ڪلائوڊ سيڪيورٽي ٽوٽڪا صرف تڏهن ڪارآمد هوندا آهن جڏهن اهي حملي آورن جي استحصال ڪندڙ حقيقي خالن کي حل ڪندا آهن: هڪ عوامي S3 بڪيٽ جنهن تي ڪنهن به ڌيان نه ڏنو، هڪ CI رنر وائلڊ ڪارڊ سان اوس اجازتون، بلڊ لاگ ۾ لڪيل راز، يا هڪ خراب انحصار جيڪو خاموشي سان انسٽال ڪيو ويو a دوران pipeline هلائيندا. گھڻا ڪلائوڊ سيڪيورٽي واقعا اڻڄاتل خطرن جي ڪري نه ٿيندا آهن. اهي ڄاتل سڃاتل ڪمزورين جي ڪري ٿيندا آهن جيڪي ڪڏهن به لاڳو نه ڪيون ويون، ترجيح نه ڏنيون ويون، يا درست نه ڪيون ويون.
هي گائيڊ پرت جي لحاظ کان ترتيب ڏنل 20 عملي ڪلائوڊ سيڪيورٽي ٽوٽڪن کي ڍڪي ٿو: سڃاڻپ، ڊيٽا، انفراسٽرڪچر، سافٽ ويئر سپلائي چين، CI/CD pipelines، ڳولا، ۽ واقعن جو جواب. ڇا توهان هڪ ڪلائوڊ اڪائونٽ کي سخت ڪري رهيا آهيو يا هڪ گھڻ-ٽيم کي محفوظ ڪري رهيا آهيو ديو ايس ايس اوپس pipeline، اهي ڪنٽرول انهن خلاف ورزين کي روڪڻ ۾ مدد ڪن ٿا جيڪي اصل ۾ ٿين ٿيون.
ڪلائوڊ سيڪيورٽي ڪيترين ئي ڪلائوڊ سيڪيورٽي صلاحن جي باوجود ڇو ناڪام ٿيندي رهي ٿي
ڪلائوڊ سيڪيورٽي ڪنٽرولز، پاليسين ۽ اوزارن جو سيٽ آهي جيڪو ڪلائوڊ ماحول ۾ هلندڙ ڊيٽا، ايپليڪيشنن ۽ انفراسٽرڪچر جي حفاظت ڪري ٿو. اهو سڃاڻپ، نيٽ ورڪ، ڊيٽا، ايپليڪيشن ڪوڊ، انحصار، انفراسٽرڪچر ترتيب، ۽ تعمير کي پکڙيل آهي. pipelines.
بالغ ٽيمن لاءِ به اهو ناڪام ٿيڻ جو سبب ڄاڻ جي کوٽ ناهي. اهو ٽي ساختي مسئلا آهن:
- رفتار بمقابله سيڪيورٽي. Pipelineتيزيءَ سان هلن ٿا. ڪنٽرول جيڪي رگڙ شامل ڪن ٿا اهي غير فعال ٿي وڃن ٿا. جيڪي ٽيمون ڪلائوڊ سيڪيورٽي کي صحيح طور تي حاصل ڪن ٿيون اهي گيٽ نه شامل ڪن ٿيون، اهي سڌو سنئون ڪم جي وهڪري ۾ لاڳو ڪرڻ کي خودڪار بڻائين ٿيون.
- اوزار جي ٽڪراءُ. هڪ اوزار ۾ راز اسڪيننگ، SCA ٻئي ۾، IaC ٽئين ۾. ڪو به متحد نظريو نه هجڻ جو مطلب آهي ته ڪوريج جي پرتن جي وچ ۾ فرق گهٽجي ويندو آهي، ۽ نتيجا ڪڏهن به حقيقي خطري سان لاڳاپيل نه هوندا آهن.
- خبردار ٿڪاوٽ. اسڪينر جيڪي روزانو سوين CVEs کي ظاهر ڪن ٿا، انجنيئرن کي نتيجن کي نظرانداز ڪرڻ جي تربيت ڏين ٿا، جن ۾ نازڪ نتيجا به شامل آهن. ترجيح اختياري ناهي؛ اهو اهو طئي ڪري ٿو ته سيڪيورٽي اصل ۾ ڪم ڪري ٿي يا نه.
هيٺ ڏنل ڪلائوڊ سيڪيورٽي ٽوٽڪا انهن خالن کي عملي طريقي سان بند ڪرڻ لاءِ ٺهيل آهن. ڪلائوڊ سيڪيورٽي کي صرف رن ٽائم مسئلو سمجهڻ جي بدران، اهي ڪوڊ کان ڪلائوڊ تائين مڪمل پهچائڻ واري رستي کي ڍڪيندا آهن.
ڪلائوڊ سيڪيورٽي جا 20 طريقا:
سڃاڻپ ۽ رسائي جو انتظام ڪلائوڊ سيڪيورٽي ٽوٽڪا
1. هر هنڌ ملٽي فيڪٽر تصديق کي فعال ڪريو
ڪلائوڊ سيڪيورٽي ۾ MFA واحد سڀ کان وڌيڪ ROI ڪنٽرول رهي ٿو. اهو سند جي چوري جي حملن کي ٿڌو ڪري ٿو، ۽ حملي آور ان کي ڄاڻن ٿا. MFA کان سواءِ ڪو به اڪائونٽ هڪ نرم نشانو آهي.
پنهنجي ڪلائوڊ ماحول ۾ هر انساني سڃاڻپ لاءِ MFA لاڳو ڪريو: ڊولپر اڪائونٽس، ايڊمن ڪنسولز، ڪلائوڊ فراهم ڪندڙ پورٽل، CI/CD dashboards. خاص اڪائونٽس لاءِ فشنگ مزاحمتي MFA (هارڊويئر ڪيز، پاس ڪيز) استعمال ڪريو. تصديق ڪندڙ ايپ ذريعي وقت تي ٻڌل ڪوڊ گهٽ ۾ گهٽ بار آهن.
2. گهٽ ۾ گهٽ استحقاق لاڳو ڪريو، خاص طور تي غير انساني سڃاڻپن تي
گهٽ ۾ گهٽ استحقاق جو اصول انسانن لاءِ چڱي طرح سمجھيو ويندو آهي. ٽيمون مسلسل جيڪو حصو وڃائينديون آهن اهو غير انساني سڃاڻپ آهي: CI/CD سروس اڪائونٽس، ليمبڊا فنڪشن، ڪنٽينر ورڪ لوڊ، گٽ هب ايڪشن رنرز.
اهي سڃاڻپون وائلڊ ڪارڊ اجازتون گڏ ڪن ٿيون ڇاڪاڻ ته اهي هڪ ڀيرو ترتيب ڏنل آهن ۽ ڪڏهن به ٻيهر نه ڏٺيون وينديون آهن. اهي پڻ بلڪل اهي آهن جيڪي حملي آور سپلائي چين حملي ۾ نشانو بڻائيندا آهن، ڇاڪاڻ ته انهن وٽ رازن، ذخيرن، پيداوار وسيلن، ۽ ڊائون اسٽريم سسٽم تائين رسائي آهي.
آڊٽ سروس اڪائونٽ جون اجازتون ٽه ماهي. ڪا به شيءِ هٽائي ڇڏيو جيڪا 90 ڏينهن ۾ استعمال نه ڪئي وئي آهي.
3. ڊگهي عرصي وارن سندن کي مختصر عرصي وارن ٽوڪن سان تبديل ڪريو
ڪلائوڊ جي ڀڃڪڙين ۾ جامد API ڪيز ۽ ڊگهي عرصي وارا ٽوڪن سڀ کان عام بنيادي سببن مان هڪ آهن. اهي حاصل ڪن ٿا commitريپوز ۾ موڪليو ويو، سي آءِ لاگز ۾ ليڪ ڪيو ويو، سليڪ ۾ ڪاپي ڪيو ويو، ۽ وساري ڇڏيو ويو .env فائلون، پوءِ مهينن يا سالن تائين صحيح رهن ٿيون.
جتي به ممڪن هجي انهن کي مختصر مدت جي سند سان تبديل ڪريو: AWS STS فرض ڪردار, جي سي پي ورڪ لوڊ سڃاڻپ فيڊريشن, گٽ هب ايڪشنز او آءِ ڊي سي. جڏهن جامد سندون ناگزير هجن، انهن کي هڪ راز مئنيجر (والٽ، AWS راز مئنيجر، Azure Key Vault) ۾ محفوظ ڪريو ۽ پاڻمرادو گھمايو.
4. اعليٰ مراعات لاءِ صرف وقت تي رسائي لاڳو ڪريو
مستقل منتظم رسائي مستقل خطرو آهي. مستقل طور تي وڌايل اجازتن جو مطلب آهي ته هڪ سمجهوتو ٿيل سڃاڻپ پيداوار تائين پهچڻ لاءِ ڪافي آهي.
JIT رسائي سسٽم (AWS IAM Identity Center، GCP Privileged Access Manager، Okta Access Requests) مطالبي تي، وقت جي محدود، ۽ مڪمل آڊٽ لاگ سان بلند رسائي فراهم ڪن ٿا. ڊولپرز کي ضرورت جي وقت اهو ملندو آهي جيڪو انهن کي گهرجي. حملي آورن کي ڪو به مستقل نشانو نه ملندو آهي.
5. سروس کان سروس ڪميونيڪيشن تي زيرو ٽرسٽ لاڳو ڪريو
روايتي پيري ميٽر ماڊل فرض ڪن ٿا ته نيٽ ورڪ اندر هر شيءِ قابل اعتماد آهي. مائڪرو سروسز، ڪنٽينرز، ۽ متحرڪ ڪم لوڊ سان ڪلائوڊ-نيٽو ماحول انهي مفروضي کي خطرناڪ بڻائي ٿو.
زيرو ٽرسٽ مطلب ته هر درخواست تصديق ٿيل ۽ اختيار ٿيل آهي، قطع نظر ته اها ڪٿان پيدا ٿئي ٿي. سروس-ٽو-سروس تصديق (mTLS، سروس ميش سڃاڻپ) لاڳو ڪريو، ڪم لوڊ جي سطح تي نيٽ ورڪ پاليسين کي لاڳو ڪريو، ۽ اندروني ٽرئفڪ کي ڊفالٽ طور تي غير اعتباري سمجهيو.
ڊيٽا جي حفاظت ڪلائوڊ سيڪيورٽي جا طريقا
6. هر شيءِ کي انڪرپٽ ڪريو، اندروني ٽرئفڪ سميت
آرام تي انڪرپشن (اي ايس ايڪس اينڪس، منظم KMS) هاڻي آهي standard مشق. گھڻن ٽيمن ۾ جيڪو خال آهي اهو آهي اندروني ٽرئفڪ لاءِ ٽرانزٽ ۾ انڪرپشن.
هڪ VPC ۾ جنهن ۾ مائڪرو سروسز ۽ ڪنٽينر کان ڪنٽينر ڪميونيڪيشن آهي، ٽرئفڪ جيڪا "اندر" رهي ٿي، فطري طور تي محفوظ ناهي. اندروني سروس ڪميونيڪيشن لاءِ ميوچوئل TLS (mTLS) لاڳو ڪريو. هر ٽيم تي صحيح ترتيب ڏيڻ جي بدران ان کي خودڪار طريقي سان لاڳو ڪرڻ لاءِ هڪ سروس ميش (Istio، Linkerd) يا هڪ زيرو ٽرسٽ نيٽ ورڪنگ پرت استعمال ڪريو.
7. ظاهر ٿيل رازن کي پکڙجڻ کان اڳ ڳوليو ۽ انهن کي درست ڪريو
هڪ راز commitريپوزٽري ۾ داخل ٿيڻ راز ۾ نه رهندو آهي. گٽ هب سيڪنڊن اندر پبلڪ ريپوز کي انڊيڪس ڪري ٿو. اندروني ريپوز محفوظ نه آهن، هڪ ڀيرو راز گٽ جي تاريخ ۾ آهي، اهو هاڻي يا مستقبل ۾ ريپو رسائي سان هر ڪنهن لاءِ دستياب آهي.
روڪٿام جا پرت اهم آهن (pre-commit hooks، IDE پلگ ان) پر ڪافي نه آهن. توهان کي تاريخي سميت سڀني ذخيرن ۾ مسلسل اسڪيننگ جي ضرورت آهي commits, CI/CD لاگ، IaC فائلون، ۽ ڪنٽينر تصويرون. جڏهن ڪو راز معلوم ٿئي ٿو، ته جواب فوري طور تي هجڻ گهرجي: رد ڪريو، گھمايو، ۽ جائزو وٺو ته ڇا ان تائين رسائي نمائش ۽ سڃاڻپ جي وچ ۾ ڪئي وئي هئي.
8. ڊيٽا کي درجه بندي ڪريو ۽ حساسيت جي بنياد تي ڪنٽرول لاڳو ڪريو
توهان جي ڪلائوڊ ماحول ۾ سڀ ڊيٽا ظاهر ٿيڻ تي ساڳيو خطرو نه کڻندا آهن. هر شيءِ کي ساڳيو علاج ڪرڻ جو مطلب آهي گهٽ خطري واري ڊيٽا ۾ ڪنٽرولن تي وڌيڪ سيڙپڪاري ڪرڻ ۽ اصل ۾ اهم ڊيٽا کي گهٽ تحفظ ڏيڻ.
حساسيت جي لحاظ کان ڊيٽا جي درجه بندي ڪريو (عوامي، اندروني، رازدارانه، محدود). رسائي ڪنٽرول، انڪرپشن لاڳو ڪريو. standards، ۽ هر درجي لاءِ آڊٽ لاگنگ گهرجن. جتي ممڪن هجي اتي خودڪار درجه بندي ڪريو، دستي ٽيگنگ اسڪيل نه ٿيندي آهي.
انفراسٽرڪچر ۽ ترتيب جي سيڪيورٽي
9. اسڪين ڪريو IaC هر تي Commit، صرف تعیناتي کان اڳ نه
ڪوڊ جي طور تي انفراسٽرڪچر اهو آهي جتي غلط ترتيبون پيدا ڪيون وينديون آهن، پيداوار ۾ نه. هڪ عوامي S3 بڪٽ، هڪ کليل سيڪيورٽي گروپ، يا هڪ IAM ڪردار سان *:* اجازتون حادثاتي طور تي ظاهر نه ٿيون ٿين. اهو ٽيرافارم فائل يا ڪبرنيٽس مينيفيسٽ ۾ هڪ لائن جي طور تي شروع ٿئي ٿو جنهن کي ڪنهن به نشان نه لڳايو.
IaC اسڪيننگ هر هڪ تي هلڻ گهرجي pull request، ڪوڊ جي جائزي جي ڪم جي فلو ۾ سامهون ايندڙ نتيجن سان. اسڪين ٽيرافارم، ڪبرنيٽس مينيفيسٽ، ڪلائوڊ فارميشن، هيلم چارٽس، ڊاڪرفائلز، ۽ CI/CD ترتيبون.
زائيگيني IaC Security هر سپورٽ ٿيل فارميٽ کي اسڪين ڪري ٿو commit، مخصوص وسيلن جي ڳولا جو نقشو ٺاهي ٿو، ۽ توهان جي پي آر ورڪ فلو سان ضم ٿئي ٿو ته جيئن ڊولپرز کي جتي ڪم ڪن ٿا اتي موٽ ملي، نه ته الڳ الڳ ۾ dashboard اهي ڪڏهن به نه کُليندا آهن. مفت آزمائش شروع ڪريو →
10. سيڪيورٽي پاليسي کي ڪوڊ سمجهو
دستي سيڪيورٽي جائزي جي پيماني تي نه آهي. پاليسي-جيئن-ڪوڊ ڪندو آهي.
سيڪيورٽي قاعدن کي ورزن ٿيل، ٽيسٽ لائق ڪوڊ طور ظاهر ڪرڻ لاءِ OPA (اوپن پاليسي ايجنٽ) يا Kyverno جهڙا اوزار استعمال ڪريو. انهن کي لاڳو ڪريو pipeline ڪبرنيٽس جي تعیناتي سان گڏ سطح امتيازي: سچو يا روٽ طور هلندڙ ڪنٽينر هر ڀيري پاڻمرادو بلڊ کي ناڪام ڪري ٿو. جڏهن پاليسيون ڪوڊ ۾ رهن ٿيون، ته انهن جو جائزو ورتو وڃي ٿو ۽ ڪنهن به انجنيئرنگ آرٽيفيڪٽ وانگر بهتر ڪيو وڃي ٿو. جڏهن اهي دستاويز ۾ رهن ٿا، ته اهي ڊريفٽ ٿين ٿا.
11. ڊريفٽ لاءِ محفوظ ترتيب جي بنيادن ۽ مانيٽر کي لاڳو ڪريو
ڊفالٽ ترتيبون سهولت لاءِ بهتر ڪيون ويون آهن، سيڪيورٽي لاءِ نه. ڪلائوڊ سروسز، ڪنٽينر رن ٽائمز، ۽ منظم ڪبرنيٽس ڪلسٽر سيٽنگون سان گڏ موڪليا ويندا آهن جيڪي استعمال ڪرڻ ۾ آسان ۽ استعمال ڪرڻ ۾ آسان آهن.
کان شروع CIS توهان جي ڪلائوڊ فراهم ڪندڙ، ڪنٽينر رن ٽائم، ۽ او ايس لاءِ معيار. انهن کي پاليسي-اي-ڪوڊ طور انڪوڊ ڪريو ته جيئن اهي خودڪار طريقي سان لاڳو ٿين. ڊرفٽ لاءِ مسلسل مانيٽر ڪريو، گذريل هفتي ترتيب جي مطابق شايد اڄ مطابق نه هجي جڏهن دٻاءُ هيٺ هڪ تڪڙي تبديلي کي دٻايو ويو.
12. سيگمينٽ نيٽ ورڪ ۽ پاسي واري حرڪت کي محدود ڪريو
فليٽ نيٽ ورڪ آرڪيٽيڪچر جو مطلب آهي ته هڪ ڀيرو حملو ڪندڙ هڪ ڪم جي لوڊ کي سمجهوتو ڪري ٿو، اهي هر شيءِ تائين پهچي سگهن ٿا. نيٽ ورڪ سيگمينٽيشن ۾ ڌماڪي جي ريڊيس شامل آهي.
ڪم ۽ حساسيت جي لحاظ کان آئسوليشن زون ٺاهڻ لاءِ VPCs، سب نيٽس، ۽ سيڪيورٽي گروپس استعمال ڪريو. خدمتن جي وچ ۾ اوڀر-اولهه ٽرئفڪ کي صرف ان تائين محدود ڪريو جيڪو گهربل هجي. ايگريس فلٽرنگ لاڳو ڪريو، گھڻا سمجھوتي ٿيل ڪم لوڊ حملي آور جي ڪنٽرول ٿيل سرور تائين پهچڻ جي ضرورت آهي، ۽ ايگريس ڪنٽرول ان کي ڳولڻ يا روڪڻ لاءِ توهان جي بهترين موقعن مان هڪ آهن.
سافٽ ويئر سپلائي چين ڪلائوڊ سيڪيورٽي ٽوٽڪا
ڪجھ اهم ڪلائوڊ سيڪيورٽي ٽوٽڪا هاڻي ڪلائوڊ فراهم ڪندڙ ڪنسول اندر شروع نه ٿيندا آهن. اهي سافٽ ويئر سپلائي چين اندر، اڳ ۾ شروع ٿيندا آهن. انحصار، CI/CD ورڪ فلو، راز، بلڊ اسڪرپٽ، ۽ آرٽيفيڪٽس سڀ ڊيپلائيمينٽ کان اڳ ڪلائوڊ رسڪ متعارف ڪرائي سگهن ٿا.
13. هر انحصار کي اسڪين ڪريو ان کان اڳ جو اهو توهان جي تعمير ۾ داخل ٿئي.
اوپن سورس پيڪيجز جديد سپلائي چين حملي ۾ سڀ کان عام شروعاتي رسائي ویکٹر آهن. 2024 جي شائي-هولود مهم 830+ اين پي ايم پيڪيجز سان سمجهوتو ڪيو. ايڪس زيڊ يوٽيلز بيڪ ڊور لکين لينڪس سسٽمز ۾ ايس ايس ايڇ جي تصديق کي تقريبن سمجهوتو ڪيو. ٻنهي صورتن ۾، خراب ڪوڊ عام انحصار جي انسٽاليشن جي عمل ذريعي پهتو.
بنيادي SCA (سافٽ ويئر ڪمپوزيشن تجزيو)، خام CVE لسٽون، ڪافي نه آهن. توهان کي اصل ۾ ڇا گهرجي:
- پهچ جو تجزيو: ڇا توهان جي ڪوڊ ۾ اصل ۾ ڪمزور فنڪشن سڏيو ويندو آهي؟
- مالويئر جي چڪاس: ڇا هي پيڪيج خراب رويي، مبهم اسڪرپٽ، غير متوقع نيٽ ورڪ ڪالز، لائف سائيڪل ڏيکاري ٿو؟ hooks جيڪي ٻاهرين رن ٽائمز انسٽال ڪن ٿا؟
- اي پي ايس ايس اسڪورنگ: ڇا امڪان آهي ته هي CVE صرف نظرياتي طور تي نه پر هن وقت جهنگلي ۾ فعال طور تي استحصال ڪيو پيو وڃي؟
14. لاڪ ڊائون CI/CD Pipelines
CI/CD سسٽم کي رازن، ڪلائوڊ سندون، ۽ پيداوار جي ماحول تائين رسائي آهي. اهي عام طور تي پيداوار جي نظامن کان گهٽ سخت هوندا آهن جن تي اهي تعینات ڪندا آهن.
لاڳو ڪرڻ لاءِ ڪنٽرول:
- ڪنهن به تبديلي لاءِ ڪوڊ جو جائزو گهربل آهي pipeline ترتيب ڏيڻ واريون فائلون (.گيٿب/ورڪ فلوز/, جينڪنز فائلوغيره.
- خود ميزباني ڪيل رنرز کي منظور ٿيل ذخيرن تائين محدود ڪريو، غير جائزو وٺندڙ رنر رسائي سند جي چوري جو سڌو رستو آهي.
- رازن کي ڪڏهن به سادي متن واري ماحول جي متغيرن جي طور تي نه منتقل ڪريو؛ رازن جي مئنيجر انٽيگريشن استعمال ڪريو.
- آڊيٽ pipeline غير متوقع حڪمن، غير معمولي نيٽ ورڪ ڪالن، يا غير متوقع ڪلاڪن تي عملدرآمد لاءِ لاگ
زائيگيني CI/CD سيڪيورٽي نافذ ڪري ٿو guardrails سڌو سنئون توهان ۾ pipeline ، غير محفوظ تعميرات کي بلاڪ ڪرڻ، انجيڪٽ ٿيل ورڪ فلو کي ڳولڻ، ۽ يقيني بڻائڻ pipeline هر مرحلي تي سالميت. ڊيمو بُڪ ڪريو →
15. تعمير جي سالميت جي تصديق ڪريو ۽ نموني جا نمونا
جيڪڏهن ڪو حملو ڪندڙ ڪوڊ کي بلڊ اسڪرپٽ ۾ داخل ڪري سگهي ٿو، ڪمپليشن کان پوءِ ڪنهن آرٽيفيڪٽ کي تبديل ڪري سگهي ٿو، يا ڪنهن CI رنر سان سمجهوتو ڪري سگهي ٿو، ته اهي توهان جي سافٽ ويئر سپلائي چين جا مالڪ آهن، قطع نظر ته توهان جو سورس ڪوڊ ڪيترو به صاف هجي.
تعمير جي سالميت ڪنٽرول لاڳو ڪريو:
- سڀني انحصاري ورجن ۽ بنيادي تصويرن کي صحيح ڊائجسٽ تي پن ڪريو، ٽيگ تي نه.
- ٺاھڻ کان اڳ تعميراتي شين تي دستخط ڪريو ۽ دستخطن جي تصديق ڪريو
- غير متوقع تبديلين جي نگراني ڪريو CI/CD شائي-هلود جهڙن حملن ۾ ورڪ فلو فائلون، انجيڪٽ ٿيل ورڪ فلو اهم اشارا هئا.
- SLSA تصديقون لاڳو ڪريو ته جيئن ڪرپٽوگرافڪ طور تي ثابت ٿئي ته ڇا ٺاهيو ويو هو، ڪهڙي ذريعن کان، ۽ ڪهڙي ذريعي pipeline
خطري جي ڳولا ۽ حادثي جو جواب
16. لاگنگ کي مرڪزي بڻايو ۽ پوري اسٽيڪ ۾ نمائش پيدا ڪريو
توهان اهو نه ٿا ڳولي سگهو جيڪو توهان نٿا ڏسي سگهو. گهڻي ڀاڱي ڪلائوڊ سيڪيورٽي مانيٽرنگ رن ٽائم، ڪلائوڊ ٽريئل، وي پي سي فلو لاگز، گارڊ ڊيوٽي تي ڌيان ڏئي ٿي. اهو ضروري آهي پر ڪافي ناهي.
شائي-هلود ۽ سولر ونڊز جهڙا حملا جزوي طور تي ڪامياب ٿيا ڇاڪاڻ ته ٺاهه ۾ سمجهوتو ٿيو هو. pipeline، ڪنهن به شيءِ جي پيداوار جي نگراني تائين پهچڻ کان گهڻو اڳ. مڪمل نمائش لاءِ سورس ڪوڊ تبديلين، بلڊ ۽ آرٽيفيڪٽ پرتن، ڪلائوڊ رن ٽائم، ۽ API سرگرمي ۾ ڪوريج جي ضرورت آهي.
17. نتيجن کي صرف شدت جي لحاظ کان نه پر استحصال جي لحاظ کان ترجيح ڏيو
هڪ اسڪينر جيڪو هر هفتي 500 نتيجا پيدا ڪري ٿو، ٽيمن کي نتيجن کي نظرانداز ڪرڻ جي تربيت ڏئي ٿو، جنهن ۾ نازڪ نتيجا به شامل آهن. ترجيح اهو آهي جيڪو سيڪيورٽي پروگرامن کي انهن کان الڳ ڪري ٿو جيڪي ڪاغذ تي موجود آهن.
اثرائتي ترجيح کي گڏ ڪري ٿو: رسائي جي قابليت (ڇا ڪمزور ڪوڊ اصل ۾ عمل ۾ آندو ويو آهي؟)، نمائش (ڇا سروس انٽرنيٽ جي سامهون آهي؟)، اي پي ايس ايس اسڪور (فعال استحصال جو امڪان)، ۽ ڪاروباري تناظر (پيداوار بمقابله ترقي ماحول).
Xygeni ASPM سڀني نتيجن کي سامهون آڻيندو آهي SAST, SCA, IaC، راز، ۽ pipeline security هڪ متحد خطري جي نظر ۾، لاڳاپيل ترجيح سان جيڪو توهان جي ٽيم کي ٻڌائي ٿو ته پهرين ڇا درست ڪجي. ڊيمو بُڪ ڪريو →
18. رويي جي بنياد قائم ڪريو ۽ انحراف تي خبردار ڪريو
ڄاتل سڃاتل خراب نشانيون ڄاتل سڃاتل خطرن کي پڪڙينديون آهن. رويي جي بي ضابطگي جي ڳولا اڻڄاتل خطرن کي پڪڙيندي آهي، صفر ڏينهن، نوان حملي جا نمونا، اندروني خطرا.
توھان لاء CI/CD خاص طور تي ماحول، عام تعمير جي مدت لاءِ بنيادي بنيادون قائم ڪريو، عام پيڪيج جي انسٽاليشن جا نمونا، تعمير دوران متوقع نيٽ ورڪ منزلون، ۽ standard راز نمونن تائين رسائي ڪن ٿا. انهن بيس لائينن کان انحراف توهان جي شروعاتي ڊيڄاريندڙ سگنل آهن، ۽ پرت جنهن ۾ گهڻيون ٽيمون صفر نمائش هونديون آهن.
19. ڪلائوڊ مخصوص واقعن جي منظرنامي لاءِ رن بڪ جي وضاحت ڪريو
عام واقعن جي جوابي منصوبا ڪلائوڊ-مخصوص منظرنامي جو حساب نٿا رکن: هڪ سمجھوتو ٿيل پيڪيج جيڪو اڳ ۾ ئي 40 خدمتن ۾ نصب ٿيل آهي، هڪ CI رنر جنهن جي سندون هڪ خراب پري انسٽال اسڪرپٽ پاران چوري ڪيون ويون آهن، هڪ تعميراتي آرٽيڪل جنهن سان شايد گذريل 72 ڪلاڪن ۾ ڇڪتاڻ ڪئي وئي هجي.
مخصوص رن بڪ ٺاهيو: سمجھوتي ٿيل انحصار، pipeline سند جي چوري، غلط ترتيب جي ڪري ڊيٽا جي نمائش، ۽ خراب CI ورڪ فلو انجيڪشن. هر رن بڪ کي اهو بيان ڪرڻ گهرجي ته جواب جو مالڪ ڪير آهي، ڇا فوري طور تي رد ڪيو ويو آهي، ۽ ڌماڪي جي ريڊيس کي طئي ڪرڻ لاءِ ڪهڙي فارنزڪ جي ضرورت آهي.
20. ٽيبل ٽاپ ايڪسر هلايوcises، سال ۾ گهٽ ۾ گهٽ ٻه ڀيرا
هڪ رن بڪ جنهن جي آزمائش نه ڪئي وئي آهي اهو هڪ مفروضو آهي. ٽيبل ٽاپ ايڪسرcisحملي آور جي ڪرڻ کان اڳ توهان جي جوابي منصوبي ۾ خالن کي ظاهر ڪريو. مقصد پلي بڪ کي مڪمل طور تي فالو ڪرڻ ناهي، اهو ڳولڻ آهي ته ڇا غائب آهي.
گهٽ ۾ گهٽ ٻه مشقون ڪريوcisهر سال es، مختلف منظرنامي جي قسمن جي نقل ڪندي: هڪ سپلائي چين سمجهوتو، هڪ غلط ترتيب تي هلندڙ ڊيٽا جي ڀڃڪڙي، هڪ سمجهوتو ٿيل CI رنر. ٽيمون شامل ڪريو جيڪي اصل ۾ جواب ڏين ٿيون، سيڪيورٽي، DevOps، ۽ آن ڪال ڊولپرز.
ڪلائوڊ سيڪيورٽي ٽوٽڪا چيڪ لسٽ: تڪڙو حوالو
| پرت | اهم ڪنٽرول |
|---|---|
| سڃاڻپ | هر هنڌ ايم ايف اي، گهٽ ۾ گهٽ مراعات، مختصر مدت جون سندون، جي آءِ ٽي تائين رسائي |
| ڊيٽا | آرام ۽ ٽرانزٽ ۾ انڪرپٽ، رازن جي اسڪيننگ ۽ خودڪار منسوخي، ڊيٽا جي درجه بندي |
| ڍانچو | IaC اسڪيننگ آن commit، پاليسي-جيئن-ڪوڊ، CIS بنيادي نفاذ، نيٽ ورڪ سيگمينٽيشن |
| سپلائي زنجير | SCA رسائي ۽ مالويئر جي ڳولا سان، CI/CD سخت ڪرڻ، سالميت جي تعمير ۽ SLSA |
| ڳولڻ | مرڪزي لاگنگ، EPSS تي ٻڌل ترجيح، رويي جي بي ضابطگي جي سڃاڻپ |
| جواب | ڪلائوڊ مخصوص رن بڪ، ٽيبل ٽاپ ايڪسرcises، دستاويزي ڌماڪي جي ريڊيس جو جائزو |
زائيگيني ڪيئن مڪمل اسٽيڪ تي ڪلائوڊ سيڪيورٽي ٽوٽڪا لاڳو ڪرڻ ۾ مدد ڪري ٿي
ڪلائوڊ سيڪيورٽي ٽوٽڪا صرف تڏهن ڪم ڪن ٿا جڏهن ٽيمون انهن کي مڪمل سافٽ ويئر ڊليوري لائف سائيڪل ۾ مسلسل لاڳو ڪري سگهن ٿيون. گھڻا اوزار هڪ پرت کي ڍڪيندا آهن: رن ٽائم، ڪوڊ، انحصار، راز، يا CI/CDپر حقيقي حملا پرتن ۾ منتقل ٿين ٿا.
زائيگيني انهن پرتن کي پهرين گٽ پش کان پيداوار تائين مربوط ڳولا، ترجيح، ۽ اصلاح سان ڳنڍي ٿو.
| پرت | زائيگيني صلاحيت | اهو ڇا روڪي ٿو |
|---|---|---|
| سورس ڪوڊ | SAST + AI علاج | انجڪشن، تصديق جي ناڪامي، غير محفوظ ڊيزائن |
| ادارا | SCA + مالويئر جي ڳولا + اي پي ايس ايس | سپلائي چين ۾ سمجهوتو، ڪمزور پيڪيجز |
| راز | رازن جي سيڪيورٽي + خودڪار منسوخي | سند جي نمائش، ڊگهي عرصي وارو ٽوڪن خطرو |
| IaC ترتيب ڏيو | IaC Security | پيداوار تائين پهچڻ کان اڳ غلط ترتيبون |
| CI/CD Pipeline | CI/CD سيڪيورٽي + انوملي جي ڳولا | Pipeline انجيڪشن، رنر سمجهوتو |
| مصنوعي شيون ٺاهيو | Build Security + SLSA provenance | خراب ٿيل شيون، غير دستخط ٿيل رليز |
| خطري جي پوزيشن | ASPM | متحد نظارو، ڪراس ليئر ترجيح |
نتيجو: سيڪيورٽي ٽيمن کي شور جي بدران سگنل ملندو آهي. ڊولپرز کي موٽ ملندي آهي جتي اهي ڪم ڪندا آهن، نه ته هڪ الڳ اوزار ۾ جيڪو اهي ڪڏهن به نه کوليندا آهن. ۽ سيڪيورٽي پهچائڻ جي عمل جو حصو بڻجي ويندي آهي، نه ته هڪ گيٽ جيڪو ان کي سست ڪري ٿو.
آخري سوچون
ڪلائوڊ سيڪيورٽي ٽوٽڪا لسٽ ڪرڻ آسان آهن پر لاڳو ڪرڻ ڏکيو آهي. اهي ٽيمون جيڪي حقيقي ڪلائوڊ خطري کي گهٽائين ٿيون اهي دستي جائزي، ٽڙيل پکڙيل اوزارن، يا صرف شدت جي ترجيح تي ڀروسو نه ڪنديون آهن. ان جي بدران، اهي اندر سيڪيورٽي ڪنٽرول کي خودڪار بڻائين ٿيون. pipelines، استحصال جي لحاظ کان ترجيح ڏيو، ۽ مڪمل سافٽ ويئر سپلائي چين کي ڪلائوڊ حملي جي مٿاڇري جي حصي طور علاج ڪريو.
ان جو مطلب آهي رن ٽائيم انفراسٽرڪچر کان وڌيڪ محفوظ ڪرڻ. ان جو مطلب آهي سورس ڪوڊ، انحصار، رازن جي حفاظت ڪرڻ، IaC, CI/CD ڪم جو وهڪرو، نموني جي تعمير، ۽ ايپليڪيشن خطري جي پوزيشن گڏجي.
جيڪڏهن توهان جا موجوده اوزار انهن تہن جي وچ ۾ خال ڇڏي ڏين ٿا، ته زائيگيني انهن کي ڪوڊ کان ڪلائوڊ تائين مڪمل رستي تي مربوط ڳولا، ترجيح، ۽ اصلاح سان بند ڪرڻ ۾ مدد ڪري ٿو.
؟؟؟؟ پنھنجي 7 ڏينھن جي مفت آزمائش شروع ڪريو ، ڪريڊٽ ڪارڊ جي ضرورت ناهي، منٽن ۾ نتيجا اسڪين ڪريو
؟؟؟؟ ڪتاب هڪ ڊيمو ۽ ڏسو ته زائيگيني توهان جي مخصوص ڪلائوڊ تي ڪيئن نقشا ٺاهي ٿو ۽ pipeline سيٽ اپ ڪريو
جي باري ۾ الاهي
ڪو-باني ۽ CTO
فٽيما Said ايپ سيڪ، ڊيو ايس او پي ايس، ۽ لاءِ ڊولپر-پهرين مواد ۾ ماهر آهي. software supply chain security. هوءَ پيچيده سيڪيورٽي سگنلن کي واضح، قابل عمل هدايت ۾ تبديل ڪري ٿي جيڪا ٽيمن کي تيزيءَ سان ترجيح ڏيڻ، شور گهٽائڻ ۽ محفوظ ڪوڊ موڪلڻ ۾ مدد ڪري ٿي.
