O le atina'eina o polokalame fa'aonaponei e fa'alagolago i le tele o vaega tatala. E fa'avavevaveina e faletusi ta'itasi le tu'uina atu, ae e mafai fo'i ona mafua ai ni lamatiaga natia. O se fa'alagolago e tasi ua tuai pe le saogalemu e mafai ona fa'aalia ai lau pipeline po'o le siosiomaga gaosiga.
Mea tonu lava lena meafaigaluega e siaki ai le faalagolago e taua tele i DevSecOps faʻaonaponei. Latou te fesoasoani i tagata atiaʻe e suʻe, siaki, ma faʻaleleia vave vaivaiga, ma tausia le saogalemu ma le faʻatuatuaina o polokalama faakomepiuta. Ae ui i lea, e le lava le faigofie o le suʻesuʻeina o le faʻalagolago. Faʻaonaponei meafaigaluega fa'afanua fa'alagolago i talosaga fa'aopoopo le anotusi, va'aiga, ma le otometi. E le gata ina fa'aalia po'o a vaega e te fa'aaogaina ae fa'apea fo'i le auala latou te feso'ota'i ai, le auala latou te amio ai, ma po'o fea e mafai ona fa'aaogaina.
Aiseā e Tāua ai Meafaigaluega e Siaki ai le Fa'alagolago
I le anapogi o aso nei CI/CD o faiga faigaluega, e aliali mai ni faʻalagolago fou i toetoe lava o fausaga uma. O nisi atonu e iai ni CVE ua iloa, ni faʻatulagaga e le saogalemu, poʻo ni code leaga foʻi. O le mea lea, e faʻalagolago 'au i luga meafaigaluega e siaki ai le faalagolago e iloa ai ma foia ai faafitauli a'o le'i tatalaina.
O nei meafaigaluega e suʻesuʻeina faʻaaliga o galuega faatino, koneteina, ma faila fausia. Ona latou faʻatusatusa lea o au vaega ma faʻamaumauga o vaivaiga lautele e pei o le National Vulnerability Database (NVD) ma OSV.dev. Ona e tupu otometi lava lenei mea, e mafai e le au atiaʻe ona taulaʻi atu i le faʻailogaina o polokalame nai lo le iloiloina e le lima.
Peita'i, o meafaigaluega e siaki ai le fa'alagolago e na'o le fa'ailoaina o fa'afitauli ua iloa. Mo se malamalamaga loloto, o lo'o fa'aogaina nei e fa'alapotopotoga meafaigaluega fa'afanua fa'alagolago e va'aia ai fesoota'iga i le va o vaega ma iloa ai auala moni e fa'aaoga sese ai. O se taunuuga, e sui ai 'au mai le toe fa'aleleia o le puipuiga i le puipuiga fa'aauau pea.
Meafaigaluega mo le Siakiina o le Fa'alagolago 101
A siaki o le faalagolago e iloilo ai mea e faʻalagolago i ai se galuega faatino, e suʻe ai faletusi e fetaui ma vaivaiga ua iloa. E aoina ai faʻamatalaga patino, e pei o igoa o afifi ma lomiga, ma faʻatusatusa i latou i faʻamaumauga faitele. O lenei faiga e faʻailoa ai polokalama tuai poʻo polokalama vaivai aʻo leʻi oʻo i le gaosiga.
O le Matafaioi a le Siakiina o le Faʻalagolago o le OWASP
I totonu o masini sikani uma, OWASP Fa'alagolago Siaki o se tasi o le fofo sili ona lauiloa o lo'o tatala i le initanetiE iloa ai faletusi e iloa ai CVE, tuʻuina atu togi o le ogaoga (CVSS), ma fatuina lipoti mo tagata atiaʻe e faia ai se gaioiga.
Ona e leai se totogi ma e faʻavae i luga o le nuʻu, o loʻo avea pea ma se avanoa aoga mo le tele o 'au e amata mai i le SCA (Su'esu'ega o le Fa'atulagaga o Polokalama Faakomepiuta).
E ui i lea, e iai lava tapula'a o le OWASP Dependency-Check. E taula'i lava i vaivaiga ua iloa ma fa'alagolago i le fou o fa'amaumauga. E le gata i lea, e le fuaina ai le mafai ona fa'aaogaina pe mafai ona o'o atu i ai. O le mea lea, e tatau i tagata atia'e ona filifili ma le lima po'o a lamatiaga e sili ona taua.
E foia lenei mea e meafaigaluega fa'aonaponei mo le fa'afanua o le fa'alagolago e ala i le fa'aopoopoina o le tala'aga o le taimi e fa'agaoioia ai, vavaloina o le fa'aaogaina, ma fa'asa'oga otometi.
Mai le Siakiina o le Faʻalagolago i le Faʻafanua o le Faʻalagolago
E taliina e masini su'esu'e masani se fesili e tasi: "O a mea e fa'alagolago i ai e vaivai?"
Peita'i, o galuega fa'aonaponei e mana'omia nisi fa'amatalaga. Ua fesili nei 'au: "O fea e faʻaaogaina ai lenei faʻalagolago?", "E mafai ona maua le code vaivai?", ma "E aʻafia ai ea faiga taua?"
A meafaigaluega fa'afanua fa'alagolago E fausia ai se kalafi atoa o au faletusi ma le auala latou te fesoʻotaʻi ai. E siaki ai faʻalagolago tuusaʻo ma faʻalagolago fesuiaʻi, e faʻaalia ai le auala e ono salalau atu ai se vaivaiga e tasi i auaunaga poʻo koneteina.
O Mea o lo'o Ofaina e Meafaigaluega Fa'afanua Fa'alagolago Fa'aonaponei
- Su'esu'ega o le mafai ona o'o atu i ai: Fa'ailoa pe o fa'aaogaina moni auala o tusitusiga vaivai.
- Sikoa o le fa'aaogaina: Tuufaatasi le ogaoga o le CVSS ma faʻamaumauga o le ono mafai ona maua mai le EPSS.
- Talaaga o aseta: Fa'aali po'o fea auaunaga po'o polokalama e fa'alagolago i se lamatiaga.
- Feso'ota'iga faifai pea: Fa'atino siaki i totonu CI/CD pipelines mo ni fa'amatalaga i le taimi moni.
- Tausi lagolago: gaosi SBOMs ma fa'amaonia otometi laisene tatala-punaoa.
O le mea lea, o le fa'afanua o le fa'alagolago e liua ai lipoti tumau i fa'amatalaga tau puipuiga e mafai ona fa'atinoina.
Meafaigaluega Siaki Fa'alagolago vs. Meafaigaluega Fa'afanua Fa'alagolago
O loʻo i lalo se faʻatusatusaga manino i le va o auala e lua:
| fōliga | Meafaigaluega e Siaki ai le Fa'alagolago | Meafaigaluega Fa'afanua o le Fa'alagolago |
|---|---|---|
| faʻamoemoe | Iloa vaivaiga ua iloa. | Faaali atu sootaga fa'alagolago ma lona aafiaga. |
| Punaoa o Punaoa | NVD, OSV.dev. | NVD + OSV + fafaga fa'aoga (EPSS, KEV). |
| loloto | Su'esu'ega tumau o galuega faatino. | Avanoa e o'o atu i ai i le taimi e fa'agaoioia ai ma le tulaga fa'apisinisi. |
| faʻaautomatika | Siakiina e lima pe fa'atulagaina. | Faʻaauau CI/CD faʻatasi. |
| Totogi | Fa'apipi'i lima. | otometi pull requests ma faʻafouga saogalemu o lomiga. |
| Va'aia | Taula'iga i le galuega faatino e tasi. | Ufiufi atoa o le sapalai o sapalai. |
O le mea lea, o meafaigaluega e siaki ai le faalagolago e faʻatuina ai se faavae mautu, ae o meafaigaluega fa'afanua fa'alagolago fa'aopoopo le va'aiga fa'aonaponei, otometi, ma le mua'i va'aiacisuamea
Auala e Faaleleia ai e Xygeni le Siakiina o le Faalagolago
O meafaigaluega e siaki ai le faalagolago e fausia ai se faavae mautu mo le saogalemu. Peita'i, o meafaigaluega e fa'afanua ai le faalagolago e fa'aopoopoina ai le va'aiga, otometi, ma le mua'i va'aiacision e le mafai e ni scan faigofie ona maua.
Su'esu'ega Fa'alagolago Xygeni e fa'aopoopo atili ai lenei la'asaga. E feso'ota'i ai le iloa ma le tulaga moni, otometi, ma le fa'agasologa o galuega a le au atina'e.
Nai lo le faia o lipoti e le minoi, e maua ai e 'au le va'aiga ola ma ni malamalamaga manino ma aoga mai le polokalame e o'o atu i le taimi e fa'atino ai.
aʻo OWASP Fa'alagolago Siaki taula'i i le sailia o vaivaiga ua iloa, Xygeni fausia i luga o lena standard. E fa'aopoopoina ai le feso'ota'iga, togi fa'aaogaina, ma le toe fa'aleleia otometi i totonu o le CI ma le CD pipelines.
O le mea lea, e itiiti ai le taimi e faaalu e le au atia'e e iloilo ai fa'ailoilo ae tele le taimi e faaalu e tu'uina atu ai le code saogalemu ma mautu.
Mai le Iloa i le Decision
E sili atu mea e fai e Xygeni nai lo le na o le iloa o tulaga lamatia. E fesoasoani foʻi i 'au e filifili po o le a le mea e sili ona tāua.
A aliali mai se vaivaiga fou, e siaki loa e le scanner:
- O fea e nofo ai: o fea fale teu oloa po'o fale e fa'aogaina le fa'alagolago ua a'afia.
- Afai e tamoe: pe o galue le ala o le code vaivai i le taimi e fa'agaoioia ai.
- O le ā lona ogaoga: e tu'ufa'atasia ai fa'amaumauga CVSS, EPSS, ma KEV e malamalama ai i le a'afiaga moni.
- O le a le isi mea e fai: fautuaina se lomiga saogalemu, patch, poʻo se suiga o le faʻatulagaga.
O lenei faiga e liua ai le iloa faigofie i se fofo e taialaina ma le mautinoa.
Fa'aautomatika e Taula'i i le Atina'e
E le pei o masini su'esu'e masani, e fa'agaoioia e Xygeni nofoaga ua uma ona galulue ai le au atia'e: i totonu CI/CD pipelines, GitHub Actions, po'o a latou IDE.
E su'esu'eina i taimi uma pull request ma commit otometi lava, poloka tu'ufa'atasiga e le saogalemu ma fautuaina ni fa'afouga saogalemu pe a mana'omia.
O gafatia autū e aofia ai:
- Su'esu'ega faifai pea: Mata'ituina fale teu oloa uma i le taimi lava e aliali mai ai fautuaga fou.
- Faigofie ona o'o i ai ma fa'aaogaina: Fa'afetaui fa'ai'uga ma fa'amaumauga o le taimi fa'atino e fa'amamafa ai tulaga lamatia moni ma fa'aaogaina.
- Fa'amuamua atamai: Fa'avasega vaivaiga e tusa ai ma le ogaoga, faigofie ona o'o atu i ai, ma le taua o pisinisi.
- Fa'asa'oga otometi: le Xygeni Bot tatala saogalemu pull requests, fa'ata'ita'i fa'afouga, ma tu'ufa'atasia pe a uma ona fa'amaonia.
- SBOM ma le siakiina o laisene: Faia SPDX ma CycloneDX lipoti ma faʻamaonia otometi le tausisia o laisene.
Ona o lenei otometi, o le mea sa masani ona tele ai itula e alu ai, ua tupu nei i le faagasologa masani o atinaʻe.
E Sili Atu Mai le Siakiina Tumau
E muta le fa'aaogaina o masini su'esu'e masani i le iloa o mea. E sili atu le alualu i luma o Xygeni i le liua o taunuuga i se alualu i luma e mafai ona fuaina.
O lapataiga taitasi e aofia ai le mafai ona oʻo atu i ai, le mafai ona faʻaaogaina, ma faʻamatalaga tau le toe faʻaleleia. O lenei mea e maua ai le vaʻaiga atoatoa mai le mauaina seʻia oʻo i le foʻiaina.
O gaioiga uma e fa'amaumauina mo le su'esu'eina, lea e fesoasoani ai i 'au e ausia tulafono fa'atonutonu e pei o NIS2, Dora, po o SSDF.
O lenei vaʻaia e faʻamaonia ai foʻi le mauaina o vaivaiga, iloiloina, ma faʻasaʻoina i le taimi atofaina.
Faataitaiga: Fa'atinoina o le Fa'afanua o le Fa'alagolago
Va'ai faalemafaufau o lau galuega faatino e aofia ai autu o le log4j i le tele o auaunaga.
O se siaki fa'avae o le fa'alagolago o le a fa'ailoa ai le fa'afitauli ae le fa'amatalaina lona a'afiaga.
i Fa'afanua o le fa'alagolago o Xygeni, e mafai ona e vaʻai loa:
- O a auaunaga e fa'aogaina le faletusi.
- Pe mafai ona aapa atu i le vasega vaivai.
- O le ā le lomiga e saogalemu e fa'afouina.
Ona, o le Xygeni Bot faia se pull request, fa'ata'ita'i le fa'asa'oga i lau pipeline, ma tapunia le faafitauli pe a uma ona tuufaatasia.
O lenei faiga e faʻaitiitia ai galuega faʻatino, puipuia ai faʻatuai, ma taofia ai faʻalagolago vaivai mai le oʻo atu i le gaosiga.
Aisea e Taua ai
E ala i le fesootai siakiina o le faalagolago, faafanua, ma otometi toe faaleleia, ua liua e Xygeni le AppSec i se faiga faigofie ma faifaipea.
E fesoasoani i 'au e iloa vave, vave fa'amuamua mea e faamuamua, ma fa'aleleia ma le mautinoa, e aunoa ma le fa'agesegese o le atina'eina.
I se aotelega, e fa'aauau pea, manino, ma otometi le puipuiga o le fa'alagolago i mea fa'alagolago. O le auala sili lea ona atamai mo 'au a le DevSecOps e puipuia ai a latou polokalama mai le amataga se'ia o'o i le fa'alauiloaina.
Mafaufauga Faaiu: Mai le Siakiina o le Faalagolago i le Faafanua Faaauau
E vave tele ona fa'agasolo le atina'eina o polokalama faakomepiuta fa'aonaponei. O meafaigaluega masani e siaki ai le fa'alagolago e pei o le OWASP Dependency Check e aoga pea, ae e na'o mea ua iloa e vaivai e fa'aalia ai. Latou te le fa'amatalaina po'o fea lamatiaga e sili ona taua pe o fea fo'i e maua ai i lau code.
O le mafuaʻaga lea ua faʻaaogaina ai nei e 'au meafaigaluega e faʻatatau i le faʻalagolago i talosaga. O nei meafaigaluega e faʻaopoopoina ai le anotusi ma le vaʻaia. Latou te faʻaalia po o fea vaega o loʻo faʻagaoioia, po o fea vaivaiga e mafai ona oʻo i ai, ma po o fea e mafai ona aʻafia ai au fausiaina. A galulue faʻatasi auala uma e lua, e maua e le au atiaʻe le pule atoatoa ma mafai ona vave faʻaleleia.
E aumaia e Xygeni nei manatu faatasi. E fausia i luga o punaoa tatala ua faamaonia standards ma fa'aopoopo i ai le otometi, siaki o le mafai ona o'o atu i ai, ma le fa'aleleia fa'atonutonuina. E avea le saogalemu ma vaega o le ta'amilosaga o le atina'e, ae le o se la'asaga fa'aopoopo malie.
I se aotelega, ia vave iloa, ia malamalama lelei i au mea e te faalagolago i ai, ma ia otometi lava ona foia faafitauli. O le auala lea e puipuia ai e 'au fa'aonaponei a latou polokalama faakomepiuta ma le Xygeni.
E tusa o le Tusitala
tusia e Fafine Said, Pule o Maketiina o Mataupu e fa'apitoa i le Puipuiga o Talosaga i Puipuiga o Xygeni.
Ua fatuina e Fátima ni anotusi e faigofie ona fa'aogaina e le au atina'e, e fa'avae i luga o su'esu'ega i luga o le AppSec. ASPM, ma DevSecOps. Na te fa'aliliuina manatu fa'apitoa faigata i ni malamalamaga manino ma aoga e fa'afeso'ota'i ai le fa'afouga o le saogalemu i luga o le initaneti ma le a'afiaga o pisinisi.
