O osofaʻiga i le sapalai o polokalama faakomepiuta ua faʻateleina le taatele ma le mataʻutia. Mo se faʻataʻitaʻiga, Gartner ua valoia o le a aafia le 45% o pisinisi uma i se soliga i le 2025. E le gata i lea, Cybersecurity Ventures o loʻo faʻamamafaina ai le ogaoga o lenei taufaʻamataʻu, ma faʻatatauina ai le $138 piliona i faʻaleagaina faaletausaga e oʻo atu i le 2031. O nei valoʻaga uma o loʻo faʻamamafaina ai le manaʻomia vave mo faʻalapotopotoga e faʻamuamua mea e manaʻomia. software supply chain security ma faʻatino ni fuafuaga malolosi e puipuia ai faʻamatalaga taua, faʻagaioiga, ma igoa tauleleia.
Auā o aso nei pipelineE faalagolago tele lava i vaega mai fafo, le tuputupu aʻe o faletusi a isi vaega, taamilosaga vave o le atinaʻeina o polokalama faakomepiuta, filifili sapalai faigata, leai o se vaʻaiga, metotia fou o osofaʻiga, faʻaaogaina o le SaaS, ma punaoa faʻatapulaʻa o loʻo faʻateleina ai le faʻateleina o osofa'iga o le sapalai o polokalama faakomepiutaO le mea lea, e tatau i faʻalapotopotoga ona faʻaaogaina se auala atoatoa ma aoga e foia ai nei luʻitau ma puipuia ai a latou sapalai o polokalama faakomepiuta.
O le ā le Osofa'iga o le Sapalai o Polokalama Faakomepiuta?
ENISA e faamatalaina le a Osofa'iga o le Sapalai o Polokalama Faakomepiuta as "o se fa'aleagaina o se aseta fa'apitoa, e pei o le atina'e o se kamupani tu'uina atu polokalama faakomepiuta ma polokalama fa'apisinisi, e fa'aleagaina ai se sini po'o ni sini fa'apitoa, e pei o tagata fa'atau a le kamupani tu'uina atu polokalama faakomepiuta." I se isi faaupuga, o le Osofaʻiga o le Sapalai o Polokalama Faakomepiuta o se gaioiga leaga e faʻatatau i le sapalai o polokalama faakomepiuta, e faʻamoemoe e faʻaleagaina ma faʻaofi ni vaivaiga poʻo ni polokalama faʻaleaga i totonu o le faagasologa o le atinaʻeina ma le tufatufaina atu. O se taunuuga, o lenei ituaiga o osofaʻiga e faʻaaogaina ai le fesoʻotaʻiga fesoʻotaʻi ma e masani ona faigata o faiga, meafaigaluega, ma vaega e aʻafia i le fausiaina ma le tuʻuina atu o polokalama faakomepiuta.
Vaega autū ma manatu e fesoʻotaʻi ma se Osofaʻiga i le Sapalai o Polokalama Faakomepiuta
E masani ona le lava le atamai i le fa'amata'u i luga o le initaneti ma tusitusiga e uiga i le saogalemu o feso'ota'iga fa'akomepiuta. osofa'iga o le sapalai o polokalama faakomepiuta i ni vaega eseese mo se auiliiliga ma se puipuiga sili atu. O le mea lea, o lenei vaega o loʻo faʻalauiloa mai ai manatu autu e lima ua faʻamatalaina e le Lisi o Mamanu o Osofa'iga a le MITRE. O lenei lisi oloa e fa'atulaga ai mamanu o osofa'iga i le filifili o sapalai e fa'afaigofie ai le au'ili'iliga e fa'aaoga ai punaoa eseese, e aofia ai fa'amata'u fa'atupu fa'alavelave na aoina e le NIST.
Galuega Fa'aosofia: O Le ā
O le gaioiga osofaʻi o le gaioiga patino lea e tuʻuina atu ai se avega leaga poʻo se faʻamoemoega i se faiga. O le iʻuga, e mafua ai le faʻaleagaina tuʻusaʻo.
- Faʻataʻitaʻiga 1: Ua faʻaofiina se polokalama faʻaleagaina i totonu o le polokalama faakomepiuta i le taimi o le fausiaina.
- Faataitaiga 2: Manaoga o le polokalama po o pepa o mamanu ua suia ma le loto leaga.
Osofa'iga Vector: Le Auala
O le vector o le osofaʻiga o le metotia lea e faʻaaogaina e fili e faʻaaoga ai vaivaiga poʻo le faʻagasoloina o vaivaiga. O le mea lea, e faʻaalia ai le auala e maua ai ma faʻaaoga sese ai e tagata osofaʻi le fofola o le osofaʻiga.
- Faataitaiga 1: Ua suia e se tagata osofaʻi le code punaoa i totonu o se fale teu oloa ua faaleagaina.
- Faataitaiga 2: Ua maua e se tagata osofaʻi se avanoa e leʻi faatagaina i pepa faatekinolosi i totonu.
Su'esu'e atili i totonu o la matou Fa'amatalaga o le Vector o Osofa'iga mo fa'amatalaga fa'aopoopo.
Amataga o le Osofa'iga: O Ai
O le amataga e faʻailoa mai ai le pogai o le osofaʻiga. O le mea lea, e faʻamanino ai le matafaioi, tulaga, poʻo le sootaga a le tagata osofaʻi ma le faiga.
- Faʻataʻitaʻiga 1: O se tagata i totonu e iai le avanoa faʻapitoa e fausia ai 'auʻaunaga e suia se tusitusiga.
- Faataitaiga 2: Ua lafoina e se tagata faatupu faalavelave mai fafo se afifi ua faasoesa i totonu o se resitala faitele.
Sini o le Osofa'iga: Le Mafua'aga
O le sini e faamatala ai le pogai o le osofaiga. Ae sili i lo mea uma, e faailoa mai ai mea e mananao le au fili e ausia.
- Fa'alavelave: taofia o auaunaga po'o fausiaina.
- Faiga Pi'opi'o: fa'aitiitia le fa'atuatuaga e ala i le suia o mea taua po'o le source code.
- Fa'ailoaina: fa'asalalauina atu o mea lilo fa'apitoa po'o meatotino tau le atamai.
Aafiaga o le Osofaʻiga: O Taunuuga
Ma le mea mulimuli, o le aafiaga e faʻamatalaina ai taunuuga o se osofaʻiga, ma faʻaalia ai taunuuga mo i latou e tuʻuina atu polokalama faakomepiuta ma tagata faʻaoga.
- Faataitaiga 1: Soo se galuega faatino e faaaogaina se polokalama leaga o le a faaleagaina mulimuli ane.
- Faataitaiga 2: E faʻapipiʻi e tagata polokalama leaga i totonu o a latou polokalama faʻatino e aunoa ma le iloaina.
Osofa'iga Masani o le Sapalai o Polokalama Faakomepiuta
Tele ituaiga o osofa'iga o le sapalai o polokalama faakomepiuta o loʻo iai, ma e tatau i faʻalapotopotoga ona nofouta i ituaiga eseese o lamatiaga i laʻasaga taʻitasi o le taʻamilosaga o le olaga. E faʻavae i luga le fa'avae o le SLSA, le Inisetiute Fa'aleatunuu a le Iunaite Setete o Standardma Tekonolosi (NIST), ma le Ofisa o le Puipuiga o le Initaneti ma le Puipuiga o Atina'e Fa'atekonolosi (CISA), e mafai ona vaevaeina nei taufaamataʻu i ni vaega e fa: punaoa, fausiaina, afifi, ma tulaga lamatia o le faalagolago.
Osofa'iga o le Sapalai o Polokalama Faakomepiuta i le Vaega o le Punaoa
- Tuuina atu le code leaga → vaai pe faapefea Talosaga mo le fagu. fa'aaoga sese or fa'aletonu o le deserialization e le saogalemu fausia ni fogāeleele tuusa'o mo osofa'iga.
- Repo punaoa fa'aletonu
- Fausia mai se punaoa ua suia
- Tusi le code e le saogalemu
- Fa'aleagaina o faila taua → e pei ona fa'amatalaina i le su'esu'ega o le faitoto'a i tua o le chmod 777.
Osofa'iga o le Sapalai o Polokalama Faakomepiuta i le Vaega o le Fausiaina
I le Vaega o le Fausiaina, e tuufaatasia ma tuufaatasia e le au atia'e polokalame (code) i totonu o se lomiga o lo'o galue. auā e matuā tāua tele lenei la'asaga, o lamatiaga e aofia ai le misia o siaki saogalemu i totonu o le CI/CD pipeline, suia o le code pe a uma ona pulea le version, pe faaleagaina le faagasologa o le fausiaina. O le taunuuga, e mafai e polokalame leaga ona totolo atu i totonu o meafaitino e aunoa ma le iloa.
- alo CI/CD → feso'ota'i i Polokalama fa'apolopolo ua uma ona fausia e le GitHub.
- Suia le code pe a uma ona pulea le punaoa
- Faiga o le fausiaina o le maliega fa'aletonu → fa'aitiitia i Iloa vave o lapataiga a le DevSecOps.
- Fa'alavelaveina o le teuina o mea totino
Osofa'iga o le Sapalai o Polokalama Faakomepiuta i le Vaega o le Afifi
le Vaega o le Afifi o le taimi lea tatou te tuʻufaʻatasia ai le code uma e fai ai se oloa mulimuli. O lenei vaega e lamatia aua e ono faʻaaogaina e se tasi ni afifi leaga pe suia nofoaga i luga ole laiga tatou te maua ai. E mafai foʻi e tagata osofaʻi ona laʻuina ni lomiga leaga o afifi lauiloa i nei upega tafaʻilagi.
- Faaaoga le afifi ua faaleagaina → ufiufi i totonu iloiloga o le scan malware.
- Resitala o afifi fa'aletonu
- La'u i luga le afifi ua suia → su'esu'eina i totonu Polokalama fa'atupu fa'alavelave tau fa'atupu fa'alavelave pepelo a le Namso-gen.
Osofa'iga o le Sapalai o Polokalama Faakomepiuta i le Vaega o le Fa'alagolago
I le Vaega o le Fa'alagolago, matou te faʻaopoopoina faletusi ma afifi mai isi vaega i la matou polokalama faakomepiuta. O lenei laʻasaga e lamatia aua o soʻo se faʻafitauli i na vaega e faigofie ma filemu ona salalau atu i le vaega o totoe o le galuega.
- Faaaoga le Fa'alagolago Fa'aletonu → fa'amatalaina i Tulaga lamatia o le DoS i faʻalagolago faʻalilolilo.
- Fa'alagolago ua Le Toe Fa'aaogaina pe ua Vaivai
- Lamatiaga o le Fa'alagolago i le Vaitaimi
- Resitala o Afifi Malie → fa'aitiitia i Meafaigaluega saogalemu a le DevOps ma pulega tulaga lamatia vaega lona tolu.
O Lamatiaga Masani o le Sapalai i Laasaga Taitasi o le SDLC
| Vaega | Lamatiaga Masani | faataitaiga |
|---|---|---|
| puna | • Tuuina atu o se code leaga pe le saogalemu • Fa'aleagaina o faila taua • Fa'aleagaina o le nofoaga teu oloa | XcodeGhost (2015): ua tuiina le code leaga i totonu o le Apple's Xcode compiler, ma salalau atu i iOS apps. |
| fau | • Fa'asolo i tua CI/CD siaki saogalemu • Suia o le code pe a uma ona pulea le punaoa • Fa'aleagaina o fale teu oloa tuai | SolarWinds Orion (2020): na ulufia le fale e le au osofaʻi pipeline, fa'aofiina o se faitoto'a i tua i fa'afouga polokalama ua sainia. |
| afī | • Lafoina o afifi ua suia • Resitala o afifi oona • Tufaina o meafaitino ua faaleagaina | NPM o le EventStream (2018): Na fa'aofi e le tagata osofa'i se faitoto'a i tua i totonu o se afifi NPM lauiloa na la'uina mai i le faitau afe o taimi. |
| Tausiga | • Fa'aaogaina o mea ua tuai pe vaivai ona fa'alagolago i ai • Fa'aaogāina o fa'alagolago fesuia'i • Lomiaina o afifi foliga leaga | XZ Utils Backdoor (2024): toetoe lava a lafo atu se faletusi fa'apipi'i fa'atrojanized i totonu o tufatufaga Linux. |
Tomai Masani o le Osofa'iga o le Sapalai o Polokalama Faakomepiuta
E tusa ai ma le CISO se lipoti a le NIST, o osofaʻiga i le sapalai o polokalama faakomepiuta e masani ona pa'ū i vaega autū e tolu.
Peita'i, o mea na tutupu talu ai nei ua fa'aalia ai isi mea e tatau ona malamalama i ai le au atia'e.
O loʻo i lalo o le a matou faʻalauteleina atu ai metotia sili ona talafeagai faʻatasi ai ma faʻataʻitaʻiga aoga.
Fa'afouga o le Faoa faamalosi
Ua fa'aleagaina e le au osofa'i auala fa'atulafonoina mo fa'afouga ina ia tufatufa atu ai polokalame leaga.
Mo se faʻataʻitaʻiga, o le osofaʻiga a le NotPetya i le 2017 na faʻaaogaina sese ai le 'auʻaunaga faʻafouina o polokalama faʻatau lafoga a le MEDoc i Ukraine, ma maua ai
malware fa'aleagaina e pei o se patch. Ina ia puipuia mai lenei lamatiaga, e tatau i 'au ona fa'aoga iloa ma tali atu i tulaga lamatia mo DevOps o faiga e faʻailoga ai amioga e le masani ai i faʻafouga.
Fa'aleagaina o le Sainiina o Tulafono Fa'atonutonu
O lenei metotia e aofia ai le fa'aaogaina sese po'o le gaoia o tusi fa'amaonia saini aloaia ina ia foliga mai e moni ai le code leaga.
O se mataupu iloga o le CCleaner compromise i le 2017, lea na tufatufa atu ai e le au osofaʻi polokalama faakomepiuta ua faʻapipiʻiina i trojans ua sainia i ni tusi faamaonia aoga.
O le mea lea, e manaʻomia e faʻalapotopotoga ni pulega tuʻufaʻatasi o le amio saʻo e pei o na o loʻo faʻamatalaina i le fuafuaga fa'avae o le saogalemu i luga o le initaneti
Fa'aleagaina o le Open-Source Code
Ua fa'aofi e fili faitoto'a i tua i totonu o afifi lauiloa tatala-punaoa, ona mulimuli ane tosoina lea i le faitau afe o galuega faatino.
O le faʻalavelave a le EventStream NPM ma le XZ Utils backdoor (2024) o loʻo faʻaalia ai le taua tele o lenei mea ua i ai.
E tatau i le au atia'e ona toe iloilo punaoa e pei o Fesili e Masani Ona Fesiligia e uiga i le Saogalemu o le NPM ma faalavelave o le afifi sese i le taina ia aʻoaʻo pe faʻapefea ona ʻalofia le faʻalagolago i mea oona.
Fenumiai i le Faalagolago
Na faʻamatalaina muamua e Alex Birsan i le 2021, o lenei osofaʻiga e faʻaaogaina ai fetoʻai o igoa i le va o resitala o afifi i totonu ma lautele, ma faʻasesēina ai faiga faufale e tosoina mai ai lomiga leaga nai lo afifi i totonu e faʻatuatuaina.
Fa'aletonu o le Ta'aloga ma Afifi Fa'aleaga
E lolomiina e le au osofaʻi ni afifi leaga e tutusa igoa ma faletusi lauiloa (e pei o le "reqeusts" nai lo le "talosaga").
E fa'afuase'i ona fa'apipi'i e le au atia'e nei mea, ma fa'aopoopo atu ai polokalame leaga i totonu o a latou galuega.
O se faʻataʻitaʻiga moni o loʻo iloiloina i le Malware a le Namso-gen ma i la matou lisi o masini su'esu'e polokalame leaga e tatala-punaoa.
fau Pipeline Faasoesa
E pei ona vaʻaia i le faʻafitauli a le SolarWinds Orion, e mafai e tagata osofaʻi ona ulufia 'auʻaunaga fausiaina e faʻaofi ai tulafono leaga i le taimi o le tuʻufaʻatasiga.
O lenei mea e lē mafai ai ona faʻatuatuaina le filifili atoa o mea taua ua sainia. O auala mo le puipuiga e aofia ai le mataʻituina CI/CD fa'amaoni ma vave iloa o lapataiga ma au'ili'ili
Fausia muamua e le GitHub ni tauvaga fa'apolopolo leaga.
O le Foliga o se Osofaʻiga o le Sapalai o Polokalama Faakomepiuta: O le Mataupu SolarWinds
Ae sili i lo mea uma, o le osofaʻiga a le SolarWinds Orion o le faʻataʻitaʻiga sili ona lauiloa o le solia o le sapalai o polokalama faakomepiuta. O loʻo faʻaalia ai le auala e mafai ai e tagata osofaʻi ona gaoioi laʻasaga i lea laʻasaga i le faagasologa o le fausiaina ma, o se taunuuga, faʻasalalau atu ai ni code leaga i le faitau afe o tagata faʻaoga.
Muamua, na ulufale atu tagata osofaʻi i totonu o 'auʻaunaga fau fale a le SolarWinds.
Ina ua maeʻa lena, sa latou faaopoopoina faalilolilo se code leaga i faafouga a Orion.
Talu ai ona o nei faʻafouga sa sainia ma lafoina o ni polokalama faakomepiuta faatuatuaina, e tele kamupani na faʻapipiʻiina e aunoa ma le iloaina o le lamatiaga.
I le aotelega, e silia ma le 18,000 faʻalapotopotoga na aʻafia, ma na maua e le au osofaʻi le avanoa i polokalama e matua maaleale lava.
Mai le vaaiga a se tagata atiaʻe, o lenei osofaʻiga e tuʻuina mai ai ni lesona faigofie se tolu:
- E le lava puipuiga o le tuaoi: na suia e le au osofaʻi le fausiaina pipeline lava ia.
- E taua tele siaki faifai pea: saogalemu build attestations, siakiina o le sa'o, ma le iloa o mea sese e fesoasoani e taofia ai le fa'alavelave.
- E mafai e se fale ua oona ona salalau atu i le lalolagi atoa: tasi pipeline O se fegalegaleaiga fa'alilolilo e mafai ona mafua ai se fa'alavelave tau le saogalemu i le lalolagi atoa.
Xygeni: O le Fa'avae Sili Ona Lelei mo Mea Uma i le Tasi AppSec
Auā e mafai e osofaʻiga o le sapalai o polokalama faakomepiuta ona aʻafia i laʻasaga taʻitasi o le SDLC,
le fausaga atoa o le AppSec, Xygeni, puipuia vaega o le puna, fausiaina, afifi, ma le faalagolago. E maua ai e le au atiaʻe ma le au saogalemu se nofoaga e tasi e puipuia ai, iloa ai, ma faaleleia ai tulaga lamatia i se auala faigofie. O le iʻuga, e te le toe manaʻomia le faʻaaogaina o le tele o meafaigaluega, e aofia ai e le Xygeni le taamilosaga atoa o le olaga.
Puipuiga o le Vaega o Punaoa
I le tulaga o le amataga, o lamatiaga e aofia ai le le saogalemu commits, fale teuoloa ua fa'aleagaina, po'o faila ua suia. E su'esu'e e Xygeni le code i le taimi moni ma le loloto SAST ma le iloa o mea lilo.
E poloka ai fo'i mea leaga commits uma CI/CD guardrails.
O le auala lea, e taofia ai faʻafitauli aʻo leʻi tuua le fale teu oloa.
Puipuiga o le Vaega o Fausiaina
I le taimi o le fausiaina, e ono taumafai tagata osofaʻi e faʻasesē pipelines pe suia mea taua.
Ua fa'amautu e Xygeni le fa'agasologa o le fausiaina fa'atasi ai ma siaki e tausisia le SLSA, fa'amaoniga o le sa'o, ma saini e leai ni ki. E mata'ituina fo'i amioga e le masani ai i totonu CI/CD galuega. O le i'uga, o fa'amaumauga ua fa'aleagaina e fa'ailoa loa ma poloka a'o le'i fa'alauiloaina.
Puipuiga o le Vaega o Afifi
I le vaega o afifi, o resitala ua fa'aleagaina pe o faletusi ua suia e masani ona fa'alauiloa mai ai polokalama leaga. Su'esu'ega laisene ma le iloa o polokalama fa'aeletonika a Xygeni toe iloilo mea totino uma, a'o Ua fautuaina e le AutoFix ni auala fa'aleleia saogalemu fa'atasi ai ma lana au'ili'iliga o Tulaga Lamatia mo le Toe Fa'aleleia. Na'o afifi ua fa'amaonia ma tausisia tulafono e fa'agasolo i luma i le pipeline.
Puipuiga o le Vaega o le Fa'alagolago
O le code a isi vaega o le osofaʻiga sili lea ona tele. Su'esu'ega o le Fa'atulagaina o Polokalama Faakomepiuta a Xygeni (SCA) E sili atu nai lo le lisiina o CVEs, e siaki pe mafai moni ona faʻaaogaina ni code lamatia. E faʻailoa ai foʻi ni malware natia ma ni faʻalagolago lamatia. Ae sili i lo mea uma, e faʻamautinoa ai e naʻo faʻalagolago saogalemu e lafoina e le au atiaʻe.
Mea Lilo ma le Puipuiga o Atina'e Fa'apitoa
E le gata i tulafono ma afifi, e masani ona faʻaaogaina e osofaʻiga mea lilo ua faʻasalalauina pe vaivai foʻi atinaʻe. E su'esu'e e Xygeni ki, fa'ailoga, ma fa'amaoniga ua aliali mai i totonu o le code, configs, ma Docker layers. E mafai foi ona faʻamaonia ma faʻaleaogaina otometi mea lilo ua faʻasalalauina i Toe faaleleia o le AutoFix. I le taim lava lena, IaC mataʻituina e puipuia ai fa'atulagaga sese e ono fa'aaogaina sese e le au osofa'i mulimuli ane.
Sailiiliga ma Fa'aleleia Atamai
O le tele o meafaigaluega e taofi i lapataiga. Ua sili atu le sao o Xygeni. O lana afi AutoFix e fatuina ni fa'apipi'i saogalemu, pull requests, po'o le ta'iala ta'itasi e fa'atatau i le fa'afitauli. O lana va'aiga o le Remediation Risk e fa'aalia ai fo'i po'o le fea fa'asologa o le patch e sili ona saogalemu, ina ia fo'ia e 'au fa'afitauli e aunoa ma le fa'aopoopoina o ni fa'afitauli fou.
Tasi le Fa'avae Tu'ufa'atasi
Ona o le tu'ufa'atasia e Xygeni SAST, SCA, iloa o polokalame leaga, puleaina o mea lilo, IaC su'esu'ega, iloa o mea e le masani ai, ma le fa'amautuina o pulega o le fausiaina i totonu o le tasi fa'avae AppSec,
e tuʻuina atu le ufiufi atoatoa i totonu o le SDLCE maua uma e le au atiaʻe ma le 'au puipuiga le tasi punaoa o le mea moni faatasi ai ma le vaʻaia manino, faʻaleleia aogā, ma le puipuiga malosi mai osofaʻiga a le sapalai oloa.
O mea uma na iloiloina, Xygeni, le fa'avae sili ona lelei o le AppSec, e fesoasoani i 'au e fausia vave ma tumau le saogalemu. I le puipuia o le puna, fausiaina, afifi, ma la'asaga fa'alagolago, ma le fa'aopoopoina o fa'aleleiga otometi i la'asaga ta'itasi, e fa'amautinoa ai ua taofia osofa'iga i le sapalai o polokalama faakomepiuta a'o le'i o'o atu i le gaosiga.
