whitelisting ကနေ ဘာကြောင့် ခွဲထွက်ဖို့ လိုအပ်တယ်ဆိုတာ နားမလည်ခင်မှာ ဆိုက်ဘာလုံခြုံရေးဆိုင်ရာ အသုံးအနှုန်းတွေမှာ whitelist ဆိုတာ ဘာကိုဆိုလိုတာလဲ (whitelist အဓိပ္ပာယ်) ကို အဓိပ္ပာယ်ဖွင့်ဆိုကြည့်ရအောင်။ whitelist ဆိုသည်မှာ စနစ်တစ်ခုမှ အလိုအလျောက် အပြန်အလှန်ဆက်သွယ်ခွင့်ပြုသည့် ယုံကြည်ရသော entity များ၊ IP များ၊ domain များ၊ file hash များ၊ repositories များ သို့မဟုတ် Docker image များအပါအဝင် ကြိုတင်သတ်မှတ်ထားသော စာရင်းတစ်ခုဖြစ်သည်။ ဖွံ့ဖြိုးတိုးတက်ရေးတွင်လည်းကောင်း၊ CI/CD ပတ်ဝန်းကျင်တွင်၊ whitelisting ကို အောက်ပါတို့အတွက် အသုံးများသည်-
- အတွင်းပိုင်း API များ သို့မဟုတ် cloud endpoint များကို ဝင်ရောက်ခွင့်ပြုပါ
- ကွန်တိန်နာများ သို့မဟုတ် dependencies များကို ဆွဲယူရန်အတွက် registry အချို့အား အတည်ပြုပါ
- တည်ဆောက်မှုများ သို့မဟုတ် ဖြန့်ကျက်မှုများကို စတင်ရန် သတ်မှတ်ထားသော IP များကို ခွင့်ပြုပါ
⚠️ မလုံခြုံသော ဥပမာ၊ ပညာရေးဆိုင်ရာ ရည်ရွယ်ချက်အတွက်သာ။ ထုတ်လုပ်မှုတွင် မသုံးပါနှင့်။
အစပိုင်းမှာတော့ ဒါက လုံခြုံတယ်လို့ ထင်ရပေမယ့် ကြိုတင်သတ်မှတ်ထားတဲ့ entity တွေသာ ဝင်ရောက်ကြည့်ရှုနိုင်ပါတယ် pipelineဒါပေမယ့် ဒီ static list တွေက အဲဒီ entry တွေရဲ့နောက်ကွယ်မှာ ဘယ်သူ ဒါမှမဟုတ် ဘာရှိလဲဆိုတာကို တကယ်အတည်မပြုနိုင်ဘူးဆိုတာ သဘောပေါက်လာတဲ့အခါ whitelist ရဲ့ အဓိပ္ပာယ်က ပျက်ပြယ်သွားပါတယ်။ တိုက်ခိုက်သူတွေဟာ IP တွေကို လှည့်စားနိုင်သလို၊ ယုံကြည်ရတဲ့ domain တွေကို ထိခိုက်စေနိုင်သလို၊ အတည်မပြုရသေးတဲ့ registry တွေကို အလွဲသုံးစားလုပ်နိုင်ပါတယ်။
လုံခြုံသော ဖွဲ့စည်းမှု- ဆက်စပ် အတည်ပြုချက်ပါရှိသော ပြောင်းလဲနိုင်သော ခွင့်ပြုစာရင်း
static whitelist များကို context validation (cryptographic signatures နှင့် authentication tokens များကဲ့သို့) ပါဝင်သော dynamic allow list များဖြင့် အစားထိုးခြင်းဖြင့် အဖွဲ့များသည် အတည်ပြုပြီးသော၊ ခွင့်ပြုထားသော အဖွဲ့အစည်းများသာ ဝင်ရောက်ကြည့်ရှုနိုင်ကြောင်း သေချာစေနိုင်သည် pipelines သို့မဟုတ် မှီခိုမှုများ။ ခေတ်သစ် DevOps မှာ whitelisting ဆိုတာ ဘာကိုဆိုလိုတာလဲဆိုရင် access ကို ကန့်သတ်ရုံတင်မကဘဲ၊ သင့်စနစ်တွေက internal နဲ့ external resources တွေအပေါ် ဘယ်လောက်ထိ implicit ယုံကြည်မှုထားလဲဆိုတာကို နားလည်ခြင်းနဲ့လည်း သက်ဆိုင်ပါတယ်။ တကယ့်အန္တရာယ်က အဲဒီမှာပဲ ရှိပါတယ်။
Whitelisting က ဘာကြောင့် လုံခြုံရေးဆိုင်ရာ မှားယွင်းတဲ့ ခံစားချက်ကို ဖန်တီးပေးတာလဲ။
ဆော့ဖ်ဝဲရေးသားသူများသည် whitelist များကို shortcut အဖြစ် မကြာခဏအသုံးပြုလေ့ရှိသည် "မူလအားဖြင့် ဘေးကင်းလုံခြုံပါသည်။"IP သို့မဟုတ် repository တစ်ခုကို whitelist လုပ်ထားပါက ဘေးကင်းသည်ဟု ယူဆပါသည်။ သို့သော် ထိုယူဆချက်သည် ရှားရှားပါးပါးသာ မှန်ကန်ပါသည်။ Static whitelisting သည် မှားယွင်းသော လုံခြုံရေးခံစားချက်ကို ဖန်တီးပေးသည်၊ အဘယ်ကြောင့်ဆိုသော်-
- IP များ သို့မဟုတ် repositories များသည် ပိုင်ဆိုင်မှု သို့မဟုတ် ပြင်ဆင်မှုကို ပြောင်းလဲသည်။
- ယုံကြည်ရသောရင်းမြစ်များသည် အန္တရာယ်ရှိနိုင်သည်။
- “အတည်ပြုထားသော” မှတ်ပုံတင်များအတွင်းရှိ မှီခိုမှုများကို ခိုးယူသွားနိုင်သည်။
- Whitelist များသည် အခြေအနေကို သတိပြုမိခြင်းမရှိပါ။ ရည်ရွယ်ချက် သို့မဟုတ် အချိန်ကိုက်ကို အတည်မပြုပါ။
whitelist တစ်ခုကို မြင်ယောင်ကြည့်ပါ Git repository အဲဒါကို dependency hijack လုပ်ခြင်းအားဖြင့် လွှဲပြောင်းယူပါတယ်။ CI/CD စနစ်က ၎င်းကို "စာရင်းတွင်" ရှိနေသောကြောင့် ယုံကြည်နေဆဲဖြစ်သည်။ whitelist ဆိုသည်မှာ လုံခြုံရေးထိန်းချုပ်မှုမှ လုံခြုံရေးတာဝန်ယူမှုသို့ ပြောင်းလဲသွားပုံဖြစ်သည်။
အန္တရာယ်များသော ယူဆချက်၏ ဥပမာ-
⚠️ မလုံခြုံသော ဥပမာ၊ ပညာရေးဆိုင်ရာ ရည်ရွယ်ချက်အတွက်သာ။ အကောင်အထည်ဖော်ခြင်း သို့မဟုတ် ပြန်လည်အသုံးပြုခြင်း မပြုရ။
အဲဒီ endpoint ကို ထိခိုက်သွားရင်၊ pipeline ဒီ command ကိုအသုံးပြုခြင်းအားဖြင့် တိုက်ခိုက်မှုကို အမွေဆက်ခံသည်။ ဒါကြောင့်မို့လို့ whitelisting ဆိုတာ ဘာကိုဆိုလိုတာလဲဆိုတာ နားလည်ရုံနဲ့ မလုံလောက်ပါဘူး။ တကယ့်လက်တွေ့အခြေအနေတွေမှာ ဘယ်လိုပျက်ကွက်လဲဆိုတာ နားလည်ဖို့ လိုပါတယ်။
လက်တွေ့ကမ္ဘာတွင် Whitelisting ပြုလုပ်ရန် အန္တရာယ်များ CI/CD Pipelines နှင့် မှတ်ပုံတင်ရုံးများ
CI/CD pipelinewhitelisting ဟာ ဘယ်လိုကာကွယ်မှုကနေ တိတ်ဆိတ်မှုအဖြစ် ပြောင်းလဲနိုင်တယ်ဆိုတာကို ပြသတဲ့ အကောင်းဆုံး ဥပမာတစ်ခုပါပဲ။ မင်္ဂလာပါယုံကြည်မှုသည် တည်ငြိမ်နေပြီး အတည်မပြုရသေးသည့်အခါ တိုက်ခိုက်သူများသည် ကွင်းဆက်တစ်ခုလုံးကို ထိခိုက်စေရန်အတွက် အားနည်းချက်တစ်ခုသာ လိုအပ်ပါသည်။
ဥပမာ ၁: အန္တရာယ်ရှိသော ပက်ကေ့ဂျ်ရင်းမြစ်
whitelisted internal artifact registry သည် open-source dependencies များကို ထင်ဟပ်စေသည်။ malicious update တစ်ခု လွတ်သွားပြီး pipeline ၎င်းကို အလိုအလျောက် ဒေါင်းလုဒ်လုပ်သည်။
မှတ်ပုံတင်ခြင်းကို whitelist လုပ်ထားသောကြောင့်၊ နောက်ထပ် အတည်ပြုချက် မဖြစ်ပေါ်ပါ။
⚠️ မလုံခြုံသော ဥပမာ၊ ပညာရေးဆိုင်ရာ ရည်ရွယ်ချက်အတွက်သာ။ ထုတ်လုပ်မှုတွင် မသုံးပါနှင့်။
လုံခြုံသော ဖွဲ့စည်းမှုပုံစံ- မှတ်ပုံတင်လက်မှတ်နှင့် သမာဓိရှိမှု အတည်ပြုခြင်း
ခိုးယူခံရသော မှန်များ သင့်ထံမှ အဆိပ်သင့်ခြင်းမှ ကာကွယ်ရန် မှတ်ပုံတင်ရင်းမြစ်များကို ကုဒ်ဖြင့် အမြဲစစ်ဆေးပါ။ ဆော့ဖ်ဝဲလ် ထောက်ပံ့ရေးကွင်းဆက်။
ဥပမာ ၂: Cloud ဖြန့်ကျက်မှုများတွင် Static IP ယုံကြည်မှု
Cloud-based whitelist များသည် မကြာခဏဆိုသလို သတ်မှတ်ထားသော IP များမှသာ ဖြန့်ကျက်မှု traffic ကို ခွင့်ပြုပါသည်။
ဒါပေမယ့် developer တွေက အဝေးကနေ ဒါမှမဟုတ် dynamic VPN တွေကနေတစ်ဆင့် အလုပ်လုပ်တဲ့အခါ “ယာယီ” exception တွေကို ထည့်သွင်းပြီး ရှားရှားပါးပါးပဲ ဖယ်ရှားလေ့ရှိပါတယ်။ အချိန်ကြာလာတာနဲ့အမျှ ဒီ exception တွေက စီမံခန့်ခွဲမထားတဲ့ exposure တွေကို ဖန်တီးပေးပါတယ်။
⚠️ မလုံခြုံသော ဥပမာ၊ ပညာရေးဆိုင်ရာ ရည်ရွယ်ချက်အတွက်သာ။ ထုတ်လုပ်မှုတွင် မသုံးပါနှင့်။
လုံခြုံသော ဖွဲ့စည်းမှု- ဆက်စပ်အခြေအနေကို သိရှိနိုင်သော တက်ကြွသော ဝင်ရောက်ခွင့်
static IP များကိုသာ အားကိုးမည့်အစား၊ အထောက်အထားအခြေခံနှင့် ဆက်စပ်သော အတည်ပြုချက်, ကဲ့သို့ လှစ်ထား၊ သက်တမ်းတိုကင်များနှင့် VPN ကိုယ်ဟန်အနေအထား စစ်ဆေးမှုများ။
ဥပမာ ၃: ယုံကြည်စိတ်ချရသော ကွန်တိန်နာပုံများ
အောက်ပါအတိုင်း tag လုပ်ထားသော whitelisted Docker image တစ်ခု နောက်ဆုံး တိတ်ဆိတ်စွာ ပြောင်းလဲနိုင်သည်။
ထိုပုံကို အန္တရာယ်ရှိသော ဗားရှင်းဖြင့် အစားထိုးပါက သင့်တည်ဆောက်မှုတစ်ခုလုံး pipeline malicious code ကို အမွေဆက်ခံသည်။
⚠️ မလုံခြုံသော ဥပမာ၊ ပညာရေးဆိုင်ရာ ရည်ရွယ်ချက်အတွက်သာ။ ထုတ်လုပ်မှုတွင် မသုံးပါနှင့်။
Pinned လုပ်ပြီး အတည်ပြုထားသော image ပါရှိသော Dockerfile ကို လုံခြုံအောင်ထားပါ
အမြဲ pin image အနှစ်ချုပ်များ မှီခိုမှု ရွေ့လျားမှု သို့မဟုတ် ရုပ်ပုံကို ခိုးယူခြင်းကို ကာကွယ်ရန် ၎င်းတို့ကို ကုဒ်ဝှက်စနစ်ဖြင့် အတည်ပြုပါ။
ဥပမာ ၄: မှတ်တမ်းများမှတစ်ဆင့် တိုကင်ယိုစိမ့်မှု
ခိုင်မာသော whitelist ပြုလုပ်ထားသည့်တိုင် လျှို့ဝှက်ချက်များကို ပေါ့ဆစွာ မှတ်တမ်းတင်ခြင်း လုပ်ဆောင်ချက်များမှတစ်ဆင့် ဖော်ထုတ်နိုင်ပါသည်။
တိုကင်တစ်ခုသည် မှတ်တမ်းများတွင် ပေါ်လာသည်နှင့် IP ကန့်သတ်ချက်များ မည်သို့ပင်ရှိစေကာမူ တိုက်ခိုက်သူများမှ ၎င်းကို စုဆောင်းပြီး ပြန်လည်အသုံးပြုနိုင်သည်။
⚠️ မလုံခြုံသော ဥပမာ၊ ပညာရေးဆိုင်ရာ ရည်ရွယ်ချက်အတွက်သာ။ ထုတ်လုပ်မှုတွင် မသုံးပါနှင့်။
လုံခြုံသည်- မှတ်တမ်းများတွင် ဖုံးကွယ်ထားသော သို့မဟုတ် လျှို့ဝှက်သေတ္တာ လျှို့ဝှက်ချက်များ
အမြဲ မျက်နှာဖုံး, ပင်လယ်ကမ်းစောင်းဒါမှမဟုတ် runtime မှာ လျှို့ဝှက်ချက်တွေ ထိုးသွင်းပါ တည်ဆောက်မှု သို့မဟုတ် ဖြန့်ကျက်မှုမှတ်တမ်းများတွင် ထိတွေ့မှုကို ကာကွယ်ရန်။
ဤကိစ္စအားလုံးတွင် whitelisting ကို ကောင်းမွန်သော ရည်ရွယ်ချက်များဖြင့် အသုံးပြုခဲ့သော်လည်း၊ context validation မပါဘဲ တိုက်ခိုက်သူများအား ယုံကြည်စိတ်ချရသော စနစ်များထဲသို့ တိုက်ရိုက်ဝင်ရောက်ရန် အတိုကောက်နည်းလမ်းတစ်ခု ပေးခဲ့သည်။
Whitelist မှ ခွင့်ပြုစာရင်းသို့- Context-Aware Controls များဆီသို့ ပြောင်းလဲခြင်း
လုံခြုံရေးအဖွဲ့များနှင့် DevSecOps အင်ဂျင်နီယာများသည် ပါဝင်မှုအတွက်သာမက static trust မှ contextual verification သို့ သဘောတရားရေးရာပြောင်းလဲမှုကို ထင်ဟပ်စေရန်အတွက်ပါ “whitelist” ဟူသော အသုံးအနှုန်းကို တဖြည်းဖြည်း ဖယ်ရှားနေကြသည်။
ခွင့်ပြုစာရင်း (သို့မဟုတ် ငြင်းပယ်စာရင်း) သည် ခွင့်ပြုထားသော ရင်းမြစ်များကို သတ်မှတ်ပေးနေဆဲဖြစ်သော်လည်း၊ ၎င်းသည် ဆက်စပ်အသိပညာကို ထည့်သွင်းပေးပြီး၊ entity တစ်ခုကို အဘယ်ကြောင့်၊ မည်သည့်အချိန်နှင့် မည်သည့် attributes များအောက်တွင် ယုံကြည်သင့်သည်ကို အကဲဖြတ်သည်။
“ဒီ IP က whitelist လုပ်ထားလား” လို့ မေးမယ့်အစား “ဒီတောင်းဆိုမှုက လက်မှတ်ထိုးထားတဲ့၊ အတည်ပြုထားတဲ့၊ မျှော်လင့်ထားတဲ့ ရင်းမြစ်ကနေ မှန်ကန်တဲ့အချိန်မှာ လာတာလား” လို့ မေးသင့်ပါတယ်။
အသေးစားစစ်ဆေးရမည့်စာရင်း- လုံခြုံသော Whitelisting အစားထိုးနည်းလမ်းများ
- အထောက်အထား၊ အကြောင်းအရာနှင့် အချိန်အခြေခံ အတည်ပြုခြင်းတို့ ပါဝင်သည့် ခွင့်ပြုစာရင်းများကို အသုံးပြုပါ။
- static IP စည်းမျဉ်းများကို attribute-based access control (ABAC) မူဝါဒများဖြင့် အစားထိုးပါ။
- ဒိုမိန်းများကို ယုံကြည်ရုံသက်သက်အစား artifact signatures များကို အတည်ပြုပါ။
- တောင်းဆိုမှုတိုင်းအတွက် TLS + တိုကင် အတည်ပြုချက်ကို ပြဋ္ဌာန်းပါ။
- ခွင့်ပြုစာရင်း entries များကို အဆက်မပြတ် စစ်ဆေးပြီး သက်တမ်းကုန်ဆုံးစေသည်။
ဥပမာ:
ဤပြောင်းလဲနေသောစည်းမျဉ်းသည် ယုံကြည်မှုဆိုင်ရာ attribute များအပေါ်အခြေခံသည့် အချိန်နှင့်တပြေးညီ အတည်ပြုချက်ဖြင့် ခေတ်မမီတော့သော whitelist အဓိပ္ပာယ်ကို အစားထိုးသည်။
DevOps Workflows တွင် Secure Whitelisting အခြားရွေးချယ်စရာများကို အသုံးပြုခြင်း
DevOps မှာ ရိုးရာ whitelisting ကို context-driven validation နဲ့ အစားထိုးလိုက်ခြင်းဟာ trust list တွေကို လုံးဝဖယ်ရှားပစ်ရမယ်လို့ မဆိုလိုပါဘူး။ သူတို့ကို တိုးတက်အောင် လုပ်ဆောင်ရမယ်လို့ပဲ ဆိုလိုပါတယ်။
လက်တွေ့ကျသောချဉ်းကပ်မှုများတွင်-
- ပြောင်းလဲနေသော မူဝါဒ ပြဋ္ဌာန်းချက်- ယုံကြည်မှုအခြေအနေများကို ပြောင်းလဲနိုင်သော အကဲဖြတ်ရန်အတွက် policy-as-code ကို အသုံးပြုပါ။
- ရှေးဟောင်းပစ္စည်း လက်မှတ်ရေးထိုးခြင်းနှင့် အတည်ပြုခြင်း: လက်မှတ်ရေးထိုးထားသော ရုပ်ပုံများနှင့် မှီခိုမှုများ လိုအပ်သည်။
- စဉ်ဆက်မပြတ် အတည်ပြုခြင်း- ယုံကြည်ရသော endpoint များကို runtime တွင် ပြန်လည်အတည်ပြုပါ။
- ယုံကြည်မှု လုံးဝမရှိသော ကွန်ရက်ချိတ်ဆက်မှု- ရှင်းရှင်းလင်းလင်း အတည်ပြုထားခြင်း မရှိပါက အထွက်လမ်းကြောင်းအားလုံးကို ကန့်သတ်ပါ။
ဥပမာအားဖြင့်၊ လုံခြုံသော pipelineအလိုအလျောက်စစ်ဆေးမှုများ ပါဝင်နိုင်သည်-
ဤစစ်ဆေးမှုများသည် ယခင်ကယုံကြည်စိတ်ချရသော မှတ်ပုံတင်ခြင်းမှ စတင်ခဲ့သော်လည်း အတည်မပြုရသေးသော သို့မဟုတ် ခိုးယူခံရသော မှီခိုမှုများ လုပ်ဆောင်ခြင်းမှ ကာကွယ်ပေးပါသည်။
whitelist ဆိုတာ ဒီနေ့ခေတ်မှာ ဘာကိုဆိုလိုတယ်ဆိုတာ နားလည်ခြင်းဟာ ဒါဟာ ထိန်းချုပ်မှုတစ်ခု မဟုတ်ဘဲ ပိုမိုစမတ်ကျပြီး လိုက်လျောညီထွေဖြစ်တဲ့ ဝင်ရောက်ခွင့် အတည်ပြုချက်အတွက် အစပြုချက်တစ်ခုဖြစ်ကြောင်း သဘောပေါက်ခြင်းနဲ့ သက်ဆိုင်ပါတယ်။
မူဝါဒ-အဖြစ်-ကုဒ်နှင့် အချိန်နှင့်တပြေးညီ အတည်ပြုခြင်း ပေါင်းစပ်ခြင်း
အလိုအလျောက်၊ မြန်ဆန်စွာပြောင်းလဲနေသော စနစ်များတွင် Static whitelist များသည် နေရာမရှိပါ။ pipelines. ကုဒ်အဖြစ်မူဝါဒနှင့် အချိန်နှင့်တပြေးညီ အတည်ပြုခြင်းသည် ဆော့ဖ်ဝဲရေးသားသူများနှင့် လုံခြုံရေးအဖွဲ့များအား ယုံကြည်မှုနယ်နိမိတ်များကို ပြောင်းလဲစွာ ပြဋ္ဌာန်းရန် ပိုမိုကောင်းမွန်သောနည်းလမ်းကို ပေးစွမ်းသည်။
ခေတ်မီ DevSecOps လုပ်ငန်းစဉ်များသည်-
- ဗားရှင်းထိန်းချုပ်ထားသော မူဝါဒများတွင် ခွင့်ပြု/ငြင်းပယ်သည့် ယုတ္တိဗေဒကို သတ်မှတ်ပါ။
- လက်မှတ်ထိုးထားသော မက်တာဒေတာနှင့် ကိုက်ညီသော ဝင်လာသည့် တောင်းဆိုမှုများကို အဆက်မပြတ် အတည်ပြုပါ။
- မမျှော်လင့်ထားသော အပြုအမူကို အလံပြရန် telemetry နှင့် anomaly detection ကို အသုံးပြုပါ။
ဥပမာ ပေါင်းစပ်မှု-
စဉ်ဆက်မပြတ် အတည်ပြုခြင်း အကြံပြုချက်- aခွင့်ပြုစာရင်းထည့်သွင်းမှုများကို အမြဲတမ်း ပြန်လည်သုံးသပ်ပြီး လှည့်ပတ်ပါ။ အသုံးမပြုသော အရင်းအမြစ်များကို ဖယ်ရှားပြီး မူဝါဒအပ်ဒိတ်များတွင် ပြန်လည်အတည်ပြုခြင်းကို ပြဋ္ဌာန်းပါ။
၎င်းသည် ဆက်စပ်အတည်ပြုခြင်းနှင့် စဉ်ဆက်မပြတ်စောင့်ကြည့်ခြင်းကို ပေါင်းစပ်ထားပြီး ဝင်ရောက်ခွင့်ထိန်းချုပ်မှုကို passive whitelist မှ active, adaptive defense layer သို့ ပြောင်းလဲပေးသည်။ မူဝါဒ-အဖြစ်-ကုဒ်သည် whitelist ၏ အဓိပ္ပာယ်ကို “hardcoded trust” မှ “real-time တွင် အတည်ပြုထားသော trust” သို့ ပြောင်းလဲလာစေရန် သေချာစေသည်။
Static Trust မှ အတည်ပြုထားသော Trust သို့
ဆော့ဖ်ဝဲရေးသားသူများအတွက် whitelisting ဆိုတာ ဘာကိုဆိုလိုတာလဲဆိုတာ နားလည်ခြင်းဟာ ဆိုက်ဘာလုံခြုံရေးဆိုင်ရာ အသုံးအနှုန်းတစ်ခုကို လေ့လာရုံထက် ပိုပါတယ်။ မြန်ဆန်စွာ ပြောင်းလဲနေတဲ့၊ အလိုအလျောက်စနစ်တွေမှာ static trust ရဲ့ အန္တရာယ်တွေကို အသိအမှတ်ပြုတာနဲ့ ပတ်သက်ပါတယ်။ ခေတ်သစ် pipelines၊ registry နှင့် repositories များသည် မျက်ကန်းယုံကြည်မှုမဟုတ်ဘဲ dynamic validation ကို တောင်းဆိုပါသည်။ whitelist မှ allow lists သို့ ရွေ့လျားခြင်း၊ static trust မှ verified trust သို့ ပြောင်းလဲခြင်းသည်သာ တစ်ခုတည်းသော နည်းလမ်းဖြစ်သည်။ စောင့်ရှောက် CI/CD ပတ်ဝန်းကျင်များသည် လုံခြုံပြီး ခံနိုင်ရည်ရှိသည်။
တူရိယာများ ဆိုက်ဂျီနီ DevSecOps အဖွဲ့များအနေဖြင့် မလုံခြုံသော configuration များကို ထောက်လှမ်းရန်၊ dynamic trust policies များကို ပြဋ္ဌာန်းရန်နှင့် software supply chain တစ်လျှောက်ရှိ source၊ package နှင့် artifact တိုင်းကို အတည်ပြုရန် ကူညီပေးသည်။
whitelist ရဲ့ အဓိပ္ပာယ်က "လုံခြုံတယ်" တဲ့။ ယနေ့ခေတ်တွင် ဘေးကင်းကြောင်း အတည်ပြုပြီးဖြစ်သည်။ whitelisting ကို ရပ်တန့်ပြီး validation စတင်ဖို့ အချိန်ရောက်ပါပြီ။
