O le Autofix i le AppSec o le faagasologa lea e otometi lava ona iloa ma toe faaleleia ai vaivaiga sa'o lava i le faagasologa o le atina'e e aunoa ma se fesoasoani lima. Mo 'au fa'akomepiuta fa'aonaponei, e foliga mai o le isi la'asaga manino lea. O lo'o fa'atupula'ia pea fa'amaumauga tuai, o lo'o fa'aitiitia pea ta'amilosaga o fa'asalalauga, ma e na'o ni nai fa'alapotopotoga e mafai ona gafatia le fa'aogaina o polokalama ta'itasi. SAST sailiga, fa'afitauli o le fa'alagolago, fa'aletonu lilo, po'o IaC fa'atulagaga sese i totonu o se fa'asologa o galuega toe fa'aleleia e faia i le lima atoa.
Ae ui i lea, e iai se fa'afitauli. E mana'o 'au e toe faaleleia vaivaiga vave atu, ae latou te lē manaʻo i le otometi e faʻaofi filemu ai ni faʻaletonu, motusia ai mea e faʻalagolago i ai, pe faʻatupuina ai le lē mautu i totonu CI/CDO lena feeseeseaiga ua avea nei ma se tasi o faafitauli autu i le saogalemu o talosaga. OWASP fa'apitoa ona taulimaina CI/CD o se vaega o le saogalemu faatasi ai ma ona lava vaega tetele o lamatiaga, ae Fa'avae o le Atina'eina o Polokalama Saogalemu a le NIST ua faamanino mai ai e manaʻomia ona tuʻufaʻatasia faiga faʻatino mo atinaʻe saogalemu i totonu o le SDLC nai lo le fa'amauina i le pito.
O le mafuaaga lena autofix E lē na o se vaega o le oloa. O se faʻataʻitaʻiga faʻatino. Afai e le faia lelei, e mafua ai le pisa, lamatiaga, ma faʻaletonu o fausaga. Afai e faia lelei, e tapunia ai le va i le va o le iloa ma le toe faʻaleleia, faʻaitiitia le taimi e faʻaleleia ai, ma fesoasoani i le saogalemu e fetaui ma le saoasaoa o le DevOps. I totonu o lenei taʻiala, o le a tatou vaʻavaʻai i le uiga moni o le faʻaleleia otometi i totonu o le AppSec, pe a lē manuia, o le ā le foliga o le toe faaleleia otometi saogalemu, ma le auala e faatino ai i se auala e faatuatuaina e le au atiaʻe.
O le ā le Autofix i le AppSec?
I le tulaga masani, autofix o lona uiga e sili atu mea e fai e polokalama faakomepiuta nai lo le na o le faailoaina o se faafitauli tau le saogalemu. E fautuaina, faia, pe faaaoga se fofo. I se isi faaupuga, e sui le meafaigaluega mai le "o le faafitauli lenei" i le "o le fofo lenei."
E foliga faigofie lena, ae i le faʻatinoga e aofia ai le tele o auala eseese e fai ai galuega.
In SAST, o le fa'aleleia otometi e masani ona fa'auigaina o le faia o suiga i le tulaga o le code mo vaivaiga e pei o le SQL injection, cross-site scripting, mamanu deserialization e le saogalemu, fa'amaoniga vaivai o le input, po'o le fa'amaoniga le saogalemu. I totonu SCA, e masani lava o lona uiga o le fautuaina pe faʻaaogaina o faʻaleleia atili o le faʻalagolago, faʻapipiʻiina o lomiga e sili atu le saogalemu, pe fatuina pull requests e siitia ai afifi i faʻasalalauga ua faʻapipiʻiina. I totonu Puipuiga o Mea Lilo, e mafai e le fa'aleleia otometi ona fa'auigaina o le fa'aleaogaina ma le fesuia'i o fa'amaoniga, ae le na'o le fa'ailogaina. I totonu IaC, e mafai ona faauigaina o le toe tusia o mamanu o le Terraform, Kubernetes, po'o le fa'atulagaina o le ao e le saogalemu i ni tulaga fa'aletonu e sili atu le saogalemu.
O le eseesega tāua lenei: e lē tutusa le fa'aleleia otometi ma le fa'ailoa mai. E tele meafaigaluega saogalemu e mafai ona fautuaina se fa'aleleia lautele. E to'aitiiti e mafai ona faia se suiga ua sauni mo le tagata atia'e. E to'aitiiti lava e mafai ona fa'atinoina lena fa'aleleia e ala i le faiga o le tu'uina atu moni, fa'amaonia, ma tu'uina atu i le tagata atia'e o se suiga e mafai ona toe iloiloina i le puleaina o le puna.
E tāua lenā eseesega auā e lē galulue 'au inisinia fa'aonapōnei i PDF ma tiketi. Latou te galulue i totonu pull requests, faiga fa'avae, siaki, ma pipelines.
Aiseā e Lē Fa'ateleina ai le Fa'aleleia Fa'aleaganuu
O le mataupu mo le autofix e amata i se mea moni tiga: o faiga faʻaleleia masani e le fetaui ma le tuʻuina atu o polokalama faakomepiuta faʻaonaponei.
O le tele o faʻalapotopotoga ua lava a latou suʻesuʻega. E le lava a latou iugafono. O suʻesuʻega tumau, suʻesuʻega faʻalagolago, iloa mea lilo, ma siaki o atinaʻe e faʻaauau pea ona maua ai ni faʻaiʻuga. I le taimi nei, o loʻo i lalo o le mamafa o 'au inisinia e lafo atu vaega, faʻaitiitia le taimi e faʻatali ai, ma 'alo'ese mai le faʻalavelaveina o le gaosiga.
O le iʻuga o se va i le va o le sailiga ma le gaioiga.
Muamua, e iai le leo faigofie o le fa'ailoa mai. O le tele o le matua o se polokalame AppSec, o le tele fo'i lea o sailiiliga e maua mai ai. E le o taimi uma e fa'aleleia atili ai le saogalemu. I le tele o siosiomaga, e na'o le fa'atupuina ai o ni galuega fa'aopoopo. O meafaitino oloa a Xygeni o lo'o fa'atulagaina lenei mea o se fa'afitauli o le pisa ma le fa'amuamua, ma o lena fa'atulagaga e ogatusa ma le tulaga lautele o le alamanuia: o le fa'amuamua, ae le na'o le iloa, o le mea lea e faigata ai le tele o polokalame.
Lua, o le fa'aleleia e faia e ala i le lima e fai si tuai. E tatau i le tagata atia'e ona faitau le fa'afitauli, fa'amatala le galuega a le scanner, toe faia le fa'afitauli pe a mana'omia, mamanuina se fa'aleleia, fa'atino, fa'atino ni su'ega, tatala se pull request, ma fa'atali mo le iloiloga. Atonu e taliaina lena mea mo se mataupu taua e tasi. E le taliaina mo le faitau selau o fa'amaumauga e feololo le ogaoga, fa'aleleia atili o le fa'alagolago, po'o le fa'asalalauina soo o fa'amatalaga lilo i le tele o fale teu oloa.
Tolu, o le saogalemu ma le inisinia e masani ona faʻaleleia atili mo ni taunuuga eseese. E manaʻo le saogalemu e faʻaitiitia ai tulaga lamatia. E manaʻo foʻi le inisinia e faʻalauiloa suiga ma le saogalemu ma le vave ona vavaloina. E mafai ona pulea lena eseesega pe a laʻititi le tafe mai o faʻamaumauga. E faʻaleagaina pe a lofia 'au i faʻafitauli ma e leai se auala e liua ai faʻamaumauga ua faʻamaonia i ni fofo saogalemu ma faigofie ona foia.
O le mea tonu lava lea e amata ai ona foliga mai e tāua le otometi. Ae ui i lea, e lē faapea ai ua na o le manaʻomia e saogalemu ai le otometi.
O Le Fa'afitauli i le Naive Autofix
E lē o fa'aleleia uma otometi e lelei fa'aleleia otometi. O le mea moni, o le tele o teteega a le au atia'e i le fa'aleleia otometi o le saogalemu e lē o ni teteega i le fa'aleleia otometi lava ia. Ae o ni teteega i le fa'aleleia otometi leaga.
O se afi fa'aleleia otometi e masani ona i ai se tasi o fa'afitauli e fa.
O le mea muamua, e tutusa lava le auala e taulimaina ai faʻafitauli uma e pei o ni mea e mafai ona toe faʻaleleia. E vaʻaia e le scanner se faʻalagolago vaivai ma naʻo le fautuaina o le isi lomiga ua faʻapipiʻiina. E vaʻaia e le code engine se mamanu e le saogalemu ma sui i se sui ua uma ona faʻatulagaina. Atonu e aoga lena mea mo nisi o mataupu faigofie. E vave ona le manuia i faiga moni, lea e taua ai le codebase, le fausaga, le taimi e faʻagaoioia ai, ma le kalafa faʻalagolago.
O lona lua, e le amana'iaina le fa'atinoga o le fa'atinoga. O se fa'aleleiga e foliga sa'o pe a na'o ia atonu e le talafeagai, le lava, pe lamatia pe a fa'aogaina i auala moni o le code. O se tasi lea o mafua'aga e taua tele ai fa'ailoga fa'aaogaina. O lo'o iai muamua le EPSS a le FIRSTcisauā e lē na o le ogaoga e lē o se faʻailoga mautinoa lea pe ono faʻaaogaina se vaivaiga i se taimi lata mai. E maua mai i le EPSS se faʻatatauga i aso taʻitasi o le ono faʻaaogaina o gaioiga mo CVE, lea e fesoasoani ai i 'au e taulaʻi atu le gafatia faʻatapulaʻaina o le toe faʻaleleia i mea e ono osofaʻia.
O le lona tolu, o le naive autofix e le amanaʻia le lamatiaga o suiga. E matuā matautia lava lenei mea i SCA. O le fa'aleleia atili o le fa'alagolago e ono ave'esea ai se CVE ma fa'alauiloa pea ni fa'aletonu o API, ave'esea o metotia, toe fa'aigoaina o vasega, suia o konekarate, po'o ni suiga laiti i amioga o le taimi e fa'agaoioi ai.
O le lona fa o le soona otometi. Pe a tatala e se meafaigaluega se lologa o mea taugofie. pull requests, o le tele o ia mea e lē manuia i suega pe mafua ai ni feeseeseaʻiga i le tuʻufaʻatasia, e aʻoaʻo ai e le au atiaʻe e lē amanaʻiaina. E lē o se faʻavavevaveina lea o le toe faʻaleleia. O se spam lea e toe faʻaleleia ai.
O le fesili sa'o la, e lē o le pe tatau i 'au ona fa'aautomatika le toe fa'aleleia. O le fesili sa'o o le a le ituaiga fa'aautomatika e fa'aitiitia ai le lamatiaga e aunoa ma le fa'ateleina o le faigata o le fa'agaioiga.
O Suiga e Lepetia o le Faafitauli Moni lea o le Faatuatuaga
A fai mai tagata atiaʻe polokalama latou te lē talitonu i le autofix, e masani ona latou faauigaina se tasi mea patino: latou te lē talitonu i ai e lē faaleagaina ai se mea.
O le faʻafitauli o le faʻatuatuaga e sili ona iloagofie i le fofoina o le faʻalagolago i isi.
Atonu e iai se lomiga ua fa'apipi'iina i se afifi vaivai, ae e le fa'apea ai o le fa'aleleia atili e saogalemu. O le fa'alauiloaga ua fa'apipi'iina e ono aveese ai se metotia e fa'aaogaina e lau talosaga. Atonu e toe fa'aigoaina se API. Atonu e fa'amalosia ai se konekarate ituaiga. Atonu e suia amioga i se auala e pasia ai su'ega iunite ae mafua ai ona toe fa'afo'isia le gaosiga. I le tele o 'au, o le tau moni o le toe fa'aleleia e le o le fa'aogaina o le patch. O lo'o su'esu'eina le radius o le pa.
Se'i mafaufau i se fa'ata'ita'iga faigofie i le Java. O se fa'avae o tusitusiga e fa'alagolago i se faletusi lea e iai se metotia masani i le lomiga 1.x ae ua aveeseina i le lomiga 2.x.
A maeʻa le faʻaleleia, foo() ua le toe iai. Atonu ua leai le vaivaiga, ae ua leaga le fausaga.
O le mafuaʻaga lea e le o se fuafuaga faʻainisinia le "naʻo le faʻafouina i le lomiga ua uma ona faʻatulagaina". O se petipeti.
OWASP's CI/CD e tāua le taʻiala iinei auā o le tuʻuina atu i aso nei pipelineo ni faiga fa'avavevave ma ni fogā'ele'ele osofa'iga. O pulega saogalemu e fa'atupuina ai ni suiga lē mautu pe lē pulea. pipeline amioga e foia ai se tasi faafitauli e ala i le faia o se isi. CI/CD e manaʻomia e puipuiga le puleaina o le tafe mai o tulafono, faʻamaoniga, ma le faʻamalosia o tulafono faatonutonu, ae le naʻo le faʻatinoina vave o suiga.
E tatau i le Safe Autofix ona faaaloalo i lena mea moni. E tatau ona malamalama e le gata pe mafai ona toe faaleleia se vaivaiga, ae pe mafai foi ona faʻaofi le faʻaleleia e aunoa ma le motusia o le olaga atoa o le polokalama e tatau ona puipuia.
O le ā le Foliga e Tatau Ona Fa'aleleia e le Saogalemu o le Autofix
O le fa'aleleia otometi saogalemu e lē o le "faia o suiga otometi." O le fa'aleleia otometi saogalemu toe fa'aleleia otometi fa'atonutonuina.
O lona uiga e lima mea.
Muamua, e tatau ona malamalama lelei i fa'aleleiga e tusa ai ma le tulaga o lo'o iai. O se fautuaga saogalemu e le amana'ia ai le tulafono o lo'o siomia ai, fa'atulagaga o le fa'avae, tafega o fa'amaumauga, po'o amioga fa'alagolago e le lava lea. E tatau ona fetaui le fa'aleleiga ma le polokalama fa'aoga, ae le na'o le vasega o vaivaiga.
Lua, e tatau ona iloa lelei tulaga lamatia o fa'aleleiga. O iinei e tāua ai le au'ili'iliga o tulaga lamatia o le toe fa'aleleia. E tatau i se faiga lelei o le toe fa'aleleia otometi ona mafai ona taliina se fesili fa'ainisinia fa'avae a'o le'i fautuaina se suiga: o le a le avanoa e ono fa'aofi mai ai e lenei toe fa'aleleia? solia suiga?
Tolu, e tatau ona faamuamua fa'aleleiga. O polokalame sili ona lelei mo le fa'aleleia otometi e le taumafai e fa'aleleia mea uma i le taimi e tasi. Latou te fa'atulaga le fa'aleleia i le faigofie ona fa'aaogaina, le mafai ona o'o atu i ai, ma le a'afiaga o le fa'agaioiga. E fetaui lea ma le auala o lo'o alualu i luma lautele ai polokalame matutua o le AppSec. CISO lo'o iai muamua le Lisi o Vaivaiga ua Fa'aaogaina e Acisfesoasoani tele i faʻalapotopotoga e faʻaofi faʻamaoniga o le faʻaaogaina sese i le toe faʻaleleia o lecisions, e le na'o le togiina o le ogaoga.
Fa, e tatau ona fa'agaoioia le autofix i totonu o le fa'agasologa moni o galuega fa'atino. Afai e le mafai e le afi toe fa'aleleia ona galue. pull requests, siaki, faiga faʻavae, ma suega, e le ogatusa ma le auala e tuʻuina atu ai e 'au faʻaonaponei polokalama faakomepiuta.
Lima, e tatau i le au atiaʻe ona tumau i le pulea. O suiga ua faamaonia e le au atiaʻe e le o se vaivaiga o le autofix. O le auala lea e faatuatuaina ai le otometi i siosiomaga faainisinia o gaosiga.
I se isi faaupuga, o le toe faaleleia saogalemu e manaʻomia ai le pulea, ae le na o le otometi.
Fa'aleleia otometi fa'atusatusa i le fa'aleleia otometi saogalemu
O loo i lalo le eseesega moni i le va o le otometi e fatuina ai le galuega ma le otometi e aveesea ai.
| Vaaiga | Fa'aleleia otometi faigofie | Fa'aleleia otometi saogalemu |
|---|---|---|
| Fuafuaga Fa'aleleia | Fa'atino ni fa'asa'oga masani po'o ni fa'aleleia atili i le taimi lava e iloa ai se vaivaiga | Fa'atupuina ni fa'asa'oga e iloa lelei le tulaga e fa'avae i luga o le code, amioga fa'alagolago, ma le fa'amaoniga o le workflow |
| Fa'afouga o le Fa'alagolago | Fautuaina le isi lomiga ua fa'apipi'iina e aunoa ma se su'esu'ega o aafiaga o suiga | Iloilo auala fa'aleleia ma siaki pe iai ni suiga fa'aletonu a'o le'i fautuaina se fa'aleleiga |
| Prioritization | E galue i le ogaoga na'o ia | E tu'ufa'atasia ai le ogaoga ma le faigofie ona fa'aaogaina, mafai ona o'o atu i ai, ma le a'afiaga o le fa'agaioiga |
| Pipeline saogalēmū | Atonu e tatala ni PR e le manuia ai ni fausiaina po'o ni suega | Fa'amaonia fa'asa'oga e ala i CI/CD siaki ma faitoto'a iloiloga |
| Matafaioi a le Tagata Atiina'e | Ua fa'amamā e le au atia'e fa'aletonu o le otometi | Ua iloilo e le au atia'e ni fuafuaga mo le toe faaleleia e saogalemu ma ua sauni e tuufaatasia |
| Taunuʻuga | Tele le pisa, tele le toe foʻi i tua, maualalo le faʻatuatuaga | Vave le fa'aleleia, itiiti ifo le toe fo'i mai, maualuga le fa'aaogaina |
Afai e te manaʻo i se tasi mea e 'ai mai lenei laulau, o le mea lenei: O le lelei o le autofix e fuafua i le lelei o lona tulaga ma ana pulega..
Auala e Galue ai le Autofix i se DevSecOps Fa'aonaponei Pipeline
I se siosiomaga ua matutua, E lē o se gaioiga e tasi le fa'aleleia otometi. O se faiga fa'aleleia fa'atulagaina ua tu'ufa'atasia i totonu CI/CD.
Nai lo o fa'aleleia e le lima, ua motusia le fa'aogaina, fa'aonaponei pipelinee mulimulita'i i se tafega faifai pea:
Auala e Galue ai le Autofix i se DevSecOps Fa'aonaponei Pipeline
I se siosiomaga ua matutua, E lē o se gaioiga e tasi le fa'aleleia otometi. O se faiga fa'aleleia fa'atulagaina ua tu'ufa'atasia i totonu CI/CD.
Nai lo o fa'aleleia e le lima, ua motusia le fa'aogaina, fa'aonaponei pipelinee mulimulita'i i se tafega faifai pea:
Faiga o le fa'aleleia otometi la'asaga i lea la'asaga
- Faailoaina
Fale teuoloa, pull requests, koneteina, pe IaC o mea faitino e su'esu'eina e fa'aaoga ai SAST, SCA, Mea Lilo, po'o siakiina o atina'e. - Prioritization
E lē tutusa le taulimaina o vaivaiga uma. O polokalama fa'aleleia otometi e fa'amuamua le fa'aaogaina o:- Su'esu'ega o le mafai ona o'o atu i ai
- Fa'ailoga o le fa'aaogaina sese e pei o le EPSS
- Vaivaiga ua iloa ua fa'aaogaina sese (KEV)
- Talaaga o le fa'atinoina
- Fa'aleleia le Fa'atupuina
E faia e le polokalama ni gaioiga fa'aleleia e fa'atatau i le ituaiga o fa'afitauli:- Fa'asa'oga o tulafono mo SAST vaivaiga
- Fa'aleleia atili o le fa'alagolago mo SCA
- Faaleaogaina faalilolilo ma le fesuia'iga
- IaC faasa'oga o le fa'atulagaga
- Pull Request foafoaga
O fa'asa'oga ua fa'aputuina i totonu o galuega fa'atino a le tagata atia'e, e masani lava e pei o pull requests ma:- Eseesega o tulafono
- Talaaga ma le mafuaaga
- Suiga ua fautuaina
- Fa'amaoniga i totonu CI/CD
A'o le'i tu'ufa'atasia, e fa'amaonia otometi lava fa'aleleiga e ala i:- Iunite ma tuʻuga tuufaatasiga
- Siaki fausiaina
- Faiga fa'avae saogalemu
- Fa'amaoniga ma le Tuufaatasia o le Atina'e
E iloilo, faamaonia, pe teena e le au atia'e suiga a'o le'i tu'ufa'atasia i le gaosiga.
O le iʻuga, e lē sopoʻia e le autofix le taʻamilosaga atoa o le atinaʻe. E faʻagaoioia i totonu.
E fesoʻotaʻi lelei ma faʻavae e pei o le GitHub, GitLab, ma le Azure DevOps, ma faʻamautinoa ai lena O le toe faaleleia o vaivaiga e avea ma vaega o le faagasologa o le tilivaina atu, ae le o se isi faiga ese.
Fa'aleleia otometi mo vasega eseese o vaivaiga
O se tasi o mea sese e masani ona tupu i le talanoaga e uiga i le fa'aleleia otometi o le taulimaina lea o fa'aleleia uma e peiseaī e tutusa uma a latou amioga. Ae e leai.
Fa'asa'o otometi mo SAST
O le fa'aleleia otometi o le tulaga o le code e muamua fetaia'i ai le to'atele o tagata ma le manatu. E maua e se scanner se SQL injection, se XSS sink ua atagia, po'o se mamanu fa'amaonia e le saogalemu ma fautuaina se sui saogalemu. O le faiga sili lea ona faigofie ona malamalama i ai o le fa'aleleia otometi aua e va'aia le fa'aleleia i le code puna ma e mafai ona toe iloiloina e pei o so'o se isi suiga.
O meafaitino oloa a Xygeni ua tuʻuina ai le AI AutoFix i lenei avanoa o se fofo e malamalama i le tulaga e maua ai ni faʻaleleia ua sauni mo le au atiaʻe ma pull requests mo faʻafitauli e pei o le XSS ma le SQL injection. O le feʻau autū e taua e sili atu nai lo le faʻamatalaga o le oloa: lelei SAST E tatau ona iloa e le autofix tulafono fa'atonutonu (code), ae le na'o tulafono.
Fa'asa'o otometi mo SCA
E sili atu le taua o le fa'aleleia otometi o le fa'alagolago i le fa'atinoga ona o lo'o aliali mai pea lava pea afifi vaivai ma o le tausiga fa'alagolago fa'ale-lima e le fa'ateleina. Ae o le mea fo'i lea e sili ona faigata ai ona maua le fa'atuatuaga, aua o fa'afouga fa'alagolago o le mea tonu lava lea e solia suiga e matuā tiga lava.
Ose faatuatuaina SCA O le mea lea, e sili atu mea e fai e le gafatia o le fa'aleleia otometi nai lo le na'o le sailia o se lomiga ua fa'apipi'iina. E tatau ona iloilo le saogalemu o le fa'aleleia atili, le lautele o le pa, ma le fetaui.
Fa'aleleia otometi mo mealilo
O le toe faaleleia o mea lilo e le o se toe tusiaina o code ae sili atu i le taofia. Afai e faʻaalia se mea lilo ola, o le tali sili ona lelei e le o se tiketi e talosagaina ai se tasi e sui i le vaiaso a sau. O le tali sili ona lelei o le faaleaogaina vave, sui, ma le siakiina manino. O le mafuaʻaga lea e masani ona ese ai le faʻaleleia otometi i le saogalemu o mea lilo mai le faʻaleleia otometi o le code. O le taua o le saoasaoa ma le mautinoa.
Fa'asa'o otometi mo IaC
E masani ona fai soo lava ni fa'atulagaga sese o atina'e. O le mea lea e avea ai ma sui tauva malolosi mo le fa'aogaina otometi. Afai e mafai e 'au ona standardfa'atulaga ni mamanu saogalemu mo Terraform, Kubernetes, ARM, po'o le CloudFormation, ona mafai lea e le autofix ona fa'amalosia na mamanu i se taimi vave atu i le pipeline. O le fa'amamafa a le NIST SSDF i le tu'ufa'atasia o faiga fa'atino saogalemu i totonu o fa'atinoga ta'itasi SDLC E fetaui lelei lava le faʻatinoga iinei: e sili ona malosi le saogalemu pe a faʻapipiʻiina i le faagasologa o galuega, ae le o le tolopoina i laʻasaga mulimuli ane.
Auala e ʻAloʻese ai mai le Faʻaleagaina o Fausiaga i le Autofix
O le folafolaga autū lea o loo i tua atu o le mataupu, ma e tatau ona talanoaina tuusaʻo.
Ina ia ʻalofia le faaleagaina o fausaga e ala i le faʻaleleia otometi, e manaʻomia e 'au ona faʻamaonia le toe faʻaleleia i le auala lava e tasi latou te faʻamaonia ai soʻo se isi suiga e faʻatatau i le gaosiga. O lona uiga:
- iloilo le fa'alagolago ma le a'afiaga o le code a'o le'i fa'aogaina le suiga
- fa'amaonia le fa'asa'oga i totonu CI/CD faatasi ai ma suega ma faiga faavae
- fa'atapula'a le va'aiga otometi pe a maualuga le radius o le pa
- manaʻomia le iloiloga a le tagata atiaʻe mo suiga taua
- fa'aaoga le fa'atomuaga fa'atulagaina mo fa'aleleia atili taua
O le mafuaʻaga lea e taua tele ai le iloiloga o tulaga lamatia o le toe faaleleia. E suia ai le fesili mai le “e iai se fofo?” i le “o le fofo sili lea ona saogalemu?” O se fesili faʻainisinia e sili atu ona lelei.
O le mea fo'i lea e le manuia ai le tele o polokalame fa'aautomatika. Latou te fa'aleleia atili le saoasaoa o le gaosiga ma le amana'iaina le saogalemu o suiga. E vave lava ona matauina e le au atia'e lena mea.
I se faatusatusaga, o se faiga fa'atuatuaina o le fa'aleleia otometi e fa'aaloalo i le matā'upu lava e tasi o le pulega o suiga e pei ona fa'aaogaina e 'au inisinia malolosi i le atina'eina o foliga: iloilo, fa'ata'ita'i, fa'amaonia, ma tu'ufa'atasia.
Faiga Sili mo le Fa'atinoina o le Autofix
Afai o loʻo e fausia pe faʻaleleia atili se polokalame faʻaleleia otometi, o le sini e tatau ona faʻaaogaina, ae le o se mea fou. O le a faʻaaogaina e 'au le faʻaleleia otometi pe a faʻasaoina pea le taimi e aunoa ma le faia o galuega faʻamamā.
Amata i le tulafono. Filifili po o fea vasega o mataupu e saogalemu e fa'aautomatika muamua. SAST o mamanu ma toe tusiaina ua malamalama lelei i ai, faʻafouga o faʻalagolago i totonu o vaega faʻaliliuga ua faʻamatalaina, poʻo ni faiga faʻavae faʻalilolilo e faʻaleaogaina ai e masani lava o ni sui tauva lelei mo se taimi muamua.
Ona fa'aitiitia lea o le lautele o le fa'afitauli. 'Aua le taumafai e fa'aautomatika mea uma i le fa'asalalauga e tasi. Taula'i muamua i mataupu e taatele ma e maualuga le talitonuga. O se fuafuaga sili atu lea e fausia ai le fa'atuatuaga nai lo le fa'atinoina o ni fofo lautele ae pisapisao.
Tuufaatasia le toe faaleleia i totonu o galuega faatino a le au atina'e o lo'o iai nei. Afai o lo'o nonofo au 'au inisinia i pull requests ma puipuiga o lālā, e tatau foʻi ona faia le autofix.
Fuafua iʻuga. O fua faʻatatau saʻo e lē na o le "aofaʻi o faʻaleleiga ua faia." Ae o le fua faatatau o le tuʻufaʻatasia, fua faatatau o le toe faʻafoʻisia, taimi ua sefeina, faʻaitiitiga sese lelei, ma le taimi e toe faʻaleleia ai.
Ma le mea mulimuli, ia tausia se vaega e faamaonia e tagata i le mea e taua ai. O le faaleleiga otometi saogalemu e le aveesea ai le faamasinoga a le au atiae. E siitia ai e ala i le aveeseina o galuega faifai pea ma taulai atu le mafaufau i iloiloga e sili atu ona taua.
Mai le Iloa i le Toe Faaleleia: Tapuni le Li'o
O se tasi o vaivaiga tetele i meafaigaluega tuai a le AppSec o le vave tele lea ona muta o le faagasologa. E aliali mai se sailiga. E faia se tiketi. Ona faatali lea o le polokalama.
E lē o se taamilosaga tapunia lenā. O se fefa'asoaa'iga lenā.
E manaʻomia e se polokalama AppSec faʻaonaponei ona mafai ona alu mai le iloa i le faʻamuamua i le toe faʻaleleia ma le faʻaitiitia o le faʻatulagaina faʻatino e pei ona mafai ai. O le folafolaga moni lea o le autofix. E le gata ina faʻavavevaveina ai le toe faʻaleleia. E suia ai le mea e faia ai le toe faʻaleleia, le auala e faʻalauiloa ai, ma poʻo ai e tatau ona faia le galuega faifai pea.
O le mafuaʻaga foʻi lea e tāua ai le mataupu i pisinisi, ae lē gata i mea faʻatekinolosi. Ua lē toe manaʻo tagata faʻatau i le naʻo le lelei o le iloa. Latou te manaʻo i le faʻaitiitia o galuega e leʻi faia ma le vave o le faʻagasologa mai le mauaina o faʻafitauli i le foʻia o faʻafitauli.
E fa'apefea ona fa'agaoioia e Xygeni le Saogalemu Autofix
O meafaitino a Xygeni e faʻatulaga lona gafatia faʻaleleia otometi i autu e tolu: anotusi, otometi, ma le tuʻufaʻatasia o le tilivaina.
I le itu o le tulafono, Xygeni AI SAST E fa'atupuina e le AutoFix ni fa'aleleiga ua sauni mo le atina'e, suia ai mamanu lamatia i ni isi auala saogalemu ma tu'uina atu na fa'aleleiga e ala i pull requests nai lo fautuaga fa'apu'upu'u. E vave ona fa'aleleia ai vaivaiga e pei o le XSS po'o le SQL Injection ma fa'aoga faiga sili ona lelei o le fa'ailogaina o fa'amaumauga saogalemu sa'o lava i le faiga o galuega a le au atia'e.
Ae ui i lea, e sili atu le autofix i le Xygeni nai lo le SAST. E aofia ai foʻi Fa'aleleia otometi o mealilo, lea e iloa ai fa'amaoniga ua fa'asalalauina ma fa'aleaogaina otometi lava e fa'aaoga ai le muai fausia playbooks i luga o fausaga fa'avae e pei o le AWS, GCP, po'o le GitLab. E mafai ai ona taofia vave, aveese ai le fa'atuai o tali fa'atino ma fa'aitiitia ai le lamatiaga o le fa'aaogaina sese o tusipasi.
I le itu fa'alagolago, Xygeni's SCA Fa'aleleia otometi e mafai ai ona faia ni fa'aleleiga otometi e ala i le faia o ni fa'aleleiga mo fa'alagolago vaivai ma fa'aogaina i le tele. E mafai e 'au ona fa'agaoioia ni fa'aleleiga otometi, fatuina pull requests fa'atasi ai ma lomiga fa'aleleia, ma tu'ufa'atasia sa'o le fa'aleleia i totonu CI/CD pipelinee aunoa ma le faʻalavelaveina o le tilivaina atu.
E le gata i lea, o nei gafatia e faʻalautele atu i Atina'e e pei ole Code (IaC) ma pipeline faʻatulagaga, ma ia mautinoa o loʻo faʻaleleia foʻi faʻatulagaga sese ma mamanu lamatia o atinaʻe e avea o se vaega o le faiga faʻatino otometi lava lea e tasi.
O le itu taua tele lea. E lē galue na o ia le Safe autofix. E aofia ai tulafono (SAST), fa'alagolago (SCA), mea lilo, ma atina'e tetele (IaC), ma faʻamautinoa ai le toe faʻaleleia faifai pea i le sapalai atoa o polokalama faakomepiuta. E le gata i lea, e sili ona aoga pe a tuʻufaʻatasia ma le faʻamuamua e faʻavae i luga o le faʻaaogaina, auiliiliga o le kalafa faʻalagolago, ma CI/CD faʻamaoniga, o lea e le gata ina otometi ai faʻaleleiga, ae saogalemu foi, talafeagai, ma sauni mo le gaosiga.
Tali Pupuu: E fa'apefea ona e fo'ia ma le saogalemu vaivaiga i le Autofix?
Ina ia foia ma le saogalemu vaivaiga i le autofix, e manaʻomia e 'au ni faʻaleleiga e iloa lelei le tulaga, faʻamuamua e faʻavae i luga o le faʻaaogaina, iloiloga o tulaga lamatia e toe faʻaleleia ai. CI/CD fa'amaoniga, ma le fa'amaoniga a le tagata atia'e a'o le'i tu'ufa'atasia.
O le tali puupuu lena.
Soo se mea e itiiti ifo i lo lena e mafai lava ona avea ma otometi, ae e le o le ituaiga lea o le a faʻatuatuaina e le au atiaʻe otometi i le gaosiga.
FAQ
O le ā le fa'aleleia otometi (autofix) i le AppSec?
O le Autofix i le AppSec o le gaosiga otometi ma le tuʻuina atu lea o suiga faʻaleleia mo faʻafitauli tau puipuiga e pei o faʻaletonu o tulafono, faʻalagolago vaivai, mea lilo ua faʻaalia, poʻo faʻatulagaga sese o atinaʻe.
E mafai ona fausia ni mea sese e fa'aleleia otometi?
Ioe. E mafai e le Autofix ona fa'aleagaina le fausiaina pe a fa'aalia e fa'aleleia atili le fa'alagolago i suiga e le fetaui, pe a le amana'ia e fa'aleleia le anotusi o le talosaga, pe a fa'aogaina suiga e aunoa ma le fa'amaoniga.
E faʻapefea ona e faʻaleleia otometi vaivaiga e aunoa ma le faia o ni toe faʻaletonu?
Faaaoga le fa'aleleia otometi i totonu o se faiga fa'agasolo e pulea: fa'amuamua e ala i le fa'aaogaina ma le mafai ona o'o atu i ai, iloilo tulaga lamatia o le toe fa'aleleia, fa'amaonia suiga i CI/CD, ma tausi se la'asaga o le fa'amaoniga a le tagata atia'e.
O le ā le eseesega o le fa'aleleia otometi saogalemu mai le fa'aleleia otometi faigofie?
O le fa'aleleia otometi saogalemu e iloa lelei tulaga, e iloa ai tulaga lamatia, ma pipeline-iloaina. E na'o le fautuaina pe fa'aoga e le Naive autofix ni suiga e aunoa ma le malamalama i le fetaui, aafiaga o le taimi e fa'agaoioia ai, po'o le faiga o galuega fa'ainisinia.
E fa'atuatuaina le AI autofix?
E mafai, ae o le faʻatuatuaina e faʻalagolago i le faʻamaoniga ma le pulega. Ua fautuaina manino e Gartner faʻalapotopotoga o loʻo faʻaaogaina le AI code security O loʻo faʻaauau pea ona faʻaaogaina e fesoasoani le AST masani ma le iloiloga o tulafono faʻatonutonu e fai ma faʻatonutonu paleni, aua e mafai e le AI optimizers ona soona faʻasaʻo pe misia faʻafitauli e fesoʻotaʻi ma le faʻatinoga, faʻatuatuaina, ma le lelei o tulafono faʻatonutonu.
Mulimuli Avea
Ua lē toe avea le Autofix ma se mea fou i le AppSec. Ua avea ma se mea e manaʻomia mo 'au e manaʻomia ona faʻaitiitia le faʻaletonu o galuega e aunoa ma le faʻateleina o le aofaʻi o tagata faigaluega pe faʻagesegese ai le tuʻuina atu o galuega.
O le luʻitau moni e lē o le pe tatau ona faʻaautomatika le toe faʻaleleia. Ae o le pe o le amanaʻia e lena faʻaautomatika le auala moni e fausia ma lafoina ai polokalama faakomepiuta.
Afai e le amana'ia e lau fuafuaga fa'aleleia otometi le anotusi, fa'amuamua, ma le fa'amaoniga, o le a mafua ai le tele o feeseesea'iga nai lo le taua. Afai e mamanuina fa'atatau i le fa'agasologa o galuega a le au atina'e, lamatiaga o le toe fa'aleleia, ma CI/CD nofoaga e pulea ai, e mafai ona faʻaleleia atili ai taunuuga o le saogalemu ma le saoasaoa o le inisinia.
O le standard e tatau ona taumafai i ai.
E tusa o le Tusitala
Co-Fa'avae & CTO
Fafine Said fa'apitoa i anotusi e fa'amuamua e le au atina'e mo AppSec, DevSecOps, ma software supply chain security. Na te liua faailoilo saogalemu faigata i ni taiala manino ma aoga e fesoasoani i 'au e faamuamua vave mea, faaitiitia le pisa, ma lafo atu ni code saogalemu.
