Su'ega o le Penetrate vs. Su'esu'ega o le Vulnerability: Mea e Mana'omia e le Au Atiina'e ona Iloa
E vave ona gaoioi atinaʻe faʻaonaponei, e faʻapea foʻi ma ē osofaʻi. O le iʻuga, o le sailia ma le faʻaleleia vave o vaivaiga o le saogalemu e le o se mea e filifili ai. Ae ui i lea, e tele 'au e fenumiai. su'ega o le ulufale atu vs su'esu'ega o vaivaiga, i le manatu o loʻo faia e itu uma e lua le galuega e tasi. O le mea moni, latou te taulimaina vaega eseese o lamatiaga tau saogalemu ma faʻapena foʻi ona faʻalagolago le tasi i le isi i totonu o le SDLC.
O lenei taʻiala o loʻo faʻamatalaina ai le faʻatinoina o galuega taʻitasi, o afea e faʻaaoga ai, ma le auala e faʻaogaina ai e 'au DevSecOps faʻaonaponei uma ia e lua i le faʻaauauina o suʻega saogalemu.
O le ā le Su'esu'ega o Vaivaiga?
A vaivai faitau vave siaki otometi lava polokalama, tulafono fa'akomepiuta, po'o mea e fa'alagolago i ai mo ni vaivaiga ua iloa.
E galue e pei o se faiga faifai pea health check, fa'atusatusa lou siosiomaga ma fa'amaumauga tetele e pei o le NDV.
O meafaigaluega e suʻesuʻe ai vaivaiga e sailia:
- Faletusi po'o koneteina ua tuai
- Patches ua misi pe sese le fa'atulagaga
- CVE ua iloa po'o ni fa'alagolago i mea e lamatia tele
- Mea lilo fa'amaufa'ailogaina pe mamanu fa'ailoga e le saogalemu
Ona o nei su'esu'ega e vave ma masani ona fa'atino, e maua ai e le au atia'e ni fa'amatalaga e toetoe lava a moni lava. E le gata i lea, o fa'avae su'esu'ega fa'aonaponei e feso'ota'i sa'o i totonu CI/CD pipelines, Galue a GitHub, ma IDE.
I se aotelega, su'ega vaivai fesoasoani i 'au e vave iloa fa'afitauli masani, a'o le'i o'o i le gaosiga.
O le a le Su'ega Su'ega?
Suʻega Penetration, i le isi itu, o se osofaʻiga faʻataʻitaʻi.
Nai lo le na o le faailoaina o mea sese ua iloa, o loo taumafai malosi tagata su'e peni (po'o meafaigaluega otometi) e fa'aogaina na mea sese. O le sini ia iloilo pe fa'apefea ona gaoioi se tagata osofa'i moni i lou siosiomaga.
A su'ega tu'ia e mafai ona aofia ai:
- Taumafai e fa'aaoga API vaivai
- Su'ega o le fa'amaoniga ma le puleaina o avanoa
- Fa'afeso'ota'i le tele o mataupu e fa'ata'ita'i ai le gaioiga i autafa
- Iloiloina o aafiaga faapisinisi ma le faʻaalia o faʻamaumauga
E le pei o le su'esu'eina o vaivaiga, o le su'ega o le ulufale atu e mana'omia ai le tomai fa'aletagata ma le fa'amatalaga. O le mea lea, e masani ona faigata tusi lesona, faavaitaimi, ma fa'atatauina, e masani ona faia a'o le'i faia ni fa'asalalauga tetele po'o ni su'esu'ega o tulafono.
Su'ega o le Penetrate vs. Su'esu'ega o le Vaivaiga: Eseesega Autū
| Vaaiga | Faʻaauau le Iloiloina | Suʻega Faʻasalaga |
|---|---|---|
| tini | Saili otometi vaivaiga ua iloa | Fa'ata'ita'i lima osofa'iga i le lalolagi moni |
| ala | Otometi ma faifai pea | Ta'ita'ia e tagata ma fa'atatauina |
| loloto | Tulaga maualuga, lautele le ufiufi | Fa'aaogāina loloto ma taula'i |
| faisoʻoga | Fa'alevaiaso pe tu'ufa'atasia i le commit | Fa'alekuata pe a'o le'i fa'asalalauina ni fa'asalalauga tetele |
| gaosiga | Lisi o vaivaiga ua iloa | Fa'amaoniga o le fa'aaogaina sese, lipoti o a'afiaga, fautuaga mo le fa'aitiitia o le fa'alavelave |
| Sili mo | Iloa masani o tulaga lamatia ma le tumama | Fa'amaoniga moni o tulaga lamatia ma le tausisia o tulafono |
Auala e Fa'amatalaina ai Nei Eseesega
malamalama su'ega o le ulufale atu vs su'esu'ega o vaivaiga e pei o le tausia o se masini faigata. O auala uma e lua ia fa'agaoioia pea lau polokalama ma le saogalemu, ae latou tautua i ni fa'amoemoega eseese ma galue i loloto eseese.
O le su'esu'ega o vaivaiga e galue e pei o se su'esu'ega masani, vave, e mafai ona toe faia, ma atoatoa mo le vave iloa o fa'afitauli masani. E fesoasoani ia te oe e iloa ai mea ua tuai, mea ua misi, po'o ni fa'atulagaga e le saogalemu a'o le'i o'o i le gaosiga. I se fa'atusatusaga, o le su'ega o le penetration e sili atu ona pei o se su'ega atoa o le atuatuvale, e tuleia le talosaga i ona tapula'a ma fa'aalia ai le auala moni e tali atu ai i lalo o tulaga moni o osofa'iga.
E fa'aogaina e le su'esu'ega o vaivaiga le otometi ma standardfaiga fa'atulagaina o togi, ma avea ai ma mea lelei mo aso uma DevSecOps pipelines. I le taimi nei, o le suʻega o le penetration e faʻaopoopoina ai le fatufatuaʻi ma le mafaufau faaletagata e faʻataʻitaʻi ai auala o osofaʻiga i le lalolagi moni e ono misia e le otometi. Faʻatasi ai, latou te fausia se faiga e tasi e faʻafefiloi ai le saoasaoa ma le precisuamea
A faia sa'o, o le su'esu'eina o vaivaiga e fa'atusatusa i le su'ega o le penetration e avea ma se fa'asologa faifai pea o tali. O le su'esu'eina e maua ai le va'aiga lautele i totonu o fa'avae o code, a'o fa'amaonia e le su'ega po'o fea vaivaiga e mafai ona fa'aaogaina moni. O lena paleni e fesoasoani i 'au e tumau ai le to'aga nai lo le tali atu, iloa vave ma fa'amaonia loloto.
I le iuga, aua le matamata i le avsu'esu'ega o le vaivai vs. su'ega o le ulufale atu e fai ma filifiliga i le va o meafaigaluega. O se mafutaga faapaaga: o su'esu'ega otometi e iloa ai tulaga lamatia i se tulaga tele, ma o su'ega a peni e fa'amautinoa ai o lo'o aoga moni lava fa'aleleiga pe a tatau ai.
Le lelei ma le le lelei o metotia taitasi
E tofu lava auala uma e lua ma malosiaga ma fesuiaiga, ma o le malamalama i ai e fesoasoani i 'au e filifili po o afea ma pe fa'apefea ona fa'aoga lelei auala ta'itasi.
| faiga | tulaga e lelei | leaga |
|---|---|---|
| Faʻaauau le Iloiloina | ✅ Vave ma otometi ✅ Fa'ateleina faigofie i galuega fa'atino uma ✅ Fa'apipi'i i totonu CI/CD ✅ Lelei mo le fa'aauau pea o manatu faaalia | ⚠️ Mauaina papa'u ⚠️ Atonu e aofia ai ni fa'amaoniga sese ⚠️ Fa'atapula'aina i vaivaiga ua iloa |
| Suʻega Faʻasalaga | ✅ Fa'ata'ita'iga moni o osofa'iga ✅ Fa'amaonia le mafai ona fa'aaogaina ✅ Fa'amaonia pulega ma guardrails ✅ Tu'uina atu le tulaga fa'apisinisi | ⚠️ Taugata ma gesegese ⚠️ E lē faifai pea ⚠️ Fa'alagolago i le tomai o le tagata su'e |
I se aotelega, E otometi lava ona maua e le scanning ni vaivaiga, ae o le penetration testing e faʻamaonia ai po o fea e taua moni. E taua uma ia mea mo le puipuiga loloto.
Auala e Tuufaatasia ai e le Au Atina'e Mea Uma e Lua CI/CD
I faiga fa'aonaponei o le DevSecOps, e mafai e le au atia'e ona fa'aogaina uma metotia e lua e aunoa ma le fa'agesegese o le fausiaina.
O le ki autū o le otometi ma le faʻatulagaina atamai.
Tuufaatasiga la'asaga i lea la'asaga:
- Siaki vave ma soo: Fa'atino otometi lava su'esu'ega o vaivaiga i luga o vaega ta'itasi pull request.
- Poloka le code e le saogalemu: faʻaaogā guardrails e puipuia ai le tu'ufa'atasia o vaivaiga matuia.
- Fa'ata'ita'i osofa'iga: Fa'atulaga ni suega peni mama i le fa'atulagaina o vaega e fa'amaonia ai tulafono o le iloa.
- Fa'amuamua ma le atamai: Tuufaatasia faamatalaga o le scan ma fua faatatau o le faʻaaogaina e pei o EPSS po'o le auiliiliga o le mafai ona o'o atu.
- Fa'aleleia otometi: Fa'agaoioia saogalemu pull requests fa'atasi ai ma fa'alagolago ua fa'apipi'iina pe fa'afouga o fa'atulagaga.
O le iʻuga, o 'au atiaʻe e tausia uma ia saoasaoa ma le saogalemu, e aunoa ma le fa'atali mo su'esu'ega fa'alekuata.
faataitaiga:
A CI/CD pipeline e fa'atautaia le Xygeni's SCA ma SAST su'esu'ega i luga o mea ta'itasi commit.
A aliaʻe mai se vaivaiga, e siaki e le fausaga le mafai ona faʻaaogaina, faia se faʻaleleia o le PR, ma faʻamaumau le mea na tupu.
Mulimuli ane, o se suega puʻupuʻu a le peni e faʻamaonia ai ua tapunia e le faʻaleleia le lamatiaga.
O lenei matasele e puipuia ai lau talosaga i taimi uma e tamoe ai.
E fa'afaigofieina e le Xygeni Vulnerability Scanner le Continuous AppSec
I le faʻatinoga, e tele lava 'au o loʻo finau pea su'ega o le ulufale atu vs su'esu'ega o vaivaiga, ae o le mea moni, e sili ona galulue faʻatasi pe a faʻapipiʻi e le otometi le eseesega.
Su'esu'ega o le Vaivaiga a Xygeni e fa'aolaolaina ai lena otometi. E mata'ituina pea lau code, mea e fa'alagolago i ai, ma pipelines, suia le mea sa avea muamua ma taumafaiga fai lima ma faavaitaimi i se faiga vave ma faatuatuaina o le DevSecOps.
Malosiaga Autu
- Pipeline-fa'aautomatika moni: E tu'ufa'atasia sa'o Xygeni i totonu CI/CD siosiomaga e pei o le GitHub Actions, GitLab CI, Jenkins, poʻo le Azure DevOps. O le mea lea, o fauga uma lava e faʻatino otometi lava se su'esu'ega o vaivaiga vs. su'ega o le ulufale atu faavae, siakiina o CVE ua iloa, faʻatulagaga sese, mea lilo, ma tulaga lamatia o afifi tatala.
- Atamai i le fa'aaogaina sese: E le gata i lea, e fa'amauoa ai taunuuga i fa'amaumauga mai EPSS, CISO se KEV, ma le auiliiliga o le mafai ona oʻo atu i ai e faʻaalia ai po o fea vaivaiga e moni ma e mafai ona faʻaaogaina.
- Guardrails mo tagata atiaʻe: O le iʻuga, e poloka otometi lava ia tuʻufaʻatasiga lamatia poʻo faʻafouga faʻalagolago. E mafai e le au atiaʻe ona faʻatulaga ni faiga faʻavae saogalemu e faʻamalosia ai le tausisia o tulafono e aunoa ma le faʻagesegese o faʻasalalauga.
- Fa'afouga otometi: I le male, Xygeni Bot tatala saogalemu pull requests fa'atasi ai ma lomiga fa'atulagaina po'o ni fa'apipi'i fa'atulagaina. E o'o lava i le fa'ailoaina o le ono solia o suiga Lamatiaga o le Toe Faaleleia iloa a'o le'i a'afia ai le gaosiga.
- Va'aia totonugalemu: O fa'amaumauga uma: SAST, SCA, IaC, ma Mea Lilo, e aliali mai i le tasi tuʻufaʻatasi dashboard. O le mea lea, e mafai e 'au a le DevSecOps ona mata'ituina le alualu i luma, fa'amuamua e ala i le fa'aaogaina, ma fa'aitiitia le pisa.
Auala e Fa'aopoopoina ai le Penetrate Testing
e ui ina su'esu'ega o vaivaiga vs su'ega o le ulufale atu e masani ona foliga mai o se tauvaga, ae e feso'ota'i uma auala e lua.
E aofia i se scanner le lautele ma le saoasaoa, ae o se su'ega tu'ia e maua ai le anotusi ma le loloto.
i Su'esu'ega o le Vaivaiga o le Xygeni, e mafai ona e fa'aauau pea ona e su'esu'eina ma fa'amaonia pea taunu'uga e ala i le faia o su'ega fa'atino pe faia fo'i ni su'ega ua fa'atulagaina.
Faataitaiga:
- Fa'atino su'esu'ega fa'apitoa o vaivaiga i luga o vaega ta'itasi pull request.
- Fa'amaonia taunu'uga autū i suega peni mama i le fa'atulagaina o fa'amaumauga.
- Fa'aautomatika fa'aleleiga i Xygeni Bot mo se toʻafilemu vave ma saogalemu.
O lenei faiga o galuega e faʻamautinoa ai le finauga i le va o su'ega o le ulufale atu vs su'esu'ega o vaivaiga ua mou atu, aua e te maua uma mea e lua: saoasaoa mai le suʻesuʻeina ma le mautinoa mai le suʻega.
Faaiuga: Aisea e sili ai ona galulue faatasi le Penetration Testing vs Vulnerability Scanning
I le faaiuga, o le talanoaga e uiga i su'ega o le ulufale atu vs su'esu'ega o vaivaiga e lē tatau ona fa'atatau i le filifilia o le tasi pe o le isi, ae e fa'atatau i le tu'ufa'atasia ma le atamai o ia mea uma e lua.
Su'esu'ega o vaivaiga vs. su'ega o le ulufale atu E na'o le taimi lava e aoga ai le va'aiga otometi ma le fa'amaoniga moni.
A fa'apipi'i fa'atasi ma meafaigaluega e pei o Su'esu'ega o le Vaivaiga o le Xygeni, e sologa lelei le paleni:
- Se'i fa'aauau pea ona su'esu'e e puipuia ai le toe foʻi i tua.
- Fa'ata'ita'i i lea taimi ma lea taimi e faʻamaonia ai le maufetuunaʻi.
- Toe fa'aleleia otometi ina ia faatumauina le saoasaoa o le tuuina atu.
E le gata i lea, o lenei faʻataʻitaʻiga tuʻufaʻatasia e faʻamautinoa ai o mea uma su'esu'ega o vaivaiga vs. su'ega o le ulufale atu e fa'apaleni le tasi i le isi. O le su'esu'ega e maua ai se malamalamaga faifai pea, ae o su'ega e fa'amaonia ai le mafai moni ona fa'aogaina.
Mulimuli ane, su'ega o le ulufale atu vs su'esu'ega o vaivaiga fesoasoani fa'atasi i 'au atina'e e puipuia a latou vaega atoa SDLC, mai le code punaoa e oo atu i le gaosiga, e aunoa ma le leiloa o le faigofie.
E tusa o le Tusitala
tusia e Fafine Said, Pule o Maketiina o Mataupu e fa'apitoa i le Puipuiga o Talosaga i Puipuiga o Xygeni.
Ua fatuina e Fátima ni anotusi e faigofie ona fa'aogaina e le au atina'e, e fa'avae i luga o su'esu'ega i luga o le AppSec. ASPM, ma DevSecOps. Na te fa'aliliuina manatu fa'apitoa faigata i ni malamalamaga manino ma aoga e fa'afeso'ota'i ai le fa'afouga o le saogalemu i luga o le initaneti ma le a'afiaga o pisinisi.
