အဓိပ္ပာယ်ထက် ပိုမိုအငြင်းပွားဖွယ်ရာ တစ်ခုတည်းသောအရာမှာ Application Security Posture Management (ASPM) ရင်းနှီးမြှုပ်နှံမှုဆိုသည်မှာ ASPM tool တစ်ခု တန်ပါတယ်။ အမျိုးအစားကို ထုတ်ဖော်ပြသပြီးကတည်းက ရောင်းချသူအမျိုးအစားတိုင်းက သူတို့လုပ်တယ်လို့ အလျင်စလိုပြောကြပေမယ့် အနာဂတ်အတွက်လားဆိုတာနဲ့ ပတ်သက်ပြီး မင်အများကြီး မရေးထားပါဘူး။ အဆုံးစွန်အားဖြင့် အပလီကေးရှင်းလုံခြုံရေးရဲ့ အနာဂတ်ကို ၎င်းရဲ့ အကြီးမားဆုံးပြဿနာတွေက ဘာတွေလဲဆိုတာကို နားလည်ခြင်းအားဖြင့် အကောင်းဆုံးဖြေရှင်းနိုင်ပါတယ်။ ဒီဆောင်းပါးမှာ ဘယ်ပြဿနာတွေက အမျိုးအစားကို ဖန်တီးခဲ့တာလဲဆိုတာကို ဆွေးနွေးပါမယ် ASPM ၎င်းသည် ဈေးကွက်ရှာဖွေနေသော ဖြေရှင်းချက်များကို ပေးဆောင်ခြင်း ရှိ၊ မရှိ အကဲဖြတ်ပါ။
အပလီကေးရှင်းလုံခြုံရေးဆိုင်ရာပြဿနာများ
စကင်နာတွေ အရမ်းများလွန်းတယ်
ကျွန်တော် အစကတည်းက ငြင်းခုံခဲ့တဲ့အတွက် ASPM အပါအဝင် စကင်နာ အမျိုးအစား ၈ မျိုးအနည်းဆုံး နောက်ထပ် နှစ်ခု ပေါ်လာပါတယ်။ လုံခြုံရေးအဖွဲ့တွေက စကင်နာတွေကို လက်ခံနိုင်ပေမယ့် ကွဲပြားဖို့ ကျိုးကြောင်းဆီလျော်မှသာ ဖြစ်ပါတယ်။ လည်ပတ်နေချိန်မှာ ဆာဗာတွေကို စကင်ဖတ်တာက လိုအပ်ချက် repositories တွေကို scan ဖတ်နေတာနဲ့ တစ်နေရာတည်းမှာ ရှိနေဖို့ပါ။ ပြဿနာက repositories တွေဟာ အားနည်းချက်တွေကို ရှာဖွေပြီး ပြင်ဆင်ရမယ့်နေရာတွေအတွက် ပိုမိုယုံကြည်စိတ်ချရတဲ့ အမှန်တရားရင်းမြစ်တစ်ခု ဖြစ်လာတာပါ။
တစ်နေရာတည်းတွင်ရှိနေစဉ်တွင် repository တစ်ခုသည် မတူညီသောဖိုင်များစွာကို လုပ်ဆောင်ပေးနိုင်သည်။ ရိုးရာအစဉ်အလာအရ၊ လုံခြုံရေးအဖွဲ့များသည် ဤဖိုင်များကို ပြောင်းလဲပြီး ဖြန့်ကျက်နေစဉ်တွင် scan လုပ်ရန် မတူညီသော docker image များ သို့မဟုတ် binaries များစွာကို setup လုပ်ရန် လိုအပ်ပါသည်။ scanner များကို ထိန်းသိမ်းခြင်းသည် အချိန်ပြည့်အလုပ်များစွာဖြစ်နိုင်သည်။ အဘယ်ကြောင့်ဆိုသော် ၎င်းတို့အားလုံးသည် မတူညီသော code အပိုင်းအစများတွင် အလုပ်လုပ်ရန် အထူး configuration များ လိုအပ်သောကြောင့်ဖြစ်သည်။
လုံခြုံရေးအဖွဲ့များ မြင်သာမှု လိုအပ်ပါတယ် ဤကွဲပြားသော စကင်နာအားလုံး၏ အားသာချက်များမှာ၊ သို့သော် “agentless” ၏ ရိုးရှင်းမှုမှ အကျိုးကျေးဇူးများစွာ ရရှိသည် pipeline ဝဘ်hooks သုည configuration မပါဘဲ scan လုပ်တာ၊ ဒါမှမဟုတ် အနည်းဆုံး tool တစ်ခုတည်းကို scan လုပ်ဖို့ ပြောတာ။ ASPM tools တွေက ရိုးရှင်းတဲ့ မြင်သာမှုကို ပေးစွမ်းရာမှာ အလွန်ကောင်းမွန်တဲ့ အလုပ်တစ်ခုကို လုပ်ဆောင်ပေးပါတယ်။
မှားယွင်းသော အပြုသဘောဆောင်သော အချက်အလက်များ များပြားလွန်းခြင်း
စကင်နာတိုင်းကို တစ်နေရာတည်းမှာ ထုပ်ပိုးထားရတဲ့ အကြောင်းရင်းကတော့ လူတွေက စကင်န်အရည်အသွေး ကျဆင်းသွားမယ်လို့ ငြင်းခုံကြလို့ပါ။ ဒီစိုးရိမ်မှုကို ကျွန်တော် အာရုံခံစားမိပေမယ့် ဆန့်ကျင်ဘက်အချက်နှစ်ချက်တော့ ရှိပါတယ်။ ပထမအချက်ကတော့ tool အများစုက open source တစ်ခုတည်းကိုပဲ ထုပ်ပိုးနေကြပြီး all in one စကင်နာတွေကတော့ ပိုပြီးရိုးသားစွာ ပြောဆိုနေကြပါတယ်။ ဒုတိယအချက်ကတော့ ဒီငြင်းခုံချက်တွေက တစ်ယောက်ယောက်ရဲ့ စကင်နာဟာ ကိုယ်ပိုင်စကင်နာလောက် ကောင်းဖို့ မဖြစ်နိုင်ဘူးဆိုတဲ့ အယူအဆပေါ်မှာပဲ အမြဲတမ်း မူတည်နေပါတယ်။
အဆုံးစွန်အားဖြင့် ပြဿနာက မှားယွင်းတဲ့ အပြုသဘောဆောင်တဲ့ အချက်အလက်တွေ များလွန်းတဲ့ ပြဿနာကို ဖြေရှင်းဖို့ပါပဲ။ Reachability ဆိုတာ အားနည်းချက်တစ်ခုကို တကယ်အသုံးချနိုင်လား မရနိုင်ဘူးလားဆိုတာကို ရှာဖွေတွေ့ရှိခြင်းဆိုတဲ့ အယူအဆပါ။ ASPM tool များသည် reachability ၏ "လုံလောက်သော" ဗားရှင်းများကို တည်ဆောက်ထားပြီးဖြစ်သောကြောင့် ၎င်းကို မလုပ်ဆောင်နိုင်ဟု ငြင်းခုံရန် နေ့စဉ်နှင့်အမျှ ပိုမိုခက်ခဲလာပါသည်။
အဆိုးဆုံးကတော့ scan ဖတ်ကြည့်ဖို့ပါပဲ CVE များ တစ်ခုတည်းနဲ့ အရေးကြီးတဲ့ မျက်ကွယ်နေရာတွေကို ချန်ထားခဲ့နိုင်ပါတယ်၊ ဒါကြောင့် Xygeni လို ဝန်ဆောင်မှုပေးသူတွေကို ကျွန်တော် အကြောင်းပြချက်နှစ်ခုကြောင့် ကျေးဇူးတင်မိပါတယ်- ပထမအချက်ကတော့ အားနည်းချက်တွေကိုပဲ မကြည့်ဘဲ malware တွေကို upstream မှာ scan ဖတ်တာပါ။ ဒုတိယအချက်ကတော့ သူတို့ရဲ့ commitအခြား အသုံးချနိုင်သော configuration များကို ရှာဖွေရန် လိုအပ်သည် pipeline မှားယွင်းစွာ ဖွဲ့စည်းမှုများ ပြုလုပ်ခြင်းအပြင် ဤတိုက်ခိုက်မှုများ ဖြစ်ပွားခဲ့ခြင်း ရှိ၊ မရှိကို ထောက်လှမ်းပါသည်။
အရာတွေကို ပြင်ဖို့ဆိုတာ တကယ်ကို ခက်ခဲပါတယ်
လုံခြုံရေးအဖွဲ့များသည် ၎င်းတို့၏ အားနည်းချက်များကို ပြင်ဆင်ရာတွင် အရှိန်အဟုန် အလွန်နည်းပါးသည်ဟု မြင်ကြသည်။ အလွန်ဆိုးရွားသော zero days များပင်လျှင် ပြင်ဆင်ရန် လပေါင်းများစွာကြာသည့် ကြောက်မက်ဖွယ်ဇာတ်လမ်းများစွာကို ကျွန်ုပ်ကြားဖူးပါသည်။ enterprise ဂေဟစနစ်များ။ ကိရိယာအများအပြားက ပြဿနာက "ဦးစားပေးမှု" ဖြစ်တယ်လို့ ပြောကြပေမယ့် တစ်နေကုန် ဦးစားပေးလုပ်နိုင်ပေမယ့် အင်ဂျင်နီယာတွေက တစ်ခုခုကို အလွယ်တကူ မပြင်နိုင်ဘူးဆိုရင် အားလုံးက အလကားပါပဲ။
၎င်းသည် “အားနည်းချက်စီမံခန့်ခွဲမှု” ဘက်တွင် ပိုမိုခေတ်ရေစီးကြောင်းတစ်ခုဖြစ်ခဲ့သည် ASPMဒါပေမယ့် ဆော့ဖ်ဝဲရေးသားသူတွေကို အားနည်းချက်တွေကို ပြင်ဆင်ရာမှာ ကူညီပေးတာက တကယ့်ရည်မှန်းချက်ဖြစ်သင့်ပါတယ် ASPM.
ကုဒ်တွေ အရမ်းများလွန်းတယ်၊ မြန်လွန်းတယ်
cloud က code ဖြန့်ကျက်မှုတွေကို အရှိန်မြှင့်ပေးတယ်လို့ ကျွန်တော်တို့ထင်ရင် generative AI က code ရဲ့အမြန်နှုန်းကိုပဲ မြှင့်တင်ပေးခဲ့ပါတယ်။ နောက်ထပ် လျှော့တွက်ထားတဲ့အချက်ကတော့ generative AI က code အတွက် ပရိသတ်အသစ်တွေကို ဘယ်လိုဆက်လက်ဖွင့်လှစ်ပေးနေလဲဆိုတာပါပဲ။ အရောင်းအဖွဲ့တွေကနေ စာရင်းကိုင်အထိ လူတိုင်းကို ရိုးရှင်းတဲ့အရာတွေလုပ်တဲ့ python script တွေ ဖန်တီးနိုင်စေပါတယ်။
ဤဖွံ့ဖြိုးတိုးတက်မှုများကြောင့် မကြာခဏ၊ မကြာခဏနှင့် မတူညီသောပတ်ဝန်းကျင်များတွင် စကင်ဖတ်ခြင်းသည် ယခင်ကထက် ပိုမိုအရေးကြီးလာပါသည်။ စကင်ဖတ်ခြင်းဖြင့် အပလီကေးရှင်းအသစ်များကို စနစ်ထည့်သွင်းရန် ရှည်လျားသော အတည်ပြုချက်လုပ်ငန်းစဉ် လိုအပ်ပါက သင်သည် မျက်ကန်းရန်သာ အဆင်သင့်ဖြစ်နေပါလိမ့်မည်။
ပတ်ဝန်းကျင်တွေက ကွဲပြားလွန်းတယ်
စကင်နာအရေအတွက်က များလွန်းနိုင်ပေမယ့် လူတိုင်းရဲ့ လစဉ်အရသာ Javascript framework၊ ဘာသာစကားကွဲပြားမှု ဒါမှမဟုတ် တခြား framework တွေကို ထည့်လိုက်တဲ့အခါ “အကောင်းဆုံး point solution တွေ” ကို ရှာဖို့ မဖြစ်နိုင်တော့ပါဘူး။ Javascript ရဲ့ အရသာတိုင်းအတွက် အကောင်းဆုံး scanning solution ကို security team တွေ ရှာနေတယ်လို့ ကျွန်တော် မမြင်ပါဘူး။ တစ်ခုတည်း ASPM tool သည် ဘာသာစကားအလိုက် လုပ်ဆောင်ရန် ကြိုးစားခြင်းထက် စကင်ဖတ်ခြင်း လွှမ်းခြုံမှုကို ပိုမိုကျယ်ပြန့်စွာ ရရှိနိုင်အောင် ပြုလုပ်ပေးနိုင်ပါသည်။
ASPM ကိရိယာဖြေရှင်းချက်?
ဒီပြဿနာတွေကြောင့် ကျွန်တော်သတ်မှတ်ခဲ့တာပါ ASPM အဖြစ်:
Application Security Posture Management သင့်အပလီကေးရှင်းကို အားနည်းချက်များအတွက် စကင်ဖတ်ပြီး ပြုပြင်ရန် လိုအပ်သမျှကို ပေးပါသည်။ ၎င်းသည် သင့်တစ်လျှောက်တွင် လုံခြုံရေးစကင်ဖတ်ခြင်းကို ပေးပါသည်။ SDLC pipeline၊ ရလဒ်များကို စုပ်ယူပြီး ပြန်လည်ပြုပြင်မှု လုပ်ငန်းစဉ်များကို တည်ဆောက်သည်။
လက်တွေ့တွင် ၎င်းသည် သင့်ကုဒ်ကို အားနည်းချက်များအတွက် ချောမွေ့စွာစကင်ဖတ်စစ်ဆေးပြီး ဦးစားပေးသတ်မှတ်ကာ မှန်ကန်သောလူများထံ ခွဲဝေပေးရာတွင် ကူညီပေးသည့် all-in-one source code integration အဖြစ် အကောင်အထည်ပေါ်လာပါသည်။ ၎င်းသည် ပြဿနာအားလုံးကို မည်သို့ဖြေရှင်းပေးသည်ကို ကြည့်ကြပါစို့။ အဓိကပြဿနာများ AppSec မှာ:
စကင်နာတွေ အရမ်းများလွန်းတယ်
- ဒါက အလိုလိုနားလည်ပြီးသားပါ - သင့်ရဲ့ stack ရဲ့ အများစုကို လွှမ်းခြုံနိုင်လောက်အောင် ကောင်းမွန်နေချိန်မှာ မတူညီတဲ့ အချက် ၈ ချက်ရှိတဲ့ အကြောင်းပြချက် မရှိတော့ပါဘူး။
မှားယွင်းသော အပြုသဘောဆောင်သော အချက်များ အလွန်များပြားခြင်း
- “ပိုကောင်းတဲ့ အချက်ဖြေရှင်းချက်တွေ” ဆိုတဲ့ အယူအဆက ဆက်လက်တည်ရှိနေပေမယ့် ASPMသည် အပလီကေးရှင်းတစ်ခု မည်သို့အလုပ်လုပ်သည်ကို ပိုမိုပြည့်စုံစွာ မြင်သာစွာ မြင်နိုင်သည်။ ၎င်းသည် build dependencies များကို mapping လုပ်ခြင်းဖြစ်စေ၊ “code to cloud” ရုပ်ပုံဖြစ်စေ ဤကိရိယာများသည် မှားယွင်းသော အပြုသဘောဆောင်သော အချက်များကို ဖယ်ရှားရာတွင် ပိုမိုကောင်းမွန်စွာ လုပ်ဆောင်လေ့ရှိသည်။
အရာတွေကို ပြင်ဖို့ဆိုတာ တကယ်ကို ခက်ခဲပါတယ်
- တရားမျှတစွာပြောရလျှင် ဤနေရာသည် (ယေဘုယျအားဖြင့်) စကင်ဖတ်ခြင်းကို ရပ်တန့်ထားသော ဝန်ဆောင်မှုပေးသူများစွာသည် အရာများကို ပြုပြင်ရန်အတွက် ပိုမိုကောင်းမွန်သော အင်ဂျင်များကို တည်ဆောက်ထားသည့်နေရာဖြစ်သည်။ မည်သို့ပင်ဖြစ်စေ၊ ဤနေရာသည် ASPM ကျော်ပြီ CSPM - ၎င်းတွင် တွေ့ရှိချက်များကို ပြင်ဆင်နိုင်သူများထံ ရောက်ရှိစေရန် နည်းလမ်းတစ်ခုရှိသည်။
ကုဒ်တွေ အရမ်းများလွန်းတယ်၊ မြန်လွန်းတယ်
- repositories အသစ်များထဲသို့ scanner များကို အလိုအလျောက် ဖြန့်ကျက်ခြင်းသည် ရှားပါးသော feature တစ်ခုဖြစ်သောကြောင့် webhook ကို အခြေခံထားသည်မှာ မည်မျှကြာမည်ကို ပြောပြနေပါသည်။ ASPM လုံခြုံရေးကို ပတ်ဝန်းကျင်တစ်ခုရှိ ကုဒ်ပမာဏကဲ့သို့ မြန်ဆန်စွာ တိုးချဲ့နိုင်စေသည်
ပတ်ဝန်းကျင်တွေက ကွဲပြားလွန်းတယ်
- အားသာချက်တွေ အမြဲရှိနိုင်ပေမယ့် “အကောင်းဆုံး” ဆိုတာကို အကဲဖြတ်ဖို့ ပိုပိုခက်လာပါတယ် - လုံခြုံရေးအဖွဲ့တစ်ဖွဲ့ဟာ ဘာသာစကား ၅ ခုနဲ့ စကင်နာ ၈ ခုကို သဘောတရားတွေရဲ့ သက်သေ ၁၀ ခုနဲ့ စမ်းသပ်ရမှာလား။
ကျွန်တော်/ကျွန်မ ရပ်နေပါတယ် ASPM (နှင့် ASPM tools) သည် အပလီကေးရှင်းလုံခြုံရေး၏ အနာဂတ်ဖြစ်သောကြောင့် အပလီကေးရှင်းလုံခြုံရေးပညာရှင်များ ရင်ဆိုင်ရသော ပြဿနာအများစုကို ဖြေရှင်းပေးပါသည်။ ရှိပြီးသားစာချုပ်များ သက်တမ်းကုန်ဆုံးသွားသည်နှင့် သို့မဟုတ် ယင်းမတိုင်မီကပင် ကျွမ်းကျင်သူများသည် ဤအသစ်သောဖြေရှင်းနည်းများဆီသို့ အပြေးအလွှားသွားကြလိမ့်မည်။ ၎င်းတို့ကို တားဆီးနေသည့်တစ်ခုတည်းသောအရာမှာ ပိုကောင်းသောနည်းလမ်းရှိသည်ကို သိရှိခြင်းပင်ဖြစ်သည်။
