खुला स्रोत मालवेयर: तपाईंले जान्नुपर्ने सबै कुरा

१. खुला स्रोत मालवेयरको परिचय

ओपन सोर्स मालवेयर भनेको के हो?

खुला स्रोत मालवेयर यो खुला स्रोत सफ्टवेयर (OSS) प्याकेजहरू भित्र लुकेको दुर्भावनापूर्ण कोड हो, जुन तपाईंको अनुप्रयोगहरू र पूर्वाधारमा घुसपैठ गर्न डिजाइन गरिएको हो। यो छिटो फैलिन्छ किनभने OSS समुदाय-संचालित सहकार्य र विश्वासमा निर्भर गर्दछ। त्यही विश्वासको दुरुपयोग हुन सक्छ - विशेष गरी जब सुरक्षा नियन्त्रणहरू कमजोर हुन्छन्। त्यसैले खुला स्रोत मालवेयर सुरक्षा अब वैकल्पिक छैन - यो आवश्यक छ। एक भरपर्दो खुला स्रोत मालवेयर स्क्यानर लुकेका खतराहरू चाँडै पत्ता लगाउन मद्दत गर्दछ, तपाईंको राख्दै CI/CD pipelines, IaC टेम्प्लेटहरू, र उत्पादन प्रणालीहरू सुरक्षित।

हालैका तथ्याङ्कहरूले यसलाई समर्थन गर्दछ। २०२४ मा, सोनाटाइपका अनुसन्धानकर्ताहरूले पत्ता लगाए कि ७७८,००० दुर्भावनापूर्ण OSS प्याकेजहरू, अघिल्लो वर्षको तुलनामा १५६% ले ठूलो वृद्धि। यसैबीच, द "स्टारगेजर गोब्लिन" अभियानले मालवेयरलाई वैध खुला स्रोत परियोजनाहरू जस्तो देखाउन हजारौं नक्कली GitHub खाताहरू प्रयोग गर्‍यो। र सबैभन्दा डरलाग्दो अवस्थामा, XZ Utils ब्याकडोर आक्रमणकारीहरूलाई टाढाको पहुँच प्रदान गर्न लोकप्रिय लिनक्स उपकरणहरूलाई पनि कसरी हतियार बनाउन सकिन्छ भनेर देखाइएको छ।

आपूर्ति शृङ्खला जोखिमभन्दा बाहिर, आक्रमणकारीहरूले अब निर्माणलाई लक्षित गर्छन् pipelines र पूर्वाधार कन्फिगरेसनहरू। तिनीहरूले दुर्भावनापूर्ण आदेशहरू इम्बेड गर्छन् CI/CD र IaC, तपाईंले तैनाथ गर्ने बित्तिकै तपाईंको प्रणालीहरू अपहरण गर्न पर्खिरहेका छन्।

त्यसैले आधुनिक एपसेक टोलीहरूले बायाँतिर सर्नु पर्छ, खतरा पत्ता लगाउने कार्यलाई स्वचालित बनाउनु पर्छ, र सबै कुरा निरन्तर निगरानी गर्नुपर्छ। अगाडि रहनको लागि एक मात्र तरिका भनेको तपाईंको सम्पूर्ण खुला स्रोत इकोसिस्टमलाई समेट्ने पूर्ण-स्पेक्ट्रम सुरक्षा हो।

समस्याको बारेमा हाम्रो विस्तृत ब्लग पोस्टमा थप पढ्नुहोस् खुला स्रोत दुर्भावनापूर्ण प्याकेजहरू.

OSS र खुला स्रोत मालवेयर सुरक्षाको महत्त्व र वृद्धि

खुला स्रोत सफ्टवेयर वास्तवमै आधुनिक सफ्टवेयर विकासको आधारशिला बनेको छ, जसले हरेक कल्पना गर्न सकिने उद्योगमा प्रविधिको डिजाइन र क्षेत्रहरू परिवर्तन गरेको छ। फलस्वरूप, यो घातीय वृद्धि र अपनाउनेले स्वाभाविक रूपमा नयाँ उत्पन्न हुने खतराहरू विरुद्ध ठोस सुरक्षा उपायहरूको लागि ठाउँ सिर्जना गर्दछ। त्यस उद्देश्यका लागि, यसको महत्त्व र विकासका केही प्रमुख पक्षहरूलाई विचार गरौं:

बढेको ग्रहण:

• गत वर्ष तीन चौथाईभन्दा बढी संस्थाहरूले खुला स्रोत सफ्टवेयरको प्रयोग बढाएका छन्।
• DevOps टुलिङ, डाटा टेक्नोलोजी र AI/ML टुलिङको लोकप्रियता बढेको छ यो वृद्धिमा योगदान पुर्‍यायो.

विविध प्रविधिहरू:

• OSS अपनाउने कार्य अब प्रोग्रामिङ भाषाहरू वा लिनक्स अपरेटिङ सिस्टमहरू जस्ता विशिष्ट प्रविधिहरूमा केन्द्रित छैन।
• संस्थाहरूले अब खुला स्रोत डाटाबेस, डेटा प्रविधि, अपरेटिङ सिस्टम, Git भण्डार, AI/ML फ्रेमवर्क, र प्रयोग गरिरहेका छन्। CI/CD उपकरण।

सीपको माग:

• खुला स्रोत सीपहरूको माग उच्च छ।
• OSS को व्यापक प्रयोगको लागि प्रतिभाको अभाव बाधा बनेको छ।

चुनौतीहरू:

• OSS वृद्धि सकारात्मक भए पनि चुनौतीहरू भने कायमै छन्।
• समस्याहरूमा कन्फिगरेसन, स्थापना, अन्तरसञ्चालनशीलता, र अद्यावधिकहरू समावेश छन्।
• संस्थाहरूले पनि सीमितताहरूको सामना गर्छन् परीक्षण, एकीकरण, र समर्थनको लागि आन्तरिक सीपहरूमा.

२. साइबर अपराधीहरूलाई खुला स्रोत मालवेयरको अपील

ओपन सोर्स सफ्टवेयर (OSS) दुईधारे तरवार हो। यसले नवीनता र सहकार्यलाई अगाडि बढाउँछ, तर यसको खुला प्रकृतिले साइबर अपराधीहरूलाई पनि आकर्षित गर्छ (ओपन सोर्स मालवेयर स्क्यानर लागू गर्ने प्रयास गर्नुहोस्)। OSS उनीहरूलाई किन विशेष रूपमा आकर्षक लाग्छ भन्ने कुरा यहाँ छ:

पहुँच र वितरणको सहजता

• पहुँचयोग्यता खुला गर्नुहोस्: OSS को स्रोत कोड सार्वजनिक रूपमा उपलब्ध छ, जसले साइबर अपराधीहरूलाई दुर्भावनापूर्ण गतिविधिहरूको लागि निरीक्षण गर्न, परिमार्जन गर्न र पुन: प्रयोग गर्न सजिलो बनाउँछ। विशेष गरी, यसले उनीहरूलाई धेरै झन्झट बिना सामान्य रूपमा प्रयोग हुने परियोजनाहरूमा मालवेयर थप्ने अवसर प्रदान गरेको छ।
• विस्तृत वितरण: यसबाहेक, एक पटक OSS परियोजनामा ​​इन्जेक्ट गरिसकेपछि, npm, PyPI, र Maven Central जस्ता प्याकेज रिपोजिटरीहरूको लोकप्रियताको माध्यमबाट मालिसियस कोडले धेरै छोटो समयमा धेरै व्यापक वितरण पाउन सक्छ।  फलस्वरूप, यो व्यापक वितरणले मालवेयरको सम्भावित प्रभावलाई बढाउँछ।

ट्रस्टको दोहन

• विश्वासमा आधारित पारिस्थितिक प्रणाली: OSS इकोसिस्टम उच्च स्तरको विश्वासमा सञ्चालन हुन्छ। योगदानकर्ता र मर्मतकर्ताहरू प्रायः सहकार्यमा काम गर्छन्, स्वामित्व सफ्टवेयरको तुलनामा कम कडा सुरक्षा जाँचहरू सहित। Cybercriminals मालवेयर इन्जेक्ट गर्न मालिसियस कोड योगदान गरेर वा मर्मतकर्ताहरूको खाताहरूमा सम्झौता गरेर यो विश्वासको शोषण गर्नुहोस्।. 
• आपूर्ति श्रृंखला आक्रमणहरू: यस सन्दर्भमा, डाउनस्ट्रीम अनुप्रयोगहरू र सेवाहरूको ठूलो भाग हुनेछ यसैले आपूर्ति शृङ्खला विरुद्धको आक्रमणबाट प्रभावित हुन, जुन सबै त्यो OSS घटकमा निर्भर छन्। उदाहरणका लागि, घटना-स्ट्रिम घटनाले यो प्रविधिलाई प्रसिद्ध रूपमा प्रयोग गर्‍यो, जहाँ एक लोकप्रिय npm प्याकेज क्रिप्टोकरेन्सी चोरीको लागि सम्झौता गरिएको थियो।

कम प्रवेश बाधाहरू

• न्यूनतम प्रमाणीकरण: यसबाहेक, धेरै कम प्याकेज भण्डारहरूले आफ्ना योगदानकर्ताहरूलाई प्रमाणित गर्छन्। फलस्वरूप, धम्की दिने व्यक्तिले सजिलैसँग दुर्भावनापूर्ण प्याकेजहरू अपलोड गर्छन्, किनकि प्रवेशको लागि अवरोध कम छ, व्यापक आक्रमणहरू गर्न डिस्पोजेबल इमेल र अन्य नक्कली प्रमाणपत्रहरू प्रयोग गर्दै।
• स्वचालन उपकरण:  त्यसैगरी, साइबर अपराधीहरूले ठूलो संख्यामा दुर्भावनापूर्ण प्याकेजहरू बनाउन र वितरण गर्न स्वचालित उपकरणहरू प्रयोग गर्छन्, जसले आक्रमण कार्यान्वयन गर्न आवश्यक पर्ने प्रयासलाई अझ कम गर्छ। फलस्वरूप,, तिनीहरूले पत्ता लाग्नबाट बच्न धेरै मालवेयर भिन्नताहरू सिर्जना गर्न सक्छन्।

उच्च प्रभाव क्षमता

• व्यापक उपयोग: यसलाई ध्यानमा राख्दै, धेरै OSS परियोजनाहरूले ठूलो संख्यामा महत्वपूर्ण अनुप्रयोगहरू र सेवाहरूको आधार घटकको रूपमा काम गर्छन्। त्यसकारण, यस्तो व्यापक रूपमा अपनाइएको OSS मा सम्झौताले लहर वा क्यास्केडिङ प्रभाव निम्त्याउन सक्छ, जसले विश्वभरका धेरै संस्थाहरू र प्रयोगकर्ताहरूलाई असर गर्छ।
• ढिलाइ भएको पत्ता लगाउने: यसको अतिरिक्त, OSS भित्रको दुर्भावनापूर्ण कोड धेरै लामो समयसम्म पत्ता नलाग्न सक्छ, खास गरी यदि यो अस्पष्ट छ वा विशेष परिस्थितिहरूमा सक्रिय छ भने। फलस्वरूप, यो ढिलाइले आक्रमणकारीहरूलाई पत्ता लगाउने र प्याच गर्ने अघि कमजोरीहरूको शोषण गर्न समय दिन्छ।

३. खुला स्रोत मालवेयरका सामान्य प्रकारहरू

खुला स्रोत मालवेयरले विभिन्न रूप लिन सक्छ, प्रत्येकको अद्वितीय विशेषताहरू र प्रभावहरू छन्। तपाईंले देखिरहनुभएको छ, खुला स्रोत मालवेयर सुरक्षा अनिवार्य छ। यहाँ तपाईंसँग सबैभन्दा सामान्य प्रकारहरूको सिंहावलोकन छ: