د تمديد؛ DR
شای-هلود ۳.۰ د شای-هلود npm مالویر وروستۍ تکامل دی، چې د ځان تکثیر کوونکي اکمالاتي زنځیر چینجي د npm پیکجونو څخه ناوړه ګټه اخیستنه ترڅو اسناد غلا کړي، په اتوماتيک ډول خپریږي، او جوړجاړی وکړي CI/CD چاپیریالونه. د پخوانیو څپو برعکس، شای-هولود ۳.۰ خپل د تکثیر منطق اصلاح کوي، مشهور فرنټ اینډ کتابتونونه په نښه کوي، او د ساتونکي ټوکن ناوړه ګټه اخیستنې له لارې انتان ګړندی کوي.
په پایله کې، دا شای حلود مالویر یو ځل بیا ثابتوي چې د عصري npm اکمالاتي زنځیر بریدونه نور په صفر ورځو تکیه نه کوي، بلکې په اتوماتیک کولو، د باور ناوړه ګټه اخیستنې، او پراختیا کونکي کاري فلو باندې تکیه کوي.
شای حلود ۳.۰ څه شی دی؟
شای-هلود ۳.۰ د شای-هلود npm مالویر کمپاین دریم تایید شوی څپه ده، د اصلي شای-هلود ورم او په لویه کچه شای-هلود ۲.۰ خپریدو وروسته.
په هرصورت، دا نسخه په بنسټیز ډول نوې ګټه نه معرفي کوي. پرځای یې، دا موثریت، پټول، او هدف ګرځول ښه کوي. په بل عبارت، شای-هولود 3.0 د اکمالاتي زنځیر برید ماډل غوره کوي د دې پرځای چې بیا یې رامینځته کړي.
تر ټولو مهمه دا چې، مالویر د یوې چینجي په توګه کار کوي، نه د یو ځلي ناوړه کڅوړې په توګه.
ولې شای-هولود ۳.۰ د npm امنیت لپاره مهم دی؟
په لومړي نظر کې، شای-هولود ۳.۰ ممکن د "یوازې د یو بل ناوړه npm پیکج" په څیر ښکاري. په هرصورت، دا انګیرنه په سمه توګه د دې کمپاین د بریالیتوب لامل کیږي.
ځکه چې د npm ایکوسیستمونه په پراخه کچه تکیه کوي:
- ضمني باور
- اتومات نصبونه
- د ساتونکي اعتبارونه
- CI/CD pipelines
یو واحد جوړجاړی شوی ټوکن کولی شي په چټکۍ سره د بشپړ npm اکمالاتي سلسلې مالویر خپریدو ته وده ورکړي.
په پایله کې، شای حلد مالویر ګټې اخیستنې ته اړتیا نلري. دا عادي کاري جریان وسله ګرځوي.
د شای-هولود ۳.۰ برید ویکتور: د npm مالویر څنګه خپریږي
د مالېشیس npm پیکج له لارې لومړنی انتان
د شای حلود npm مالویر د ټروجن شوي کڅوړو له لارې ایکوسیستم ته ننوځي چې د قانوني یا جوړجاړي شوي ساتونکي حسابونو لاندې خپاره شوي.
په شای-هولود ۳.۰ څپې کې، څېړونکو د مشهورو انحصارونو له لارې انتان مشاهده کړ، په شمول د فرنټ اینډ پر بنسټ پیکجونه لکه:
ځکه چې دا کڅوړې د انحصار ګرافونو کې لوړې دي، یو واحد نصب فین په چټکۍ سره په ټولو پروژو کې خپریږي.
د اعتبار وړ حاصلات او د چینجي تکثیر
یوځل چې نصب شي، شای-هولود ۳.۰ د ژوند دورې ناوړه سکریپټونه اجرا کوي install or postinstall.
پدې مرحله کې، مالویر:
- محلي فایلونه او د چاپیریال متغیرات سکین کوي
- د npm ټوکنونه او GitHub اسناد استخراجوي
- د لاسرسي وړ زیرمې او کڅوړې پیژني
له همدې امله، انتان سمدلاسه له سیمه ییز جوړجاړی ته د ایکوسیستم په کچه تکثیر.
د ساتونکي پورټ فولیو په اوږدو کې اتوماتیک بیا خپرول
د اسنادو راټولولو وروسته، شای حلود npm مالویر په پروګراماتي ډول ټول هغه کڅوړې شمېري چې د جوړجاړي شوي ساتونکي ملکیت لري.
بیا، دا:
- په نویو نسخو کې ناوړه کوډ داخلوي
- دا نسخې په اتوماتيک ډول بیا خپروي
- هر قرباني د ویش په یوه نوي نقطه بدلوي
په پایله کښې، یو غلا شوی ټوکن کولی شي په ساعتونو کې لسګونه یا سلګونه npm کڅوړې اخته کړي.
شای-هلود ۳.۰ د پخوانیو څپو په مقابل کې
په شای حلود ۳.۰ کې څه بدلون راغلی؟
که څه هم اصلي میکانیزمونه لا هم پیژندل شوي دي، شای حلود ۳.۰ څو مهم اصلاحات معرفي کوي.
تر ټولو د پام وړ:
- د چټک تکثیر منطق
- د بار وړلو پاک جوړښت
- د قانوني پیکج تازه معلوماتو سره غوره ترکیب
- د شای-هولود په پرتله کم شور 2.0
په پایله کې، یوازې د شهرت یا CVE پر بنسټ کشف کول بې اغیزې کیږي.
| اړخ | شای حلود ۳.۰ | شای حلود ۳.۰ |
|---|---|---|
| د انتان لومړنی ویکتور | ناوړه npm کڅوړې د مخکې نصب شوي ژوند دورې سکریپټونو سره | ناوړه npm کڅوړې چې د باور وړ لوړ لید کتابتونونو او تازه کولو لارو څخه ناوړه ګټه پورته کوي |
| لومړنی هدف | د npm ایکوسیستم او CI/CD pipelines | د npm ایکوسیستم چې تمرکز یې په پراختیا کونکو ماشینونو او ښکته مصرف کونکو باندې دی |
| د تکثیر میکانیزم | د اسنادو غلا او ورپسې د پیکجونو اتوماتیک بیا خپرول | د اعتبار بیا کارول او د انحصار باور ناوړه ګټه اخیستنه ترڅو لاسرسی ګړندی شي |
| د چلولو وخت ناوړه ګټه اخیستنه | د بن چلولو وخت په الوتنه کې نصب کول | د موجوده Node.js رن ټایم او باوري اجرایوي لارو بیا کارول |
| CI/CD abuse | پټ GitHub Actions کاري جریان او پخپله کوربه شوي منډې وهونکي | کم شوی CI/CD شور، د پټ پیکج په کچه اجرا کولو باندې ډیر ټینګار |
| د بار چلند | لوی پټ جاواسکریپټ پیلوډونه او د چاپیریال سکین کول | کوچني، ډیر هدفمند تادیه شوي بارونه چې په دوام او خپریدو تمرکز کوي |
| د اعتبار نښه کول | د ګیټ هب ټوکنونه، د npm ټوکنونه، د کلاوډ اسناد، د CI رازونه | ورته اعتباري اهداف، د ګړندي بیا کارولو او لږ لیدل کیدونکي اخراج سره |
| عملیاتي شور | ډېر شور: د ډله ییزو ریپو جوړول، د کاري فلو انجیکشن، په ډله ییز ډول اپلوډونه | ټیټ شور: لږ لیدل شوي اثار، د لاسي بیاکتنې له لارې پیژندل ګران دي |
| د اغیزې رادیو | لوی خو د پیمانې او هنري اثارو له امله د کشف وړ | احتمالاً د غلا او باوري پیکجونو د ناوړه ګټې اخیستنې له امله لوی دی |
| دفاعي ننګونه | بندول CI/CD ناوړه ګټه اخیستنه او د اسنادو افشا کول | د مشروع کڅوړو دننه د ناوړه چلند کشف کول |
ولې دا لا هم ورته چینجي ده
سره له دې بدلونونو، شای-هولود ۳.۰ لا هم د npm رسولو زنځیر ورم ورته ټولګی دی.
دا تکیه کوي:
- د اسنادو بیا کارول
- اتوماتیک بیا خپرول
- د انحصار باور
- CI/CD اعدام
له همدې امله، هر هغه چاپیریال چې د چلند کنټرول پرته د npm کڅوړې نصبوي ښکاره پاتې کیږي.
د جوړجاړي شاخصونه
د شیعه حلود مالویر په اړه د پلټنې امنیتي ټیمونه باید لاندې نښې وګوري:
- د پیکج غیر متوقع نسخه خنډونه
- د ژوند دورې سکرېپټونه پرته له توجیه اضافه شوي
- پټ جاوا سکرېپټ بلاکونه
- د نصبولو پرمهال د شبکې څخه بهر ته د وتلو غوښتنې
- npm یا GitHub د نصبولو په وخت کې د لاسرسي وړ ټوکنونه
- CI/CD د انحصار تازه معلوماتو وروسته دندې په ناڅاپي ډول چلند کوي
په مهمه توګه، د دې هیڅ یو د شتون لپاره CVE ته اړتیا نلري.
ولې د npm دودیز امنیتي وسایل د شای-هولود 3.0 څخه محروم دي؟
د CVE پر بنسټ کشف ناکامیږي
ځکه چې شای-هولود ۳.۰ د قانوني کاري جریان څخه ناوړه ګټه پورته کوي، هغه سکینرونه چې یوازې په پیژندل شویو زیان منونکو تمرکز کوي هیڅ غلط نه ګوري.
شته:
- هیڅ زیان منونکی فعالیت نشته
- هیڅ ناخوندي API نشته
- د حافظې فساد نشته
پرځای یې، په نورمال جاواسکریپټ کې ناوړه اراده ځای پرځای شوې ده.
SBOM لیدلوری کافي نه دی
په همدې ډول، SBOMs درته ویلی شم څه ته تکیه کوې، خو نه د نصبولو په وخت کې څه کوي.
په پایله کې، د تطبیق پرته لیدلوری د اکمالاتي زنځیر د چینجي مخه نه نیسي.
څنګه ژیګیني د شای-هولود 3.0 npm د اکمالاتي زنځیر بریدونو مخه نیسي
دا هغه ځای دی چې د زیګیني معمارۍ اهمیت لري.
د مالویر لومړنی خبرداری (MEW): د خپرولو په وخت کې د npm مالویر بند کړئ
د زیګیني د مالویر دمخه خبرداری (MEW) په دوامداره توګه په ریښتیني وخت کې نوي خپاره شوي npm کڅوړې سکین کوي.
MEW کشف کوي:
- پټ شوي پېلوډونه
- د ژوند دورې شکمن سکرېپټونه
- د اعتباري حاصلاتو چلند
- غیر معمولي فایل سیسټم لیکنې
- ناڅاپي شبکې فعالیت
تر ټولو مهمه دا چې، MEW کولی شي په اتوماتيک ډول جوړونه بند کړي، د shai-hulud npm مالویر د ننوتلو مخه نیسي. CI/CD.
Guardrails: د خوندي انحصار چلند پلي کول
ژیګیني Guardrails دننه سختې پالیسۍ پلي کړئ pipelines.
دوی:
- ناوړه یا شکمن npm کڅوړې بندې کړئ
- د پټو نصب سکرپټونو د اجرا کولو مخه ونیسئ
- د جوړیدو پرمهال د رن ټایم ډاونلوډونه ودروئ
- د لاک فایل بشپړتیا پلي کړئ
د پایلې په توګه، pipeline د چینجي له اعدام څخه مخکې ودریږي.
CI/CD امنیت: ساتنه Pipelineد ناوړه ګټه اخیستنې څخه
ځکه چې شای-هولود ۳.۰ ډیری وختونه په CI/CD، د زیګیني مانیټرونه pipelineد دې لپاره:
- د کار په جریان کې غیر مجاز بدلونونه
- د غیر معمولي اجرا نمونې
- د اجازې ناوړه ګټه اخیستنه
- د انحصار له امله رامینځته شوی کاري فلو انجیکشن
که چیرې خطرناک چلند څرګند شي، ژیګیني بلاک کوي pipeline سمدلاسه، د اړخ حرکت قطع کول.
د رازونو ساتنه: د چاودنې وړانګې کم کړئ
څرنګه چې شای حلد مالویر په شدت سره اسناد غلا کوي، ژیګیني هم په رازونو تمرکز کوي.
ژیګیني:
- په ټوله کې افشا شوي رازونه کشفوي SDLC
- د لوړ خطر اسناد په اتوماتيک ډول بدلوي
- د خوندي نښه کولو طریقې پلي کوي
له همدې امله، حتی که مالویر چلیږي، غلا شوي رازونه په چټکۍ سره ارزښت له لاسه ورکوي.
ولې شای-هلود ۳.۰ د اوږدې مودې رجحان تاییدوي
په پای کې، شای-حلود ۳.۰ یو پراخ حقیقت تاییدوي.
د عصري npm اکمالاتي زنځیر بریدونه:
- په اتوماتيک ډول خپریږي
- د انسان بیاکتنې په پرتله ګړندی حرکت وکړئ
- له باور څخه ګټه پورته کړئ، نه له زیان منونکو څخه
- هدف pipelines، نه یوازې کوډ
په پایله کې، د شای حلود npm مالویر په وړاندې دفاع د چلند کشف او پلي کولو ته اړتیا لري، نه یوازې سکین کول.
وروستۍ یادونې: ولې شای-هلود ۳.۰ لاهم مهم دی
که څه هم شای-هولود ۳.۰ یو نوی او ځلیدونکی کارنامو نه معرفي کوي، دا د یو بالغ، تکرار وړ، او د اندازې وړ برید ماډل استازیتوب کوي.
په بل عبارت، دا به وروستۍ څپه نه وي.
هغه ټیمونه چې په غبرګوني امنیت تکیه کوي به د انتاناتو تعقیب ته دوام ورکړي. هغه ټیمونه چې ناوړه چلند ژر بندوي به په بشپړ ډول د چینجي مخه ونیسي.
دا توپیر دی.
