فيبروري 2024 ۾ ، هي Polyfill.io سپلائي چين حملو- هڪ بهترين مثال سافٽ ويئر سپلاءِ چين حملي— عالمي سطح تي 100,000 کان وڌيڪ ويب سائيٽن سان سمجهوتو ڪيو. هن واقعي ۾ شامل آهي پئڪيج اغوا ڪرڻ، جتي FUNNULL، هڪ بدسلوڪي ادارو، پولي فل جي ڊومين ۽ گٽ هب ريپوزٽري جو ڪنٽرول حاصل ڪيو، سروس ۾ مالويئر داخل ڪيو. مالويئر خاص طور تي موبائل استعمال ڪندڙن کي نشانو بڻايو، انهن کي جعلي جوا ويب سائيٽن ڏانهن ريڊائريڪٽ ڪيو، HTTP هيڊرز ۽ صارف ايجنٽن جي بنياد تي پولي فل جي متحرڪ ڪوڊ پهچائڻ ۾ ڪمزورين جو استحصال ڪندي.
ٽيڪنيڪل بريڪ ڊائون: پولي فل حملي ڪيئن ڪم ڪيو
جديد ويب خاصيتن ۽ پراڻن برائوزرن جي وچ ۾ مطابقت کي يقيني بڻائڻ لاءِ پولي فل وڏي پيماني تي اختيار ڪيو ويو آهي. حملي آورن استعمال ڪيو پئڪيج اغوا ڪرڻ خريد ڪرڻ سان سي ڊي اين.پولي فل.آئي او ڊومين ۽ خراب اسڪرپٽ کي شامل ڪرڻ. هن حملي کي جيڪو ايترو خطرناڪ بڻائي ٿو اهو مالويئر جو پيچيده رويو هو:
- متحرڪ ڪوڊ جنريشن: پولي فل جي سروس ويب سائيٽ تائين رسائي ڪندڙ ڊوائيس (مثال طور، موبائل بمقابله ڊيسڪ ٽاپ)، HTTP هيڊرز، ۽ صارف ايجنٽ جي بنياد تي ڪسٽمائيزڊ جاوا اسڪرپٽ جواب پيدا ڪيا. حملي آورن هن متحرڪ نوعيت جو استحصال ڪيو، مخصوص ڊوائيسز لاءِ تيار ڪيل خراب پيل لوڊ داخل ڪيا - خاص طور تي موبائل فونز.
- چوري جي ٽيڪنڪس: مالويئر هوشيار هو. جڏهن تجزياتي خدمتن جهڙوڪ گوگل اينالائيٽڪس جو پتو لڳايو ويو ته ان تي عملدرآمد ۾ دير ٿي، ان جي ڪاررواين کي سائيٽ جي انگن اکرن ۾ ظاهر ٿيڻ کان روڪيو ويو. اضافي طور تي، جيڪڏهن ايڊمن استعمال ڪندڙن يا ڊولپرز جو پتو لڳايو ويو ته اهو فعال نه ٿيو، وڌيڪ ڊيبگنگ يا ٽيسٽنگ دوران ابتدائي سڃاڻپ کان بچڻ.
- موبائل ريڊائريڪشن: هڪ ڀيرو چالو ٿيڻ کان پوءِ، مالويئر جائز ڊومينز جي نقل ڪندي صارفين کي جعلي جوا ويب سائيٽن ڏانهن ريڊائريڪٽ ڪيو (مثال طور، گوگي-اينائيٽيڪس ڊاٽ ڪام). حملي آور شڪ کي گهٽائڻ لاءِ ٽائيم ونڊوز ۾ به هٿ چراند ڪندا هئا، صرف ڪجهه ڪلاڪن دوران پيل لوڊ کي عمل ۾ آڻيندا هئا ته جيئن بي خبر موبائل استعمال ڪندڙن کي بي خبر پڪڙي سگهجي.
پولي فل حملي سان متاثر ٿيل سڀ کان وڏيون سائيٽون
هن پولي فل سپلائي چين حملو 100,000 کان وڌيڪ ويب سائيٽون متاثر ٿيون، جن ۾ وڏيون تنظيمون شامل آهن جهڙوڪ:
- ورلڊ اقتصادي اقتصادي فورم
- سائنسي
- JSTOR
- بينڪ آئرلينڊ
- Coldwell Banker
- زندھ قوم
- برانڊيس يونيورسٽي
- دبئي ايئرپورٽ ڪمپني
- ماحولياتي دفاعي فنڊ
اهي اعليٰ سطحي متاثرين حملي جي عالمي پهچ ۽ ڪمزوري کي اجاگر ڪن ٿا وڏا ادارا سپلائي چين جي ڀڃڪڙين لاءِ.
ابتدائي ڊيڄاريندڙ ۽ جواب
اينڊريو بيٽسپولي فل جي اصل خالق، حملي کان مهينا اڳ ڊولپرز کي خبردار ڪيو هو ته پولي فل سروس استعمال ڪرڻ بند ڪريو جڏهن هو ڊومين جو ڪنٽرول وڃائي ويٺو. سندس ڊيڄاريندڙ گهڻو ڪري بي پرواهه رهيو جيستائين FUNNULL جو حملو شروع نه ٿيو. هڪ ڀيرو معلوم ٿيو، مواد پهچائڻ وارا نيٽ ورڪ جهڙوڪ ڪلائوڊ فليئر ۽ فاسٽلي محفوظ متبادل فراهم ڪيا، جڏهن ته بيٽس ڊولپرز کي پولي فل حوالن کي مڪمل طور تي هٽائڻ جي صلاح ورجائي.
اڄ ڪا به ويب سائيٽ ڪنهن به پولي فل جي ضرورت ناهي https://t.co/3xHecLPXkB لائبريري. ويب پليٽ فارم ۾ شامل ڪيل گهڻيون خاصيتون سڀني وڏن برائوزرن پاران جلدي اختيار ڪيون وينديون آهن، ڪجهه استثنان سان جيڪي عام طور تي ڪنهن به طرح پولي فل نه ٿي سگهن، جهڙوڪ ويب سيريل ۽ ويب بلوٽوٿ.
— اينڊريو بيٽس (@triblondon) فيبروري 25، 2024
پولي فل خراب پيل لوڊ مثال
پولي فل سپلائي چين حملي جي نفاست کي واضح ڪرڻ لاءِ، سينسيڪ استعمال ٿيل خراب پيل لوڊ جي هڪ تفصيلي مثال فراهم ڪئي. هي پيل لوڊ استعمال ڪندڙ جي ڊوائيس جي بنياد تي متحرڪ طور تي ترتيب ڏنو ويو آهي، جعلي ويب سائيٽن ڏانهن ريڊائريڪٽس کي متحرڪ ڪري ٿو ۽ ڳولا کان بچڻ لاءِ ٽيڪنڪ استعمال ڪري ٿو. هن پيل لوڊ جي ٽيڪنيڪل خرابي تي ويجهي نظر لاءِ، توهان چيڪ ڪري سگهو ٿا سينسيڪ جو مڪمل تجزيو ۽ خراب ڪوڊ جو نمونو.
پولي فل سپلاءِ چين حملو ڇو ٿيو؟
پولي فل سپلائي چين حملو نازڪ کي اجاگر ڪري ٿو ٽئين پارٽي جي انحصار ۾ ڪمزوريون انتظام. جديد جاوا اسڪرپٽ ايڪو سسٽم اوپن سورس لائبريرين تي تمام گهڻو ڀاڙي ٿو، ۽ ڊولپر اڪثر ڪري انهن لائبريرين کي خودڪار طريقي سان ضم ڪرڻ لاءِ npm جهڙا اوزار استعمال ڪندا آهن. سخت آڊيٽنگ يا مسلسل نگراني کان سواءِ، سمجھوتو ٿيل پيڪيجز اڻ ڄاتل ذريعي سلپ ٿي سگهن ٿا، جيئن پولي فل سان ڏٺو ويو آهي.
ان کان علاوه، اڄ جي سافٽ ويئر ماحول ۾ ترقي ۽ تعیناتي جي تيز رفتار اڪثر ڪري ڪارڪردگي ۽ رفتار کي مڪمل سيڪيورٽي چيڪن تي ترجيح ڏئي ٿي. حملي آور هن خلا جو فائدو وٺن ٿا، مشهور لائبريرين کي نشانو بڻائي انهن جي اثر کي وڌائڻ لاءِ. پولي فل جي صورت ۾، هڪ ڀيرو حملي آورن ڊومين تي ڪنٽرول حاصل ڪري ورتو، انهن لائبريري جي وسيع استعمال کي استعمال ڪندي وڏي تعداد ۾ ويب سائيٽن تي خراب ڪوڊ داخل ڪيو.
هي واقعو سخت سيڪيورٽي قدمن کي لاڳو ڪرڻ جي اهميت کي اجاگر ڪري ٿو، جهڙوڪ انحصار آڊيٽنگ ٽولز، ريئل ٽائيم مانيٽرنگ، ۽ مضبوط واقعن جي جوابي منصوبن، ساڳئي سافٽ ويئر سپلائي چين حملن کان بچائڻ لاءِ. تنظيمن کي پنهنجي ڊجيٽل ايڪو سسٽم کي مؤثر طريقي سان محفوظ رکڻ لاءِ پنهنجي ترقياتي ڪم جي وهڪري ۾ سيڪيورٽي کي ترجيح ڏيڻ گهرجي.
مستقبل جي حملن کي روڪڻ: مضبوط انحصار جو انتظام
جڏهن انحصار کي منظم ڪيو وڃي، زائيگيني جو Open Source Security پليٽ فارم تحفظ جي ڪيترن ئي پرتن کي استعمال ڪري ٿو، جيڪو حقيقي وقت ۾ خراب حصن کي ڳولڻ، قرنطين ڪرڻ، ۽ انهن کي درست ڪرڻ ۽ سافٽ ويئر سپلائي چين جي حملن کان بچڻ لاءِ ٺهيل آهي.
ريئل ٽائيم مالويئر جي ڳولا: زائيگيني مسلسل عوامي رجسٽرين جي نگراني ڪندو آهي، مشڪوڪ ڪوڊ لاءِ اسڪيننگ ڪندو آهي ان کان اڳ جو اهو ڊولپمينٽ ماحول ۾ داخل ٿئي. هي پولي فل حملي جهڙن خطرن کي فعال طور تي روڪڻ جي اجازت ڏئي ٿو، جيئن ۾ نمايان ڪيو ويو آهي لوئس روڊريگيز جي مضمونن جو سلسلو.
خودڪار الرٽ ۽ قرنطين: زائيگيني پاڻمرادو سمجھوتي ٿيل پيڪيجز کي الڳ ڪري ٿو ۽ الرٽ پيدا ڪري ٿو، ترقياتي ٽيمن کي جلدي ڪم ڪرڻ جي اجازت ڏئي ٿو. سان ضم ڪرڻ سان CI/CD pipelines، ڪنهن به خطري کي پيداوار تائين پهچڻ کان اڳ روڪي سگهجي ٿو. پولي فل واقعي جهڙن ڪيسن ۾، هي خاصيت خراب ڪوڊ کي جلد روڪي وڏي پيماني تي اثر کي روڪي ٿي.
متحرڪ ترجيح ۽ SBOM: زائيگيني متحرڪ طور تي تناظر، استحصال، ۽ ڪاروباري اثر جي بنياد تي ڪمزورين کي ترجيح ڏئي ٿو. پيدا ڪندي هڪ ريئل ٽائيم سافٽ ويئر بل آف ميٽيريلز (SBOM)، تنظيمون سڀني ٽئين پارٽي حصن کي ٽريڪ ڪري سگهن ٿيون، مڪمل شفافيت کي يقيني بڻائي. هي حقيقي وقت جي نگراني اوپن سورس انحصار کي منظم ڪرڻ وقت اهم آهي، جيڪا پولي فل جي اغوا جهڙن واقعن تي تڪڙو جواب ڏيڻ جي اجازت ڏئي ٿي.
پاران مضمونن جي سلسلي ۾ Luis Rodriguez، ڌيان ڏيڻ فعال دفاع خراب اوپن سورس پيڪيجز جي خلاف تفصيل سان بحث ڪيو ويو آهي. زائيگيني جو طريقو نه رڳو حقيقي وقت جي ڳولا کي ڍڪيندو آهي پر خودڪار علاج جا رستا پڻ فراهم ڪندو آهي، تنظيمن کي پيداوار ۾ خلل وجهڻ کان سواءِ محفوظ ورزن ڏانهن واپس وڃڻ جي قابل بڻائيندو آهي.
چيڪ آئوٽ ڪريو اوپن سورس خراب پيڪيجز زائيگيني اوپن سورس سيڪيورٽي کي ڪيئن منظم ڪري ٿو ان بابت وڌيڪ سکڻ لاءِ هتي آرٽيڪل سيريز ڏسو.
پنهنجي اوپن سورس انحصار کي مالويئر کان بچايو
پنهنجي اوپن سورس سافٽ ويئر کي مالويئر خطرن کان محفوظ رکڻ لاءِ فعال حڪمت عمليون ڳوليو. مالويئر تحفظ تي ضروري بصيرت لاءِ اسان جو وائيٽ پيپر ڊائون لوڊ ڪريو.
پولي فل حملي مان سبق
هن Polyfill.io سپلائي چين حملو جديد ويب ڊولپمينٽ ۾ ٽئين پارٽي جي انحصار جي خطرن بابت اهم سبق سيکاري ٿو.
- ٽئين پارٽي جي انحصار ۾ احتياط: هي سڀ کان اهم نڪتو آهي. تنظيمن کي گهرجي ته باقاعدي طور تي جائزو وٺو، ويٽ ڪريو، ۽ نگراني ڪريو سڀئي ٽئين پارٽي لائبريريون جيڪي اهي استعمال ڪن ٿا. غير جانچيل انحصار تي گهڻو انحصار سسٽم کي سنگين خطرن ۾ وجهي سگهي ٿو.
- فعال حفاظتي قدمن: مسلسل نگراني، جيئن ته زائيگيني جي حقيقي وقت ۾ خطري جي سڃاڻپ، ڪمزورين کي جلد پڪڙي سگهي ٿو.
- تعليم ۽ تربيت: ٽيم جي سڀني ميمبرن کي تازين خطرن بابت باخبر رکڻ تنظيمي سيڪيورٽي کي مضبوط ڪري ٿو.
پولي فل سپلائي چين حملو وڌندڙ خطري جي هڪ طاقتور ياد ڏياريندڙ طور ڪم ڪري ٿو جيڪو ... سافٽ ويئر سپلاءِ چين حملي. اهي حملا وڏي پيماني تي استعمال ٿيندڙ ٽئين پارٽي جي حصن ۾ ڪمزورين جو استحصال ڪن ٿا، جنهن سان سڀني سائزن جي تنظيمن کي بي نقاب ڪيو وڃي ٿو. فعال سيڪيورٽي قدمن کي اپنائڻ سان، جهڙوڪ اصل وقت جي نگراني, خودڪار خطري جي سڃاڻپ، ۽ مضبوط انحصار جو انتظام—جهڙوڪ زائيگيني پاران پيش ڪيل — ڪمپنيون مستقبل ۾ ساڳئي خطرن کان پاڻ کي بچائي سگهن ٿيون. چوڪس رهڻ ۽ ٽئين پارٽي لائبريرين جي جامع نگراني کي برقرار رکڻ پولي فل جهڙن وڏي پيماني تي سمجهوتن کي روڪڻ لاءِ اهم آهي.
سافٽ ويئر سپلائي چين حملن جي خلاف پنهنجي اوپن سورس انحصار کي محفوظ ڪريو
پنهنجي درخواست کي شڪار نه ٿيڻ ڏيو سافٽ ويئر سپلاءِ چين حملي جهڙوڪ پولي فل. زائيگيني جو Open Source Security پليٽ فارم توهان جي ترقي جي حفاظت لاءِ ريئل ٽائيم مانيٽرنگ، جديد انحصار ميپنگ، ۽ خودڪار علاج پيش ڪري ٿو. pipelineسمجھوتي ٿيل پيڪيجز مان.
اڄ ئي پنهنجي سافٽ ويئر سپلاءِ چين جو ڪنٽرول سنڀاليو. ڊيمو محفوظ ڪريو ۽ ڏسو ته زائيگيني توهان جي تنظيم کي مستقبل جي خطرن کان ڪيئن بچائي سگهي ٿو.
