг нь үндсэндээ эзэлдэг аливаа програм хангамжийг хамардаг гэсэн үг юм хор хөнөөлтэй ба хор хөнөөлтэй хоёрын хоорондох тодорхойгүй зайЭнэ нь илт аюулгүй эсвэл илт аюултай биш юм. Үүний оронд хэт их сурталчилгаа, нууц хяналт, зөвшөөрөлгүй мэдээлэл цуглуулах зэрэг хүсээгүй үр дагаварт хүргэдэг байдлаар ажилладаг.
Ердийн саарал өнгийн хэрэгслийн ангилалд ихэвчлэн дараахь зүйлс орно.
- Adware: хөтөч эсвэл програмуудад хүсээгүй зар сурталчилгаа оруулдаг
- Spywareтодорхой зөвшөөрөлгүйгээр зан төлөвийн эсвэл системийн өгөгдлийг цуглуулдаг
- Хүсээгүй байж болзошгүй хөтөлбөрүүд (PUPs): суулгагч эсвэл "үнэгүй" хэрэгслүүдтэй хамт ирдэг
- Хяналтын скриптүүд болон күүкинүүд: эдгээр нь хууль ёсны програм хангамж эсвэл вэбсайтуудад суулгагдсан байдаг
Эдгээр програмууд нь ихэвчлэн хууль ёсны түгээлтийн сувгууд, итгэмжлэгдсэн апп дэлгүүрүүд, үнэгүй програм хангамжийн багцууд эсвэл нээлттэй эхийн сангуудыг ашигладаг тул тэдгээрийг шууд аюул занал гэж ангилахад хэцүү болгодог. Гэсэн хэдий ч тэдгээр нь цаг хугацааны явцад хувийн нууцыг алдагдуулж, үйл ажиллагааны эрсдэлийг бий болгодог.
Зан үйлийн шинж чанар ба аюулгүй байдалд үзүүлэх нөлөө #
Саарал програм хангамж нь харагдах байдлын босгоос доогуур ажиллах хандлагатай байдаг standard вирусны эсрэг шийдлүүд. Үүний үйлдэл нь ердийн мэт санагдах боловч нийтдээ шударга байдал болон хэрэглэгчийн итгэлийг алдагдуулдаг.
Зарим нийтлэг хэв маягт дараахь зүйлс багтаж болно.
- CPU болон санах ойг ашигладаг арын процессуудыг байнга ажиллуулж байна
- Профайл эсвэл аналитик зорилгоор алсын серверүүд рүү чимээгүй өгөгдөл дамжуулах
- Хүсээгүй UI элементүүдийг оруулах эсвэл зар сурталчилгааны сүлжээ рүү дахин чиглүүлэх
- Зөвшөөрөлгүй системийн тохиргооны өөрчлөлт эсвэл хөтчийн хулгай
Зохицуулалттай орчинд эдгээр зан үйл нь GDPR, CCPA, эсвэл HIPAA зэрэг өгөгдөл хамгаалах хүрээг зөрчиж болзошгүй. Аюулгүй байдлын менежерүүд болон DevSecOps багуудын хувьд илэрхий хорлонтой санаа байхгүй байгаа нь эрсдэлийг зөвтгөхгүй; харин ч эрсдлийг нэмэгдүүлдэг.
Саарал програм хангамж гэж юу болохыг ойлгох нь нэр хүндэд хохирол учруулах, хууль тогтоомжийн хэрэгжилтэд нөлөөлөх нь "хор хөнөөлгүй" хэрэгслүүдээс үүдэлтэй байж болохыг хүлээн зөвшөөрөх гэсэн үг юм.
Саарал програм ба хортой програм хангамж: Зорилго ба хууль ёсны байдал #
Техникийн түвшинд саарал програм хангамж болон хортой програм хангамжийн хоорондох ялгаа нь санаатай холбоотой юм. Хортой програм хангамж нь хор хөнөөл учруулахаар бүтээгдсэн, өгөгдөл хулгайлах, файлуудыг шифрлэх, үйл ажиллагааг тасалдуулах. Харин саарал програм нь ерөнхийдөө хууль ёсны саарал бүсэд ажилладаг. Үүнийг хөгжүүлэгчид халдлага үйлдлийг зөвтгөхийн тулд тодорхойгүй зөвшөөрлийн заалтууд эсвэл хэрэглэгчийн хайхрамжгүй байдалд найддаг.
Жишээ: бүтээмжийн функцуудыг амлаж байгаа боловч зар сурталчилгааны хэмжигдэхүүнүүдэд зориулсан хянагч оруулж буй хөтчийн өргөтгөл. Үйл ажиллагаа нь үйлчилгээний нөхцөлд хаа нэгтээ илэрсэн боловч хэрэглэгчид үүнийг ховор ойлгодог.
DevSecOps багуудын хувьд энэ хүрээнд саарал програм хангамжийг тодорхойлох нь эрсдэлийн үнэлгээнд чухал үүрэгтэй. Техникийн хувьд нийцтэй код нь корпорацийн бодлого, нийцлийг зөрчиж болзошгүй. standardс, эсвэл ёс зүйн хэм хэмжээ.
Энэ нь хүрээлэн буй орчинд хэрхэн тархдаг вэ? #
Саарал програм хангамжийн түгээлт нь хууль ёсны програм хангамжийн хангамжийн сүлжээг тусгадаг. Энэ нь ихэвчлэн итгэмжлэгдсэн эх сурвалжуудаар дамжуулан экосистемд нэвтэрдэг:
- Багцалсан суулгагчид: Нэмэлт "туслах хэрэгслүүд"-ийг багтаасан үнэгүй програмууд.
- Гуравдагч талын SDK-ууд: Гар утас эсвэл вэб аппликейшн доторх зар сурталчилгаа эсвэл аналитик сангууд.
- Хөтөчийн өргөтгөлүүд: Шаардлагагүй зөвшөөрөл шаарддаг хоргүй мэт санагдах нэмэлт өргөтгөлүүд.
- И-мэйл эсвэл нийгмийн сүлжээний холбоосууд: Үнэгүй хэрэгслүүд эсвэл "аюулгүй байдлыг сайжруулагч"-ыг сурталчлах.
Орчин үед pipelines, DevSecOps нь эдгээр векторуудыг нухацтай авч үзэх ёстой. Автоматжуулсан хамаарлын менежмент Хэрэв зохих шалгалт хийгээгүй бол саарал өнгийн эд ангиудыг бүтээх орчинд амархан тарааж чадна.
Илрүүлэх ба бууруулах #
Уламжлалт гарын үсэг дээр суурилсан вирусны эсрэг хэрэгслүүд нь ихэвчлэн саарал програм хангамжийг үл тоомсорлодог, учир нь энэ нь тийм биш юм. мэдэгдэж буй эмзэг байдлыг ашиглах эсвэл хортой ачааллыг гүйцэтгэх. Илрүүлэхийн тулд зан төлөвийн болон нөхцөл байдлын шинжилгээ шаардлагатай:
Үр дүнтэй стратеги нь:
- Хэрэглэгчийн мэдлэг: Хөгжүүлэгчид болон ажилчдыг саарал програм хангамжийн утга учир болон түүний нарийн эрсдэлийг таньж мэдэхэд сурга.
- Төгсгөлийн цэг илрүүлэх ба хариу үйлдэл (БДУ): Тогтмол бус үйл явцын үйл ажиллагаа эсвэл зөвшөөрөлгүй өгөгдлийн урсгалыг тодорхойлох.
- Програм хангамжийн бүтцийн шинжилгээ (SCA): Зар сурталчилгаа эсвэл телеметрийн SDK-г суулгасан хамаарлыг илрүүлэх.
- Зан үйлийн аналитик: Ялангуяа үл мэдэгдэх домэйн руу чиглэсэн сүлжээний хүсэлтийг хянах.
- Бодлогын хэрэгжилт: Шаардлагагүй хөтчийн нэмэлт өргөтгөлүүд болон үнэгүй програм хангамжийн суулгалтыг хязгаарлах.
DevSecOps контекст дэх саарал програм хангамж #
DevSecOps орчнууд нь заримдаа grayware-г бүтээх хугацаа эсвэл ажиллах хугацааны эрсдэл гэхээсээ илүү хэрэглэгчийн асуудал гэж үздэг. Аз болоход улам олон байгууллага үүнийг нэвтрүүлэхийн хэрээр энэ ойлголт өөрчлөгдөж байна. Автоматжуулсан pipelines, хамаарал эсвэл хөгжүүлэлтийн хэрэгслүүдэд суулгагдсан саарал програм хангамж нь бүрэн бүтэн байдал болон нууцлалыг чимээгүйхэн алдагдуулж болзошгүй.
Саарал програм хангамж илрүүлэлтийг нэгтгэх CI/CD скан хийх, хамаарлын баталгаажуулалт болон төгсгөлийн цэгийн хяналт нь тасралтгүй хамгаалалтыг баталгаажуулдаг. Энэ нь мөн хөгжүүлэгчид, аюулгүй байдал, үйл ажиллагаа хамтран ажилладаг DevSecOps-ийн хамтын хариуцлагын зарчмыг бэхжүүлдэг. програм хангамжийн хангамжийн сүлжээнд итгэх итгэлийг удирдах.
Саарал програм гэж юу болохыг мэдэх нь яагаад чухал вэ? #
Саарал програм хангамж гэж юу болохыг таних нь аюулгүй байдлын багуудад уламжлалт хортой програм хангамжийн ангиллаас гадуурх эрсдэлийг тодорхойлох илүү хурц линзийг өгдөг. Саарал програм хангамжийн утгыг тодорхойлох нь зөвхөн ангилал биш; энэ нь зан төлөв, зорилго, нөлөөллийг ойлгох тухай юм. Саарал програм хангамж нь системийг устгахгүй байж болох ч тэднийг сулруулдаг. Энэ нь итгэлцлийг мөнгөжүүлж, нөөцийг зарцуулж, хууль ёсны гэсэн нэрийн дор нууц мэдээллийг илчилдэг. Саарал програм хангамжийн шинжилгээг тасралтгүй аюулгүй байдлын процесст оруулснаар DevSecOps багууд дижитал экосистемд уян хатан байдлаа бэхжүүлж, бүрэн бүтэн байдлыг хадгалдаг. Ксигени байгууллагуудад саарал програм хангамжийн аюулыг эрт илрүүлж, урьдчилан сэргийлэхэд тусалдаг бөгөөд програм хангамжийн хангамжийн сүлжээ болон DevSecOps орчны бүрэн бүтэн байдлыг хамгаалдаг.
