ਆਧੁਨਿਕ ਐਪਸੈਕ ਹੁਣ ਮੈਨੂਅਲ ਵਰਕਫਲੋ 'ਤੇ ਭਰੋਸਾ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਕਮਜ਼ੋਰੀ ਪ੍ਰਬੰਧਨ ਆਟੋਮੇਸ਼ਨ ਹੁਣ ਇੱਕ ਲੋੜ ਹੈ, ਇੱਕ ਵਿਕਲਪ ਨਹੀਂ। ਸਾਨੂੰ ਹਾਲ ਹੀ ਵਿੱਚ ਸ਼ਾਮਲ ਹੋਣ ਦਾ ਮੌਕਾ ਮਿਲਿਆ ਵਿਹਾਰਕ DevSecOps ਪੋਡਕਾਸਟ, ਜਿੱਥੇ ਸਾਡਾ ਸੀ.ਟੀ.ਓ. ਲੁਈਸ ਰੋਡਰਿਗਜ਼ ਸੈਸ਼ਨ ਵਿੱਚ ਸਾਂਝੇ ਵਿਚਾਰ "ਸਭ ਤੋਂ ਕਮਜ਼ੋਰ ਲਿੰਕਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨਾ: ਸਪਲਾਈ ਚੇਨ ਹਮਲਿਆਂ ਨੂੰ ਵਧਣ ਤੋਂ ਪਹਿਲਾਂ ਰੋਕਣਾ।" ਇਸ ਭਾਸ਼ਣ ਵਿੱਚ, ਲੁਈਸ ਨੇ ਦੱਸਿਆ ਕਿ ਕਿਵੇਂ DevSecOps ਟੀਮਾਂ ਅੱਜ ਦੇ ਸਭ ਤੋਂ ਵੱਡੇ ਖਤਰਿਆਂ ਤੋਂ ਅੱਗੇ ਰਹਿ ਸਕਦੀਆਂ ਹਨ। ਸਭ ਤੋਂ ਵੱਧ, ਉਸਨੇ ਦਿਖਾਇਆ ਕਿ ਸਫਲਤਾ ਆਟੋਮੇਸ਼ਨ ਨੂੰ ਜੋਖਮ-ਅਧਾਰਤ ਤਰਜੀਹੀਕਰਨ ਅਤੇ ਇਸਦੇ ਵਿਰੁੱਧ ਮਜ਼ਬੂਤ ਬਚਾਅ ਪੱਖ ਬਣਾਉਣਾ ਖਤਰਨਾਕ npm ਪੈਕੇਜ.
ਪਾਠ 1: ਜੋਖਮ-ਅਧਾਰਤ ਤਰਜੀਹ ਦੇ ਨਾਲ ਸ਼ੋਰ ਨੂੰ ਘਟਾਓ
ਪਹਿਲਾਂ, ਲੂਈਸ ਨੇ ਸਮਝਾਇਆ ਕਿ ਸਭ ਤੋਂ ਔਖਾ ਹਿੱਸਾ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਲੱਭਣਾ ਨਹੀਂ ਹੈ, ਇਹ ਪਤਾ ਲਗਾਉਣਾ ਹੈ ਕਿ ਕਿਹੜੀਆਂ ਅਸਲ ਵਿੱਚ ਮਾਇਨੇ ਰੱਖਦੀਆਂ ਹਨ। ਰਵਾਇਤੀ ਔਜ਼ਾਰ ਬੇਅੰਤ ਚੇਤਾਵਨੀਆਂ ਦਿੰਦੇ ਹਨ, ਅਤੇ ਬਹੁਤ ਸਾਰੇ ਝੂਠੇ ਸਕਾਰਾਤਮਕ ਸਾਬਤ ਹੁੰਦੇ ਹਨ। ਨਤੀਜੇ ਵਜੋਂ, ਇੰਜੀਨੀਅਰ ਉਨ੍ਹਾਂ ਸਮੱਸਿਆਵਾਂ ਦਾ ਪਿੱਛਾ ਕਰਨ ਵਿੱਚ ਸਮਾਂ ਬਰਬਾਦ ਕਰਦੇ ਹਨ ਜੋ ਅਸਲ ਖ਼ਤਰਾ ਨਹੀਂ ਬਣਾਉਂਦੀਆਂ।
ਜੋਖਮ-ਅਧਾਰਿਤ ਤਰਜੀਹ ਇਸਦਾ ਹੱਲ ਕੱਢਦਾ ਹੈ। ਇਹ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਮੁੱਦਿਆਂ ਨੂੰ ਉਜਾਗਰ ਕਰਨ ਲਈ ਸ਼ੋਸ਼ਣਯੋਗਤਾ, ਐਕਸਪੋਜ਼ਰ ਅਤੇ ਵਪਾਰਕ ਪ੍ਰਭਾਵ ਨੂੰ ਦੇਖਦਾ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, Xygeni's Application Security Posture Management ਅਲਰਟਾਂ ਨੂੰ 90% ਤੱਕ ਘਟਾਉਂਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਸੁਰੱਖਿਆ ਕੰਮ ਵਧੇਰੇ ਸਪਸ਼ਟ ਹੁੰਦਾ ਹੈ ਅਤੇ ਧਿਆਨ ਭਟਕਾਉਣ ਵਾਲਾ ਬਹੁਤ ਘੱਟ ਹੁੰਦਾ ਹੈ।
ਕੁੰਜੀ ਲੈਣ ਵਿਧੀ: ਸੱਚਾਈ ਵਿੱਚ, ਆਟੋਮੇਸ਼ਨ ਜ਼ਿਆਦਾ ਸਕੈਨ ਕਰਨ ਬਾਰੇ ਨਹੀਂ ਹੈ, ਸਗੋਂ ਘੱਟ ਨਤੀਜੇ ਦਿਖਾਉਣ ਬਾਰੇ ਹੈ, ਸਿਰਫ਼ ਉਨ੍ਹਾਂ ਮੁੱਦਿਆਂ ਨੂੰ ਜੋ ਅਸਲ ਵਿੱਚ ਮਾਇਨੇ ਰੱਖਦੇ ਹਨ।
ਪਾਠ 2: ਖਤਰਨਾਕ npm ਪੈਕੇਜ ਪਹਿਲਾਂ ਹੀ ਤੁਹਾਡੇ ਵਿੱਚ ਹਨ Pipeline
ਦੂਜਾ, ਲੂਈਸ ਨੇ ਇੱਕ ਅਜਿਹੀ ਹਕੀਕਤ ਨੂੰ ਉਜਾਗਰ ਕੀਤਾ ਜਿਸਨੂੰ ਹੁਣ ਨਜ਼ਰਅੰਦਾਜ਼ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ: ਖਤਰਨਾਕ npm ਪੈਕੇਜ ਓਪਨ-ਸੋਰਸ ਈਕੋਸਿਸਟਮ ਨੂੰ ਭਰ ਰਹੇ ਹਨ। ਦਰਅਸਲ, 2024 ਵਿੱਚ ਪ੍ਰਕਾਸ਼ਿਤ ਹਰ ਦਸ ਨਵੇਂ npm ਜਾਂ PyPI ਪੈਕੇਜਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ ਮਾਲਵੇਅਰ ਸੀ। ਨਤੀਜੇ ਵਜੋਂ, ਸਪਲਾਈ ਚੇਨ ਹਮਲੇ ਜ਼ਿਆਦਾਤਰ ਟੀਮਾਂ ਪ੍ਰਤੀਕਿਰਿਆ ਕਰਨ ਨਾਲੋਂ ਤੇਜ਼ੀ ਨਾਲ ਫੈਲਦੇ ਹਨ।
ਦੇ ਮਾਮਲੇ ਨੂੰ ਹੀ ਲੈ ਲਓ ਸ਼ਾਈ-ਹੁਲੁਦ ਕੀੜਾ: ਇੱਕ ਖਤਰਨਾਕ ਪੈਕੇਜ ਨੇ ਘੰਟਿਆਂ ਵਿੱਚ ਸੈਂਕੜੇ ਪ੍ਰੋਜੈਕਟਾਂ ਨੂੰ ਸੰਕਰਮਿਤ ਕਰ ਦਿੱਤਾ। ਇਹ ਨਾ ਸਿਰਫ਼ ਬਹੁਤ ਜ਼ਿਆਦਾ ਵਿਘਨਕਾਰੀ ਸੀ, ਸਗੋਂ ਇਹ ਵੀ ਦਿਖਾਇਆ ਕਿ ਹਮਲਾਵਰ ਕਿਵੇਂ ਅਨਪਿੰਨ ਨਿਰਭਰਤਾਵਾਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦੇ ਹਨ ਅਤੇ CI/CD ਟਰੱਸਟ ਮਾਡਲ।
ਜ਼ਾਇਗੇਨੀ ਇਸ ਨੂੰ ਇਸ ਤਰ੍ਹਾਂ ਸੰਬੋਧਿਤ ਕਰਦਾ ਹੈ:
- ਖਤਰਨਾਕ ਪੈਕੇਜਾਂ ਨੂੰ ਫਲੈਗ ਕਰਨ ਲਈ ਰਜਿਸਟਰੀਆਂ ਦੀ ਨਿਰੰਤਰ ਨਿਗਰਾਨੀ।
- Guardrails ਜੋ ਕੁਆਰੰਟੀਨਡ ਨਿਰਭਰਤਾਵਾਂ ਦਾ ਪਤਾ ਲੱਗਣ 'ਤੇ ਬਿਲਡ ਨੂੰ ਰੋਕ ਦਿੰਦੇ ਹਨ।
- ਸ਼ੁਰੂਆਤੀ ਚੇਤਾਵਨੀ ਚੇਤਾਵਨੀਆਂ ਜੋ ਨਵੇਂ ਖ਼ਤਰੇ ਦਿਖਾਈ ਦੇਣ 'ਤੇ ਟੀਮਾਂ ਨੂੰ ਤੁਰੰਤ ਸੂਚਿਤ ਕਰਦੀਆਂ ਹਨ।
ਕੁੰਜੀ ਲੈਣ ਵਿਧੀ: ਇਹਨਾਂ ਬਿੰਦੂਆਂ ਨੂੰ ਦੇਖਦੇ ਹੋਏ, ਸਿਰਫ਼ ਰਵਾਇਤੀ 'ਤੇ ਨਿਰਭਰ ਕਰਦੇ ਹੋਏ SCA ਨਾਕਾਫ਼ੀ ਹੈ, ਆਟੋਮੇਸ਼ਨ ਨੂੰ ਅਸਲ ਸਮੇਂ ਵਿੱਚ ਮਾਲਵੇਅਰ ਨੂੰ ਬਲੌਕ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ।
ਪਾਠ 3: ਕਮਜ਼ੋਰੀ ਪ੍ਰਬੰਧਨ ਆਟੋਮੇਸ਼ਨ ਨਾਲ ਫੈਕਟਰੀ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰੋ
ਤੀਜਾ, ਲੂਈਸ ਨੇ ਸਾਨੂੰ ਯਾਦ ਦਿਵਾਇਆ ਕਿ ਹਮਲਾਵਰ ਹੁਣ ਸਿਰਫ਼ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਨਹੀਂ ਬਣਾਉਂਦੇ, ਉਹ ਹਮਲਾ ਕਰਦੇ ਹਨ pipeline ਆਪਣੇ ਆਪ ਨੂੰ. ਕਮਜ਼ੋਰ GitHub ਐਕਸ਼ਨ, ਅਨਪਿੰਨ ਵਰਕਫਲੋ, ਅਤੇ ਓਵਰ-ਪ੍ਰੀਵਿਲੇਜਡ ਟੋਕਨ ਆਸਾਨ ਐਂਟਰੀ ਪੁਆਇੰਟ ਹਨ। ਦੂਜੇ ਸ਼ਬਦਾਂ ਵਿੱਚ, CI/CD ਸਿਸਟਮ ਆਧੁਨਿਕ ਸਾਫਟਵੇਅਰ ਦੀ "ਫੈਕਟਰੀ" ਹੈ। ਜੇਕਰ ਫੈਕਟਰੀ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਡਾਊਨਸਟ੍ਰੀਮ ਵਿੱਚ ਹਰ ਕਲਾਤਮਕ ਚੀਜ਼ ਖਤਰੇ ਵਿੱਚ ਹੈ।
ਇਹ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਕਮਜ਼ੋਰੀ ਪ੍ਰਬੰਧਨ ਆਟੋਮੇਸ਼ਨ ਸੱਚਮੁੱਚ ਚਮਕਦਾ ਹੈ। ਉਦਾਹਰਣ ਵਜੋਂ, ਸਵੈਚਾਲਿਤ ਜਾਂਚਾਂ, ਦਸਤਖਤ ਕੀਤੇ ਕਲਾਕ੍ਰਿਤੀਆਂ, ਅਤੇ ਅਸੰਗਤਤਾ ਖੋਜ ਨੂੰ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਏਮਬੈਡ ਕਰਕੇ CI/CD, ਟੀਮਾਂ ਇਹ ਕਰ ਸਕਦੀਆਂ ਹਨ:
- ਅਸੁਰੱਖਿਅਤ ਵਰਕਫਲੋ ਨੂੰ ਚੱਲਣ ਤੋਂ ਰੋਕੋ।
- ਹਰੇਕ ਬਿਲਡ ਨੂੰ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਤਸਦੀਕਾਂ ਨਾਲ ਪ੍ਰਮਾਣਿਤ ਕਰੋ।
- ਅਸਧਾਰਨ ਕਾਰਵਾਈਆਂ, ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਵਿੱਚ ਵਾਧਾ, ਜਾਂ ਠੱਗ ਪਲੱਗਇਨਾਂ ਦਾ ਤੁਰੰਤ ਪਤਾ ਲਗਾਓ।
ਕੁੰਜੀ ਲੈਣ ਵਿਧੀ: ਸਿੱਟੇ ਵਜੋਂ, ਫੈਕਟਰੀ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ ਨਿਰੰਤਰ, ਸਵੈਚਾਲਿਤ ਲਾਗੂਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਸਿਰਫ਼ ਹੱਥੀਂ ਸਮੀਖਿਆਵਾਂ ਕਦੇ ਵੀ ਵੱਡੇ ਪੱਧਰ 'ਤੇ ਨਹੀਂ ਜਾਣਗੀਆਂ।
DevSecOps ਟੀਮਾਂ ਲਈ ਇਸਦਾ ਕੀ ਅਰਥ ਹੈ
ਕੁੱਲ ਮਿਲਾ ਕੇ, ਲੁਈਸ ਦੀ ਗੱਲਬਾਤ ਤੋਂ ਸਬਕ ਸਪੱਸ਼ਟ ਹੈ: ਆਧੁਨਿਕ ਐਪਸੇਕ ਨੂੰ ਕਮਜ਼ੋਰੀ ਪ੍ਰਬੰਧਨ ਆਟੋਮੇਸ਼ਨ, ਖਤਰਨਾਕ npm ਪੈਕੇਜ ਰੱਖਿਆ, ਅਤੇ ਜੋਖਮ-ਅਧਾਰਤ ਤਰਜੀਹ ਨੂੰ ਜੋੜਨਾ ਚਾਹੀਦਾ ਹੈ। ਨਹੀਂ ਤਾਂ, ਟੀਮਾਂ ਸ਼ੋਰ ਵਿੱਚ ਡੁੱਬਣ ਦਾ ਜੋਖਮ ਲੈਂਦੀਆਂ ਹਨ ਜਦੋਂ ਕਿ ਹਮਲਾਵਰ ਪਾੜੇ ਦਾ ਫਾਇਦਾ ਉਠਾਉਂਦੇ ਹਨ।
ਜ਼ਾਇਗੇਨੀ ਨਾਲ, ਸੰਗਠਨਾਂ ਨੂੰ ਲਾਭ ਹੁੰਦਾ ਹੈ:
- ਸਵੈਚਾਲਿਤ ਸੰਪਤੀ ਖੋਜ ਅਤੇ ਵਸਤੂ ਸੂਚੀ।
- ਲਈ ਗਤੀਸ਼ੀਲ ਫਨਲ ਜੋਖਮ-ਅਧਾਰਤ ਕਮਜ਼ੋਰੀ ਤਰਜੀਹ.
- ਰੀਅਲ-ਟਾਈਮ ਮਾਲਵੇਅਰ ਅਤੇ ਗੁਪਤ ਖੋਜ ਨੂੰ ਏਕੀਕ੍ਰਿਤ ਕੀਤਾ ਗਿਆ ਹੈ CI/CD.
ਇਸ ਲਈ, ਆਟੋਮੇਸ਼ਨ ਸਿਰਫ਼ ਕੁਸ਼ਲਤਾ ਬਾਰੇ ਨਹੀਂ ਹੈ; ਇਹ ਸਪਲਾਈ ਚੇਨ ਦੇ ਵਧਦੇ ਹਮਲਿਆਂ ਦੇ ਵਿਰੁੱਧ ਲਚਕੀਲਾ ਰਹਿਣ ਦਾ ਇੱਕੋ ਇੱਕ ਤਰੀਕਾ ਹੈ।
ਲੁਈਸ ਰੋਡਰਿਗਜ਼ ਨਾਲ ਪੂਰੀ ਗੱਲਬਾਤ ਦੇਖੋ
ਪੂਰਾ ਸੈਸ਼ਨ ਦੇਖੋ "ਸਭ ਤੋਂ ਕਮਜ਼ੋਰ ਲਿੰਕਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨਾ: ਸਪਲਾਈ ਚੇਨ ਹਮਲਿਆਂ ਨੂੰ ਵਧਣ ਤੋਂ ਪਹਿਲਾਂ ਰੋਕਣਾ" ਅਤੇ ਆਪਣੇ DevSecOps ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਪ੍ਰਬੰਧਨ ਨੂੰ ਸਵੈਚਾਲਿਤ ਕਰਨਾ ਸਿੱਖੋ pipeline.
ਕੀ ਤੁਸੀਂ ਇਹਨਾਂ ਸਬਕਾਂ ਨੂੰ ਅਮਲ ਵਿੱਚ ਲਿਆਉਣ ਲਈ ਤਿਆਰ ਹੋ?
ਕਮਜ਼ੋਰੀ ਪ੍ਰਬੰਧਨ ਨੂੰ ਸਵੈਚਾਲਿਤ ਕਰਨਾ ਅਤੇ ਖਤਰਨਾਕ npm ਪੈਕੇਜਾਂ ਤੋਂ ਬਚਾਅ ਕਰਨਾ ਸਿਰਫ਼ ਸਿਧਾਂਤ ਨਹੀਂ ਹੈ, ਇਹ ਅਜਿਹੀ ਚੀਜ਼ ਹੈ ਜੋ ਤੁਸੀਂ ਅੱਜ ਹੀ ਸ਼ੁਰੂ ਕਰ ਸਕਦੇ ਹੋ। Xygeni ਦੇ ਨਾਲ, ਤੁਹਾਨੂੰ ਜੋਖਮ-ਅਧਾਰਤ ਤਰਜੀਹ, ਅਸਲ-ਸਮੇਂ ਦੇ ਮਾਲਵੇਅਰ ਖੋਜ, ਅਤੇ CI/CD guardrails ਤੁਹਾਡੀ ਟੀਮ ਦੇ ਨਾਲ ਉਹ ਪੈਮਾਨਾ।
ਆਪਣੀ ਮੁਫਤ ਅਜ਼ਮਾਇਸ਼ ਸ਼ੁਰੂ ਕਰੋ ਅਤੇ ਦੇਖੋ ਕਿ ਕਮਜ਼ੋਰੀ ਪ੍ਰਬੰਧਨ ਆਟੋਮੇਸ਼ਨ ਤੁਹਾਡੇ ਵਿੱਚ ਸਿੱਧੇ ਕਿਵੇਂ ਫਿੱਟ ਬੈਠਦਾ ਹੈ pipeline.
