ဘာဖြစ်သလဲ Software Supply Chain Security?

ဘာလဲ ဆိုတာနဲ့ မိတ်ဆက်ခြင်း Software Supply Chain Security (SSCS) #

Software Supply Chain Security (SSCS) သည် ခေတ်သစ် ဆိုက်ဘာလုံခြုံရေး မဟာဗျူဟာများတွင် အဓိကအချက်အချာအဖြစ် ပေါ်ထွက်လာခဲ့သည်။ ၎င်းသည် open-source libraries၊ commercial software နှင့် outsourced development ကဲ့သို့သော third-party components များထဲသို့ ယူဆောင်လာသည့် အန္တရာယ်များကို ဖော်ထုတ်ခြင်း၊ အကဲဖြတ်ခြင်းနှင့် လျှော့ချခြင်းတို့ကို ရည်ညွှန်းသည်။ အန္တရာယ်စီမံခန့်ခွဲမှုကို အဖွဲ့အစည်းဆိုင်ရာ ဆိုက်ဘာလုံခြုံရေး protocols များအတွင်း ထည့်သွင်းထားသောကြောင့် အဖွဲ့အစည်းတစ်ခုအား ထောက်ပံ့ရေးကွင်းဆက် အားနည်းချက်များကို ဖော်ထုတ်ခြင်းနှင့် မူလအစမှ ဖြန့်ကျက်ခြင်းအထိ ဒစ်ဂျစ်တယ် artifacts များ၏ လုံခြုံရေးကို သေချာစေနိုင်သည်။

ဘာဖြစ်သလဲ Software Supply Chain Security?  #

Software Supply Chain Security or SSCS ဆော့ဖ်ဝဲလ်ဖန်တီးခြင်းနှင့် ဖြန့်ကျက်ခြင်းတွင်ပါဝင်သော လုပ်ငန်းစဉ်တစ်ခုလုံးကို လုံခြုံစေရန်အတွက် ပြီးပြည့်စုံသောချဉ်းကပ်မှုတစ်ခုဖြစ်သည်။ ဆော့ဖ်ဝဲလ်ဖွံ့ဖြိုးတိုးတက်မှုသံသရာ၏ အဆင့်တိုင်းကို လွှမ်းခြုံထားသည် (SDLC) ၎င်းသည် ကုဒ်ရေးခြင်းမှ ဖြန့်ကျက်ခြင်းအထိ ဆော့ဖ်ဝဲလ် အစိတ်အပိုင်းများ၏ သမာဓိ၊ စစ်မှန်မှုနှင့် ယုံကြည်စိတ်ချရမှုကို သေချာစေသည်။

Supply Chain Attacks ကို နားလည်ခြင်း။ #

ဆော့ဖ်ဝဲလ် ထောက်ပံ့ရေးကွင်းဆက် တိုက်ခိုက်မှုများ ဆော့ဖ်ဝဲလ်ရောင်းချသူများနှင့် ၎င်းတို့၏ဖောက်သည်များအကြား ယုံကြည်မှုကို အခွင့်ကောင်းယူပြီး အဖွဲ့အစည်းတစ်ခု သို့မဟုတ် တစ်ခုထက်ပိုသော အဖွဲ့အစည်းများ၏ အပြန်အလှန်ချိတ်ဆက်ထားသော စနစ်များကို ပစ်မှတ်ထားသည်။ ဤတိုက်ခိုက်မှုများသည် ဆော့ဖ်ဝဲလ်အပ်ဒိတ်များ သို့မဟုတ် open-source ပရောဂျက်များသို့ အန္တရာယ်ရှိသော ပံ့ပိုးမှုများမှတစ်ဆင့် ပေါ်ပေါက်လာနိုင်ပြီး အသုံးပြုသူများမှ ၎င်းတို့၏ ဆော့ဖ်ဝဲလ်ပံ့ပိုးပေးသူများအပေါ် ယုံကြည်မှုကို အခွင့်ကောင်းယူကြသည်။

ဆော့ဖ်ဝဲလ်ထောက်ပံ့ရေးကွင်းဆက်တိုက်ခိုက်မှုများအဖြစ်များသောအမျိုးအစားများ #

• Open-source ဆော့ဖ်ဝဲလ်ရှိ အန္တရာယ်ရှိသော ကုဒ်များ- တိုက်ခိုက်သူများသည် အားနည်းချက်များ သို့မဟုတ် အန္တရာယ်ရှိသော ကုဒ်များကို open-source ပရောဂျက်များထဲသို့ ထိုးသွင်းကြပြီး ဤပရောဂျက်များကို မှီခိုအားထားနေရသော ဆော့ဖ်ဝဲ၏ တည်တံ့မှုကို ထိခိုက်စေပါသည်။
• CI/CD Pipeline ချိုးဖောက်မှုများ- စဉ်ဆက်မပြတ်ပေါင်းစည်းမှု/စဉ်ဆက်မပြတ်ပေးပို့မှုအတွင်းရှိ ကိရိယာများ သို့မဟုတ် လုပ်ငန်းစဉ်များသို့ ခွင့်ပြုချက်မရှိဘဲ ဝင်ရောက်ခွင့် (CI/CD) pipelines သည် တိုက်ခိုက်သူများအား တည်ဆောက်ပြီး ဖြန့်ကျက်နေသော software ထဲသို့ အားနည်းချက်များ သို့မဟုတ် အန္တရာယ်ရှိသော code များကို ထည့်သွင်းနိုင်စေပါသည်။
• CI/CD ကိရိယာ မှားယွင်းစွာ ပြင်ဆင်မှုများ- မှားယွင်းသောဖွဲ့စည်းပုံများ CI/CD pipelines များသည် တိုက်ခိုက်သူများအား အရေးကြီးသော လုံခြုံရေးစစ်ဆေးမှုများကို ကျော်လွှားခြင်း သို့မဟုတ် ခွင့်ပြုချက်မရှိဘဲ ဝင်ရောက်ခြင်းဖြင့် ဆော့ဖ်ဝဲလ်လုံခြုံရေးကို ထိခိုက်စေနိုင်သည်။

မှတ်သားဖွယ်ကောင်းသော ဆော့ဖ်ဝဲလ် ထောက်ပံ့ရေးကွင်းဆက် တိုက်ခိုက်မှုများ #

SolarWinds၊ CodeCov၊ Kaseya၊ Mimecast နှင့် Passwordstate တိုက်ခိုက်မှုများကဲ့သို့သော မကြာသေးမီက ဖြစ်ပွားခဲ့သော ဖြစ်ရပ်များသည် ထောက်ပံ့ရေးကွင်းဆက်ခြိမ်းခြောက်မှုများ၏ တိုးပွားလာသော ရှုပ်ထွေးမှုနှင့် သက်ရောက်မှုကို အလေးပေးဖော်ပြနေပြီး ခိုင်မာသောစနစ်အတွက် အရေးကြီးသော လိုအပ်ချက်ကို မီးမောင်းထိုးပြနေပါသည်။ SSCS အစီအမံ။

• SolarWinds တိုက်ခိုက်မှု တိုက်ခိုက်သူများသည် SolarWinds တည်ဆောက်မှုလုပ်ငန်းစဉ်ကို ချိုးဖောက်ခဲ့ပြီး အမေရိကန်အစိုးရနှင့် အဓိကနည်းပညာကုမ္ပဏီများအပါအဝင် SolarWinds ဖောက်သည်ရာပေါင်းများစွာထံ ဖြန့်ဝေထားသော ပုံမှန်ဆော့ဖ်ဝဲအပ်ဒိတ်များထဲသို့ malware ထိုးသွင်းခဲ့သည်။
• CodeCov ချိုးဖောက်မှုတိုက်ခိုက်သူများသည် CodeCov ရှိ uploader script ကို အသုံးချခဲ့ပြီး client ၏ အထောက်အထားများကို ထိခိုက်စေကာ CodeCov အသုံးပြုသူများ၏ ကွန်ရက်များမှ ဒေတာများကို ခိုးယူရန် လွယ်ကူစေခဲ့သည်။
• ကာဆီယာ တိုက်ခိုက်မှုREvil ransomware ကို Kaseya ၏ Virtual System Administrator (VSA) ၏ ပုံမှန်အပ်ဒိတ်ထဲသို့ ထိုးသွင်းခဲ့ပြီး အဖွဲ့အစည်းထောင်ပေါင်းများစွာကို သက်ရောက်မှုရှိစေခဲ့ပြီး ကျယ်ကျယ်ပြန့်ပြန့် အနှောင့်အယှက်ဖြစ်စေခဲ့သည်။
• Mimecast ချိုးဖောက်မှု- ခိုးယူခံရသော ဒစ်ဂျစ်တယ်လက်မှတ်တစ်ခုကြောင့် Mimecast တွင် ထောက်ပံ့ရေးကွင်းဆက်ဒေတာ ခိုးယူခံရမှုတစ်ခု ဖြစ်ပွားခဲ့ပြီး ၎င်း၏ဖောက်သည်အခြေခံ၏ များစွာသောအစိတ်အပိုင်းကို ထိခိုက်ခဲ့သည်။
• စကားဝှက်အခြေအနေတိုက်ခိုက်မှုတိုက်ခိုက်သူများသည် Passwordstate ၏ အပ်ဒိတ်ဝန်ဆောင်မှုကို ချိုးဖောက်ဝင်ရောက်ခဲ့ပြီး ဖောက်သည်များ၏ စက်ပစ္စည်းများကို ကူးစက်ကာ အရေးကြီးသော အချက်အလက်များကို ခိုးယူခဲ့သည်။

ဘာကြောင့် Software Supply Chain တိုက်ခိုက်မှုတွေ မြင့်တက်လာရတာလဲ။ #

ဆော့ဖ်ဝဲလ်ထောက်ပံ့ရေးကွင်းဆက်တိုက်ခိုက်မှုများ တိုးပွားလာရခြင်း၏ အကြောင်းရင်းများစွာမှာ-

• ငွေကြေးဆိုင်ရာ လှုံ့ဆော်မှု- ထောက်ပံ့ရေးကွင်းဆက်တိုက်ခိုက်မှုများသည် အနည်းဆုံးအားထုတ်မှုဖြင့် အဖွဲ့အစည်းများစွာကို ပစ်မှတ်ထားသည့် ကြီးမားသောဟက်ကာများကို လုပ်ဆောင်နိုင်စေခြင်းဖြင့် ခြိမ်းခြောက်မှုလုပ်ဆောင်သူများအား ရင်းနှီးမြှုပ်နှံမှုအပေါ် မြင့်မားသောပြန်အမ်းငွေ (ROI) ကို ပေးစွမ်းသည်။
• အလွယ်တကူ အသုံးပြုနိုင်သော တိုက်ခိုက်မှု ဗက်တာ- တိုက်ခိုက်သူများသည် software supply chains များထဲသို့ ထိုးဖောက်ဝင်ရောက်ရန် cloud environment များရှိ soft target များ သို့မဟုတ် insecure permission များကို အသုံးချကာ malware များကို ရှာဖွေတွေ့ရှိနိုင်ခြေ လျော့နည်းစေပါသည်။
• ရှောင်တိမ်းခြင်း- ထောက်ပံ့ရေးကွင်းဆက်တိုက်ခိုက်မှုများသည် အဆင့်မြင့် malware နှင့် ရှောင်ရှားရေးနည်းပညာများကို အသုံးပြုသောကြောင့် ထောက်လှမ်းရန်နှင့် ခြေရာခံရန် ခက်ခဲစေသည်။
• Cloud Native ပတ်ဝန်းကျင်များ- open-source libraries များနှင့် မြန်ဆန်သော ဖွံ့ဖြိုးတိုးတက်မှု ዑደብများအပေါ် မှီခိုနေရသည့် cloud-native architectures များသည် supply chain attacks များအတွက် မြေဩဇာကောင်းသော နေရာတစ်ခုကို ပံ့ပိုးပေးပါသည်။

၏အရေးပါမှု SSCS #

ဘာဖြစ်တယ်ဆိုတာ သိပြီးတဲ့နောက် software supply chain security, ကျွန်တော်တို့ ဒီလိုပြောနိုင်ပါတယ် SSCS ဆိုက်ဘာလုံခြုံရေးအန္တရာယ်များကို လျှော့ချရန်၊ အချက်အလက်နှင့် ဉာဏပစ္စည်းမူပိုင်ခွင့်ကို ကာကွယ်ရန်၊ စည်းမျဉ်းစည်းကမ်းလိုက်နာမှုကို သေချာစေရန်နှင့် ဖောက်သည်ယုံကြည်မှုကို ထိန်းသိမ်းရန်အတွက် မရှိမဖြစ်လိုအပ်ပါသည်။ ၎င်းသည် ဆော့ဖ်ဝဲလ်ထောက်ပံ့ရေးကွင်းဆက်များကို ပစ်မှတ်ထားသော ဘက်စုံခြိမ်းခြောက်မှုများကို ဆန့်ကျင်သည့် ခံနိုင်ရည်ရှိသော ကာကွယ်ရေးယန္တရား၏ အဓိကကျောရိုးကို ဖွဲ့စည်းပေးသည်။

• ဆိုက်ဘာလုံခြုံရေးအန္တရာယ်များကို လျှော့ချခြင်းထောက်ပံ့ရေးကွင်းဆက်လုံခြုံရေးကို အာရုံစိုက်ခြင်းသည် အဖွဲ့အစည်းများအား ဆိုက်ဘာရာဇဝတ်ကောင်များထက် ရှေ့ရောက်နေစေရန် ကူညီပေးပြီး အားနည်းချက်များနှင့် အားနည်းချက်များကို လျှော့ချပေးသည်။
• ဒေတာနှင့် ဉာဏပစ္စည်းဆိုင်ရာပိုင်ဆိုင်မှုများကို ကာကွယ်ခြင်း- လုံခြုံသော ထောက်ပံ့ရေးကွင်းဆက်သည် ဒေတာခိုးယူခံရခြင်းမှ ကာကွယ်ပေးပြီး ခွင့်ပြုချက်မရှိဘဲ ဝင်ရောက်ကြည့်ရှုခြင်းနှင့် အဖိုးတန် ဉာဏပစ္စည်းခိုးယူခြင်းကို ကာကွယ်ပေးပါသည်။
• စည်းမျဥ်းစည်းကမ်းလိုက်နာမှုကို သေချာစေခြင်း- ဒဏ်ကြေးများနှင့် ဥပဒေဆိုင်ရာအကျိုးဆက်များကို ရှောင်ရှားရန်အတွက် တင်းကျပ်သောဒေတာကာကွယ်ရေးစည်းမျဉ်းများကို လိုက်နာခြင်းသည် အလွန်အရေးကြီးပြီး ခိုင်မာသောထောက်ပံ့ရေးကွင်းဆက်လုံခြုံရေးသည် အရေးကြီးပါသည်။
• ဖောက်သည်ယုံကြည်မှုကို ထိန်းသိမ်းခြင်း- လုံခြုံရေးချိုးဖောက်မှုများသည် ဖောက်သည်များ၏ယုံကြည်မှုကို ယိုယွင်းစေသည်။ ထောက်ပံ့ရေးကွင်းဆက်လုံခြုံရေးကို ဦးစားပေးခြင်းသည် ဖောက်သည်များအား စိတ်ချစေပြီး အဖွဲ့အစည်းတစ်ခုအပေါ် သစ္စာစောင့်သိမှုနှင့် ယုံကြည်မှုကို မြှင့်တင်ပေးသည်။ commitဒေတာကာကွယ်မှုနှင့်ပတ်သက်။

ပိုမိုသိရှိလိုပါသလား။ ကျွန်ုပ်တို့၏ SafeDev Talk ကို ကြည့်ရှုပါ။ ဇာတ်လမ်းတွဲတွင် SSCS ဆိုက်ဘာလုံခြုံရေးကျွမ်းကျင်သူတွေရဲ့ အတွေးအမြင်တွေကို ဘယ်မှာရှာတွေ့နိုင်မလဲ။

တိုက်ခိုက်မှုများကို လျော့ပါးစေခြင်းနှင့်အတူ SSCS #

ထိရောက်သော SSCS ဗျူဟာများတွင် သေချာသောအန္တရာယ်အကဲဖြတ်ခြင်း၊ ခြိမ်းခြောက်မှုများအတွက် စဉ်ဆက်မပြတ်စောင့်ကြည့်ခြင်း၊ လုံခြုံရေးပရိုတိုကောများကို အလိုအလျောက်လုပ်ဆောင်ခြင်း၊ ပြင်ပရောင်းချသူများကို တင်းကျပ်စွာအကဲဖြတ်ခြင်း၊ လုံ့လဝီရိယရှိသော patch စီမံခန့်ခွဲမှုနှင့် ခိုင်မာသောဖြစ်ရပ်တုံ့ပြန်မှုမူဘောင်တစ်ခု ဖွံ့ဖြိုးတိုးတက်ခြင်းတို့ ပါဝင်သည်။

• ကုဒ်စကင်ဖတ်ခြင်းနှင့် ခွဲခြမ်းစိတ်ဖြာခြင်း: ဖွံ့ဖြိုးတိုးတက်မှုကာလအတွင်း source code တွင် အားနည်းချက်များနှင့် အန္တရာယ်ရှိသော code များ ရှိမရှိကို ပုံမှန်စစ်ဆေးခြင်း။
• Artifact Repository လုံခြုံရေး: ဝင်ရောက်ခွင့်ထိန်းချုပ်မှုများ၊ ကုဒ်ဝှက်ခြင်းနှင့် စဉ်ဆက်မပြတ်စောင့်ကြည့်ခြင်းတို့မှတစ်ဆင့် ဆော့ဖ်ဝဲလ်ပစ္စည်းများ၏ လုံခြုံသောသိုလှောင်မှုကို သေချာစေသည်။
• မှီခိုမှုစီမံခန့်ခွဲမှု- အားနည်းချက်များကို ရှာဖွေတွေ့ရှိပြီး လျော့ပါးစေရန်အတွက် ပြင်ပအဖွဲ့အစည်းများ၏ မှီခိုမှုများကို စောင့်ကြည့်ခြင်း။
• ကုဒ်လက်မှတ်ထိုးခြင်း- စစ်မှန်မှုနှင့် သမာဓိရှိမှု အတည်ပြုချက်အတွက် ဒစ်ဂျစ်တယ်နည်းပညာဖြင့် လက်မှတ်ရေးထိုးသည့် ကုဒ်။
• ကွန်တိန်နာလုံခြုံရေး: အားနည်းချက်များ ရှိမရှိ containerized application များကို scan ဖတ်ခြင်းနှင့် access control များကို ပြဋ္ဌာန်းခြင်း။
• လုံခြုံသော ဆော့ဖ်ဝဲ ဖွံ့ဖြိုးတိုးတက်ရေး လုပ်ငန်းစဉ်များ: ဖွံ့ဖြိုးတိုးတက်ရေးအဖွဲ့များအတွက် လုံခြုံရေးဆိုင်ရာ ကုဒ်ရေးသားခြင်းလုပ်ငန်းစဉ်များကို အကောင်အထည်ဖော်ခြင်းနှင့် လုံခြုံရေးသင်တန်းများ ပို့ချခြင်း။

စာရင်းအပြည့်အစုံကို ကြည့်လိုက်ပါဦး software supply chain security tools တွေ အဲဒါက အသုံးဝင်လာနိုင်ပါတယ်။

မကြာခဏမေးလေ့ရှိသောမေးခွန်းများ- ရှင်းလင်းစွာဖော်ပြခြင်း SSCS နည်းပညာကို ကျွမ်းကျင်စွာ တတ်ကျွမ်းသူများအတွက် #

ကောက်ချက် #

ဘာလဲဆိုတဲ့ ကျွန်ုပ်တို့ရဲ့ ဝေါဟာရစာရင်းကို အဆုံးသတ်ဖို့ Software Supply Chain Security - SSCS ဒစ်ဂျစ်တယ်ကမ္ဘာတွင် အဆက်မပြတ်တိုးပွားလာနေသော ဆိုက်ဘာခြိမ်းခြောက်မှုများကို ကာကွယ်ရန် အရေးကြီးသော ခံတပ်တစ်ခုဖြစ်သည်။ ၎င်းသည် ဆော့ဖ်ဝဲလ်ဖွံ့ဖြိုးတိုးတက်မှု၏ မရေမရာမှုများကို ရုန်းကန်နေရသော စီးပွားရေးနှင့် အဖွဲ့အစည်းလုပ်ငန်းဆောင်တာများတွင် မရှိမဖြစ်လိုအပ်သော အလေ့အကျင့်စည်းမျဉ်းများကို ပြုစုပျိုးထောင်ပေးခဲ့ပြီး ဆော့ဖ်ဝဲလ်ထောက်ပံ့ရေးကွင်းဆက်၏ အလွှာတိုင်းကို ပြတ်ပြတ်သားသားကာကွယ်ပေးခဲ့သည်။ Software Supply Chain Securityဒစ်ဂျစ်တယ်စိန်ခေါ်မှု၊ အန္တရာယ်နှင့် မရေမရာသောခေတ်၏နောက်ခံတွင်၊ ဆော့ဖ်ဝဲ၏ ခံနိုင်ရည်နှင့် ယုံကြည်စိတ်ချရမှုကို ထိန်းသိမ်းရန် သတိရှိသောကင်းစောင့်တစ်ဦး၏တာဝန်ကို ထမ်းဆောင်ပြီး ကျွန်ုပ်တို့၏ အလွန်ချိတ်ဆက်ထားသောကမ္ဘာတွင် အဓိကကျောက်တိုင်ကဲ့သို့ လုပ်ဆောင်ပါသည်။ သင့်ကိုယ်သင် ကာကွယ်လိုပါသလား။ SSCS? Xygeni ရဲ့ Tool ကို အခုပဲ အခမဲ့ စမ်းသုံးကြည့်လိုက်ပါ။