Fa'ailoga leaga o se tasi o fa'amata'u sili ona lilo ma sili ona fa'aleagaina o lo'o feagai ma 'au fa'akomepiuta i aso nei. E le o taimi uma e faia ai se ulufale leotele—o nisi taimi, e fa'alilolilo atu i totonu o lau pipeline e ala i se faʻalagolago i le punaoa tatala pe o se galuega CI ua sese le faʻatulagaina. O lea la, e fa'apefea ona fa'aleagaina e le code leaga, ma O fea o mea nei e ono faʻaalia ai se osofaʻiga faʻatulafonoina leaga? Ae sili atu ona taua, e fa'apefea ona fa'aleagaina e le code leaga a'o le'i o'o i le taimi e gaosia ai?
O lenei taʻiala e taiala oe i mataupu moni o le lalolagi, faʻailoga lapatai, ma auala atamai e faʻaitiitia ai faʻafitauli e mafai ona e faʻatinoina i le asō.
E Faapefea Ona Faaleagaina e se Tulafono Faatupu Faaleagaina? O se Su'esu'ega Loloto i Fa'ata'ita'iga Moni o le Lalolagi
O le malamalama i le auala e mafai ai e le code leaga ona mafua ai le faaleagaina o se ki taua i le fausiaina o se sapalai saogalemu o polokalama faakomepiuta. I aso nei CI/CD siosiomaga fa'alenatura, e mafai e le code leaga ona:
1. Fa'asa'olotoina o Mea Lilo - Pe Fa'apefea Ona Mafua'aga e le Tulafono Fa'aleaga le Fa'asalalauina o Fa'amaumauga
O le a le mea e tupuE gaoi e le au osofa'i fa'amatalaga maaleale—e pei o ki API, tokens, po'o upu fa'alilolilo—o lo'o teuina i totonu o le code, faila fa'atulagaina, po'o siosiomaga fausiaina.
Aisea e matautia aiE tatala ai le faitotoʻa i le faoa faamalosi e le ao (cloud), avanoa i faʻamaumauga, ma le faʻaleagaina o le sapalai o sapalai.
Tulaga Moni: JarkaStealer O polokalama leaga i totonu o le PyPI e afifiina mea lilo ua aveeseina e ala i meafaigaluega pepelo a le au atinaʻe.
I se isi faaupuga, o lenei ituaiga o osofaiga e faʻaaogaina ai le faʻatuatuaga ma le faigofie e selesele ai faʻamaoniga o le ulufale aʻo leʻi iloaina e se tasi le mea ua tupu.
2. Tuiina o Backdoors po'o Rootkits
O le a le mea e tupu: O le tulafono e aofia ai vaega ulufale faifai pea ma natia e mafai e tagata osofaʻi ona faʻaaoga mulimuli ane—tusa lava pe ua e manatu ua leai le taufaʻamataʻu.
Aisea e matautia aiE aloese mai puipui afi ma mafai ai ona maua se avanoa mo se taimi umi.
Tulaga Moni: O le Fa'aoga XZ i tua o le faitoto'a o lo'o fa'apipi'iina i totonu o polokalama Linux na maua ai e le au osofa'i le avanoa SSH e aunoa ma ni fa'amaoniga.
E le gata i lea, o lenei mea na tupu o loʻo faʻamamafa mai ai le auala e mafai ai e le inisinia faʻaagafesootai ma le taufaʻamataʻu mai totonu ona faʻafefea e oʻo lava i faiga sili ona lelei o le iloiloga o tulafono.
3. Suiga o le Logikana e Leoa – E Faapefea Ona Faalavelaveina e se Tulafono Faasolitulafono Lau Polokalama?
O le a le mea e tupu: O le isi faʻataʻitaʻiga o le E Faapefea Ona Faia e le Tulafono Faatupu Faʻaleagaina e ala lea i suiga laiti i le mafaufau faapisinisi—o le misia o faʻamaoniga poʻo le faʻavaivaia o siaki saogalemu.
Aisea e matautia aiO nei suiga e masani ona lē vaaia e le au atiaʻe ae e oo atu ai i ni tulaga mataʻutia i le gaosiga.
Tulaga Moni: UAParser.js i luga o le NPM na faoa faamalosi e faʻapipiʻi ai le au eli crypto, ma suia ai le auala na faʻatinoina ai le code i lalo o le pulou.
O le iʻuga, e oʻo lava i nai suiga laiti i le faʻaogaina o le mafaufau i totonu o faletusi faʻatuatuaina e mafai ona faʻateleina ai ni va tetele i le saogalemu.
4. Fa'aaogaina o le Open-Source Package Trust
O le a le mea e tupu: O le auala lenei e mafai ai e le Malicious Code ona fa'aleagaina i le fua. E fa'asalalau e tagata fa'atupu vevesi ni afifi pepelo pe faoa faamalosi e foliga moni—ma e le o iloa e le au atia'e.
Aisea e matautia aiE vave tele ona fa'atupula'ia nei osofa'iga, ma a'afia ai le faitau afe o polokalama.
Tulaga MoniE silia ma le 280 afifi NPM leaga na faʻaaogaina i se tauvaga faʻasaʻo le faʻaaogaina o le typosquatting lea na faʻatautaia ai feoaiga i totonu Konekarate atamai a Ethereum.
O le mea lea, ua faaalia ai le matua manaomia lava o le suʻesuʻeina o le resitala i le taimi moni ma faiga e iloa ai le talaaga o afifi.
5. Soloiesea pe Fa'aleagaina Fa'amaumauga
O le a le mea e tupuE tapeina faila, tapeina ogalaau, ma fa'atama'ia fa'amaumauga e nana ai ni fa'ailoga pe fa'atupu ai le vevesi.
Aisea e matautia aiO se fa'aumatiaga mama atoatoa lea—leai se togiola, leai se fe'au—na'o le taimi e le mafai ai ona fa'agata ma leiloa ai fa'amaumauga.
Tulaga Moni: Malware a le HermeticWiper soloiesea polokalama faakomepiuta i Ukraine e ala i le fa'aaogaina o se mea e fa'afouina ai polokalama pepelo.
Ina ia faamamafa, o osofaiga faataumaoi e lē na o ni mea fa'ateorē—ae o se vaega foi o taua fa'aonaponei i luga o le initaneti.
6. Tapeina o Auaunaga Autu (Teena o Auaunaga)
O le a le mea e tupu: E fa'aaogā e le code puna'oa pe fa'aleagaina polokalama e fa'aaoga ai logic bombs, recursion loops, po'o ni inputs le lelei.
Aisea e matautia aiE fa'agata ai auaunaga i taimi pisi—pe natia ai se osofa'iga e sili atu ona loloto.
Tulaga Moni: Log4Shell O faʻalavelave faʻafuaseʻi na aofia ai suiga o le DoS lea na vave faʻaleagaina ai polokalama Java.
Mo lena mafuaaga, o le faʻatinoina o circuit breakers ma le mataituina o le taimi e faʻatino ai galuega e taua tele i fausaga o aso nei.
TL;DR – E fa'apefea ona fa'aleagaina e se Tulafono Fa'aleaga?
- Aveese fa'amatalaga maaleale – Gaoi upu faataga, faailoga, ma faamaoniga mai le code po o siosiomaga
- Suia amioga a le polokalama – Suia filemu le mafaufau o le polokalama, alo ese mai le faʻamaoniga, pe faʻagata pulega saogalemu
- Fausiaina o le faomea pipelines – Fa'aofi polokalame fa'aleaga i totonu o meafaitino po'o CI/CD faiga
- Fa'alauiloa faitoto'a i tua – Tausia pea le avanoa faalilolilo tusa lava pe ua uma ona iloa
- Fa'aumatia le avanoa – Fa'atupuina o fa'alavelave po'o le Teena o Auaunaga i le gaosiga
O fea o mea nei e ono faʻaalia ai se Osofaʻiga Malicious Code?
O lea ua e malamalama i le auala e mafai ai e le code leaga ona faʻaleagaina, o fea o mea nei e ono faʻaalia ai se osofaʻiga a le code leaga i lou siosiomaga:
1. Suiga Fa'afuase'i pe Masalosalo o Faila
- Suiga i CODEOWNERS, .env, po'o shell scripts
- suiga commitfa'aaogaina e tagata fa'aoga fou pe le fa'atuatuaina
- Faafuaseʻi lava, ua ese le amio a faila o suʻega
2. Suiga e Le'i Fa'amoemoeina i le Afifi po'o le Fa'alagolago
- Fa'alagolago fa'asolosolo pe fa'aopoopo fou e aunoa ma se talanoaga
- O fa'afitauli eseese i le package.json po'o le pom.xml
- Afifi e leai ni fetu po'o ni pepa fa'amaonia
Mo se faʻataʻitaʻiga, e masani ona faʻasaʻoloto e le au osofaʻi le tele o faletusi pepelo ma faʻatali mo ni mea sese i le sipelaga poʻo le faʻatumu otometi e fai ai le vaega o totoe.
3. Commit po'o Fa'aletonu o le Saofaga
- O tagata e le masani i ai o loʻo faʻalauiloaina suiga taua
- Fa'amalosi-fa'amalosi commito le soloia o talafaasolopito
- CI/CD tamo'e i itula eseese pe mai IP e le o iloa
E le gata i lea, e matuā lamatia nei mea i galuega faatino a le OSS lea e mafai ai e so'o se tasi ona fa'atulaga, suia, ma tu'uina atu se pull request.
4. CI/CD fau Pipeline Red Flags
- Ua fa'aopoopoina la'asaga fou o le fausiaina e aunoa ma se fa'amatalaga PR
- Fa'amaoniga ua tu'uina atu o se tusitusiga manino i totonu o ogalaau
- Fa'aletonu fa'afuase'i o su'ega
I le isi itu, atonu e masani lava nei mea i le amataga o le atina'eina—pe afai e iloiloina ma fa'amaumauina lelei.
5. Fa'asalalauina o Mea Lilo po'o Fa'amaoniga
- O le talafaasolopito o le Git e faʻaalia ai ki poʻo faʻailoga
- E aliali mai mea lilo i totonu o fa'amaumauga o fa'aletonu po'o fa'amaumauga o su'ega
A'o le'i fa'asalalauina lau tala, ia mautinoa o le su'esu'eina o mea lilo o se vaega o so'o se commit ma le faiga o galuega a le PR.
TL;DR – O fea o mea nei e ono faʻailoa mai ai se Osofaʻiga Faʻatupu Faʻalavelave?
- Suiga e le'i mafaufauina i faila autu -
CODEOWNERS,Dockerfile, po o.envfaila ua fa'afuase'i ona suia - ese CI/CD pipeline gaoioiga – Laasaga fou pe ua suia mo le fausiaina, tusitusiga, po'o amioga o le galuega
- Leiloa commit tusitala – O tagata fou o loʻo faʻalauiloaina ni suiga maualuluga pe leʻi toe iloiloina
- Afifi tatala masalomia – O lo'o fa'aaogaina fa'alagolago na fa'ato'ā lomia talu ai nei pe le'i tausia lelei
- O le fa'aalia o mea lilo i le puleaina o lomiga – Ki API, fa'ailoga, po'o fa'amaoniga commitfaia i se mea sese
- Avanoa fa'apitoa mo le teuina o fa'amaumauga – Lē masani logins, suiga o matafaioi, po'o ni mea sese a le au saofaga
Taofi le Fa'aleagaina: Auala e Puipuia ai Tulafono Malie i lau Sapalai o Polokalama Faakomepiuta
O le tala fiafia? E lē na o oe o loʻo i ai i lenei taua.
Xygeni e tuʻuina atu i lau 'au meafaigaluega tuʻufaʻatasi latou te manaʻomia e iloa ai, taofi, ma toe faʻaleleia mai faʻamataʻu leaga o tulafono faʻakomepiuta—aʻo leʻi oʻo atu i le gaosiga. Aʻo faʻatupulaʻia le faigata ma le tele o osofaʻiga, e le lava meafaigaluega saogalemu faʻasalalau. E te manaʻomia le puipuiga tuʻufaʻatasi ua faʻapipiʻiina i laʻasaga taʻitasi o le olaga atoa o le atinaʻeina o polokalama faakomepiuta.
O le mea lea e sau ai Xygeni—ua fausia e puipui ai lau code, pipeline, ma vaega tatala-punaoa mai se fa'avae e tasi.
O le auala lea e fesoasoani ai Xygeni ia te oe e te tumau ai i luma:
- Su'esu'ega Fa'aletonu Taimi Moni
Pu'e suiga masalomia o faila, amioga a le tagata saofaga, ma pipeline see ese i le taimi lava e tupu ai. - Puipuiga o Mea Lilo
Taofia otometi mea lilo mai le ulufale atu i au fale teu oloa, tusa lava pe a le'i faia se commit ua mae'a. - Lapata'iga Vave o Polokalama Fa'aleaga
Siaki resitala faitele i le taimi moni ma poloka afifi leaga e ala i le iloa e faʻavae i amioga. - Iloa o le Fa'aleagaina o Tulafono Fa'akomepiuta
Ia maua le va'aiga i suiga e le'i fa'atagaina i faila taua, fa'atasi ai ma commit-tulaga o le talaaga ma le lapataiga. - Fausia le Amiotonu ma le Faamaoniga
Ia mautinoa o mea totino uma e moni, e le mafai ona faaleagaina, ma e mafai ona suʻeina—e amata mai lava i le punaoa e oo atu i le gaosiga. - Fa'amuamua i le Fa'avae Lautele
Faaaoga fua fa'atatau o le fa'aaogaina e pei o le EPSS, mafai ona o'o atu i ai, ma le tulaga fa'apisinisi e fa'amama ese ai le pisa ma taula'i i mea e moni lava e taua.
Key Takeaway
E le pei o fofo fa'apitoa, E fa'amalosia e Xygeni le puipuiga i ou SDLC i totonu o se tasi fausaga malosi e faigofie mo tagata atia'e. E maua ai e lau 'au se malamalamaga i le taimi moni, fa'amuamuaina o tulaga lamatia i totonu o le tala'aga, ma faiga fa'atekonolosi o galuega—e aunoa ma le fa'aitiitia o le saoasaoa po'o le lelei.
O lea la, e faʻapefea ona faʻaleagaina e le code leaga? I le faʻaaogaina o lau pipeline, lou faʻatuatuaga i le open source, ma le saoasaoa o le DevOps lava ia. o le fea o mea nei e ono faʻaalia ai se osofaʻiga faʻaleaga? Soʻo se tasi o faʻailoga mumu o loʻo i luga.
E te lē manaʻomia ni meafaigaluega se tele e puipuia ai mai nei tulaga lamatia—e te manaʻomia se faʻavae atamai ma autasi e tasi.
Fa'ata'ita'i fua le Xygeni i le asō ma puipui lau sapalai o polokalama faakomepiuta mai totonu i fafo. Amata Lau Fa'ata'ita'iga e leai se totogi →
O a ni faailoga lapatai vave e ono faaleagaina ai lau sapalai o polokalama faakomepiuta e ala i polokalame leaga?
O nisi o fa'ailoga muamua o le auala e mafai ai e le code leaga ona mafua ai le fa'aleagaina e aofia ai suiga fa'afuase'i o faila, masalosaloga CI/CD gaoioiga, po'o ni tagata e le o iloa o lo'o faia ni mea taua commitpe tuleia ni suiga. O nei faailoga uma e taliina ai foi le fesili: O fea o mea nei e ono fa'ailoa mai ai se osofa'iga fa'akomepiuta leaga? ma fa'ailoa mai pe fa'apefea ona fa'aleagaina faalilolilo e le polokalame leaga a'o le'i o'o i le gaosiga. Ia Mataala!
