O le OWASP Top 10 o se tasi o fa'asinomaga e sili ona fa'aaogaina mo le saogalemu o talosaga mo le fa'ailoaina ma le fa'aitiitia o lamatiaga sili ona taua mo le saogalemu o talosaga i luga o le upega tafa'ilagi. O lenei ta'iala e fa'amatalaina ai lamatiaga o le OWASP Top 10, fa'ata'ita'iga moni o le lalolagi, faiga sili ona lelei mo le toe fa'aleleia, ma le auala e fa'aaogaina ai e le AppSec fa'aonaponei ma software supply chain security fesoasoani fofo i faʻalapotopotoga e faʻaitiitia ai le lamatiaga i totonu o le SDLC.
O le Polokalama Puipuiga o Talosaga Tatala i luga o le Upega Tafaʻilagi (OWASP)
O le Galuega Faatino mo le Puipuiga o Talosaga Tatala i luga o le Upega Tafaʻilagi (OWASP) o se faʻalapotopotoga e le o ni polofiti taʻimua e tuuto atu i le faʻaleleia atili o le saogalemu o polokalama faakomepiuta. Ua lauiloa le OWASP i lona manino ma le commitfesoasoani i fofo fa'ale-nu'u, lea ua avea ai ma punaoa autū mo le au atia'e, tagata tomai fa'apitoa i le saogalemu, ma fa'alapotopotoga o lo'o sailia le fa'aaogaina o faiga sili ona lelei mo le saogalemu. I ana sao e tele, o se tasi o mea e sili ona tāua o le OWASP Top 10, o se lisi e fa'afouina pea o tulaga lamatia sili ona taua o le saogalemu o talosaga i luga o le upega tafa'ilagi e a'afia ai talosaga fa'aonaponei. E fa'amamafaina ai vaivaiga sili ona ogaoga i talosaga i luga o le upega tafa'ilagi, e fa'avae i luga o fa'amatalaga moni ma malamalamaaga fa'apitoa.
O le misiona a le OWASP o le fa'afaigofieina lea o le saogalemu ma le malamalama i ai, e ala i le tu'uina atu o meafaigaluega, fa'avae, ma le malamalama e fesoasoani ai i le puipuia o talosaga mai le amataga. O le OWASP Top 10 e avea o se fa'avae aoga e fesoasoani ai i tagata atia'e e taula'i atu i vaivaiga e sili ona taua, ma ia mautinoa e mafai ona latou fa'atinoina lelei fofo talafeagai.
O le OWASP Top 10
O le OWASP Top 10 o se punaoa faavae mo le saogalemu o talosaga mo faalapotopotoga e puipuia talosaga uepi faʻaonaponei. Mo soʻo se faalapotopotoga o loʻo galulue e puipuia talosaga uepi. O loʻo faʻamatalaina ai faʻamataʻu sili ona taua i le saogalemu, ma ofoina atu ni malamalamaaga i auala masani e faʻaleagaina ai talosaga. O vaivaiga o le OWASP Top 10 e faʻamamafaina ai nei lamatiaga sili, ma ofoina atu ni fautuaga e mafai ona faʻatinoina e faʻaitiitia ai. O le faʻatalanoaina saʻo o nei vaivaiga e taua tele mo le faʻamalosia o le saogalemu o soʻo se talosaga.
O le ā le OWASP Top 10 ma a latou fofo?
O le OWASP Top 10 o se pepa fa'alauiloa ua lauiloa i le lalolagi atoa na lolomiina e le Open Web Application Security Project (OWASP). E fa'ailoa mai ai tulaga lamatia sili ona taua o le saogalemu e a'afia ai polokalame fa'aonaponei i luga o upega tafa'ilagi e fa'avae i luga o fa'amaumauga o osofa'iga moni, su'esu'ega a le nu'u, ma au'ili'iliga o alamanuia. O le lisi e fesoasoani i le au atia'e, 'au a le AppSec, inisinia a le DevSecOps, ma ta'ita'i o le saogalemu e fa'amuamua mea vaivai e sili ona lamatia ai polokalame, API, ma filifili sapalai o polokalama faakomepiuta.
O le OWASP Top 10 o loʻo iai nei e aofia ai vaega o le saogalemu e pei o le Broken Access Control, Injection, Security Misconfiguration, Vulnerable and Olddated Components, Software and Data Integrity Failures, ma le Server-Side Request Forgery (SSRF). O le malamalama i nei tulaga lamatia ma le faʻatinoina o taʻiala talafeagai mo le toe faʻaleleia e taua tele mo le fausiaina o polokalama saogalemu, faʻaitiitia le lamatiaga o le saogalemu o polokalama, ma le puipuia o faʻalapotopotoga mai faʻamataʻu faʻaonaponei.
Vaega e 10 Sili ona Lelei a le OWASP
Va'aiga Pupuu i Vaivaiga e 10 Sili ona Lelei a le OWASP
| Vaega o le OWASP | Tulaga Tulaga Muamua | Aafiaga masani |
|---|---|---|
| Pulea Avanoa Gagana | Avanoa lē fa'atagaina | Fa'aaliga fa'amatalaga |
| Fa'aletonu o le Fa'ailogaina | Fa'ailoga vaivai | Gaoi fa'amatalaga ma'ale'ale |
| Injection | Fa'atinoga leaga o le ulufale | Fa'aleagaina o fa'amaumauga |
| Fuafuaga Lē Saogalemu | Vaivaiga o le fausaga o fale | Vaivaiga i le faiga atoa |
| Faasaoga le faʻasaʻo | Fa'atonu le sa'o | Avanoa lē fa'atagaina |
| Vaega vaivai | Fa'alagolago ua tuai | Fa'aletonu o le sapalai o sapalai |
| Fa'amaoni Fa'aletonu | Pulea vaivai o faasinomaga | Fa'amauina o teugatupe |
| Fa'aletonu o le Sa'o o Polokalama Faakomepiuta | Fa'alavelave i le fausiaina/fa'alagolago | Fa'aofiina o polokalama fa'aleaga (malware) |
| Fa'aletonu o le Fa'amaumauina ma le Mata'ituina | Fa'atuai ona iloa | Taimi umi e nofo ai le tagata osofa'i |
| SSRF | Fa'aaogā sese o talosaga i totonu | Fa'aletonu o auaunaga i totonu |
1. Pulea o le Avanoa ua Malepelepe (A01:2021)
O le ā le Pulea o le Avanoa ua Malepelepe?
E tupu le Pulea o le Avanoa Fa'aletonu pe a maua e tagata fa'aoga le avanoa e le'i fa'atagaina i fa'amaumauga po'o gaioiga. Mo se fa'ata'ita'iga, e ono fa'a'ole'ole e se tagata osofa'i se URL e maua ai le avanoa a le pule. Na maua e le OWASP lenei fa'afitauli i le 94% o talosaga na fa'ata'ita'iina, ma avea ai ma se tasi o vaivaiga sili ona taatele o le saogalemu o le OWASP Top 10.
Togafitiga mo le Pulea o le Avanoa ua Lepeti
Ina ia faʻaitiitia lenei lamatiaga, faʻamalosia le avanoa e sili ona itiiti le avanoa, faʻatino le faʻamaoniga o le tele o vaega (MFA) mo gaioiga maaleale, ma siaki soo faʻatagaga a tagata faʻaoga.
Puipuiga o Mea Lilo a Xygeni E fesoasoani e puipuia faʻamatalaga taua e pei o ki API ma tokens, ma faʻaitiitia ai le lamatiaga o le solia o le puleaina o avanoa. O le mataʻituina faifai pea e faʻamautinoa ai le saʻo o lau polokalama.
Fa'ata'ita'iga o le Lalolagi o Rael
In 2019, O le First American Financial Corp ua fa'aalia i luga 850 miliona fa'amaumauga maaleale ona o le le pulea lelei o le ulufale atu. E mafai e tagata osofaʻi ona suia se URL e maua ai pepa faalilolilo. I le le amanaiaina o le puipuia lelei o nofoaga e maua ai, na tuua ai e le kamupani faamatalaga taua e vaivai. O lenei mea na tupu e faamamafaina ai le manaomia ona faamaonia matafaioi a tagata faaaoga ma ia mautinoa e na o tagata ua faatagaina e mafai ona maua faamatalaga taua.
Aiseā e tāua ai i aso nei? O polokalame faʻaonaponei e faʻaalia ai API, auaunaga ao, ma matafaioi faʻasoa a tagata faʻaoga, ma avea ai le ulufale e leʻi faʻatagaina ma se tasi o tulaga lamatia masani ma faʻaleagaina o le saogalemu e aʻafia ai faʻamatalaga taua a pisinisi.
2. Fa'aletonu o le Fa'ailogaina (A02:2021)
O a Fa'aletonu Fa'acryptographic?
E tutupu fa'aletonu o le fa'ailoga faalilolilo pe a le manuia polokalama i le fa'ailogaina lelei o fa'amatalaga maaleale, ma mafai ai e tagata osofa'i ona pu'eina ma fa'aaoga sese. E taua tele le fa'ailogaina malosi mo le puipuia o fa'amatalaga maaleale.
Togafitiga mo Faaletonu o le Cryptographic
Fa'alilolilo fa'amaumauga ua teuina i le AES-256 ma fa'amalosia le TLS 1.2 pe maualuga atu mo fa'amaumauga o lo'o feavea'i. Fa'afesuia'i soo ki fa'alilolilo ma fa'amautu i latou i ni pulega talafeagai mo le ulufale atu.
O le Atina'e o Xygeni e fai ma Tulafono Fa'atonutonu (IaC) Puipuiga siaki tulaga fa'alilolilo i le taimi o le fa'atinoina e puipuia ai vaivaiga i faiga fa'avae fa'alilolilo.
Fa'aa'oa'oga Moni i le Lalolagi
I 2017, Exactis, o se kamupani e aoina faʻamaumauga, ua fa'aalia ai fa'amaumauga ta'itasi e 340 miliona ona o le fa'ailogaina sese. Na maua e le au osofa'i fa'amatalaga patino e pei o igoa, tuatusi, ma numera telefoni ona o fa'amatalaga na teuina i tusitusiga faigofie. O lenei soliga o lo'o fa'aalia ai le lamatiaga o le le mafai ona fa'ailogaina fa'amatalaga maaleale. I le fa'aogaina o le fa'ailogaina talafeagai standardE pei o le AES-256 mo faʻamaumauga o loʻo teuina ma le TLS mo faʻamaumauga o loʻo feaveaʻi, e mafai e faʻalapotopotoga ona puipuia a latou faʻamaumauga mai le ulufale e leʻi faʻatagaina.
Aiseā e tāua ai i aso nei? O loʻo faʻateleina ona teuina ma fesiitaʻi e faʻalapotopotoga faʻamatalaga taua a tagata faʻatau, tupe, ma faʻamaoniga i luga o siosiomaga ao, ma avea ai faʻamatalaga faʻalilolilo malosi ma mea e taua mo le puipuia o le le faalauaiteleina ma le tausisia o tulafono.
3. Tui (A03:2021)
O a Osofa'iga Fa'a-Injection?
O vaivaiga o le tui, e pei o le SQL Injection, e mafai ai e tagata osofaʻi ona faʻaofi ni code leaga i lau polokalama, ma mafai ai ona latou faʻaogaina pe gaoia faʻamatalaga. O osofaʻiga tui o loʻo tumau pea o se tasi o lamatiaga sili ona taatele ma aʻafia i le saogalemu o talosaga e aʻafia ai talosaga uepi i aso nei.
Togafitiga mo Osofaiga tui
Faaaoga fesili fa'atulagaina ma fa'amaonia mea na fa'aofi mai e tagata fa'aoga. Aloese mai fesili fa'a-dynamic pe a mafai e fa'aitiitia ai tulaga lamatia.
Iloa o le Anomaly a Xygeni mataʻitu CI/CD pipelines mo amioga e le masani ai, e mafai ona pu'eina taumafaiga e fai ai tui i le taimi moni lava.
Fa'aa'oa'oga Moni i le Lalolagi
In 2017, Equifax mafatia a tele fa'amaumauga soli lea na faʻaalia ai faʻamatalaga patino a 147 miliona tagata faʻatau. O le soliga na mafua mai i se Vaivaiga o le tui SQL, e mafai ai e tagata osofaʻi ona faʻaogaina le upega tafaʻilagi a le kamupani ma maua faʻamatalaga taua o loʻo teuina i totonu o le faʻamaumauga. E tatau i faʻalapotopotoga ona faʻamautinoa o loʻo faʻamamaina lelei e a latou polokalama mea e ulufale mai ai tagata faʻaoga. O le faʻaleleia soo ma le faʻamautuina o fesili SQL semanu e mafai ona puipuia ai lenei vaivaiga.
Aiseā e tāua ai i aso nei? O vaivaiga o le fa'aofiina o lo'o fa'aauau pea ona a'afia ai polokalame fa'akomepiuta, API, ma ala o galuega atina'e fesoasoani a le AI lea e o'o atu ai fa'amatalaga e le'i fa'amaonia i fa'aliliuupu, fa'amaumauga, po'o polokalama fa'afoe.
4. Fuafuaga Lē Saogalemu (A04:2021)
O le ā le Fuafuaga Lē Saogalemu?
E tupu le Fuafuaga Lē Saogalemu pe a lē mafai e le au atiaʻe ona faʻapipiʻi le saogalemu i le vaega muamua o le mamanu, lea e mafua ai ni vaivaiga e faigata ona toe faʻaleleia mulimuli ane. E faigata ona toe faʻaleleia nei vaivaiga pe a oʻo atu talosaga i siosiomaga gaosiga.
Togafitiga mo Fuafuaga Lē Saogalemu
Fa'aofi mataupu fa'avae o le mamanu saogalemu ma le fa'ata'ita'iga o lamatiaga i le amataga o le olaga atoa o le atina'e. Iloilo soo lau mamanu mo ni vaivaiga e ono tula'i mai ma fa'aleleia a'o le'i avea ma ni fa'afitauli matuia.
Xygeni's Application Security Posture Management (ASPM) e faʻailoa ai ni faʻaletonu i le mamanu aʻo leʻi faʻaaogaina e tagata osofaʻi, ma faʻamautinoa ai o loʻo faʻapipiʻi e le au atiaʻe le saogalemu i totonu oa latou oloa mai le amataga.
Fa'aa'oa'oga Moni i le Lalolagi
O se faʻataʻitaʻiga lata mai o le lalolagi moni o Fuafuaga Lē Saogalemu o le Vaivaiga o le Microsoft Exchange ProxyShell i le 2021Na fa'aaogā e le au osofa'i ia fa'aletonu o le mamanu i faiga fa'amaonia ma le pulea o avanoa a le Microsoft Exchange, ma mafai ai ona latou fa'atinoina mamao le code i luga o 'au'aunaga vaivai. O nei vaivaiga e le o ni fa'aletonu o le fa'atinoina, ae o ni vaivaiga autu o le mamanu na mafai ai ona fa'aaogaina e tusa lava pe ua fa'aogaina sese ni fa'apipi'iga. O lenei soliga e fa'amamafaina ai le taua o le tu'ufa'atasia o le saogalemu i le vaega o le mamanu e puipuia ai fa'aletonu mai le fausiaina i totonu o le polokalama.
Aiseā e tāua ai i aso nei? O vaivaiga o le saogalemu e faʻalauiloa mai i le taimi o le mamanu e faigata ma taugata ona toe faʻaleleia mulimuli ane, aemaise lava i siosiomaga e faʻaogaina ai le ao ma siosiomaga e vave ona suia.
5. Fa'atulagaga Sese o le Puipuiga (A05:2021)
O le ā le Fa'atulagaga Sese o le Saogalemu?
E tutupu fa'aletonu o le Puipuiga pe a fa'aaogaina e tagata osofa'i ni faiga e le'i fa'atulagaina lelei, e pei o faiga e fa'aogaina ai fa'atulagaga masani po'o le tu'ua o uafu e le mana'omia e tatala. O fa'aletonu o le puipuiga o le ao ma polokalama faakomepiuta o lo'o tumau pea o se tasi o mafua'aga autū o fa'alavelave tau le saogalemu o le ao ma polokalama faakomepiuta.
Togafitiga mo Faasaoga le faʻasaʻo
Fa'aautomatika siaki fa'atulagaga e fa'aaoga ai Atina'e e pei ole Code (IaC) ma faia ni su'esu'ega masani o le saogalemu. Ia fa'afouina pea polokalama uma i fa'afouga aupito lata mai.
Xygeni's IaC Security su'esu'ega mo fa'atulagaga sese a'o le'i fa'atinoina ma fa'amalosia faiga fa'avae saogalemu i tulaga tutusa i siosiomaga uma.
Fa'aa'oa'oga Moni i le Lalolagi
I 2018, NASA na aʻafia i se soliga ona o fa'aoga sese in Atlassian JIRA na faʻaalia ai faʻamatalaga taua o galuega faatino ma tagata faigaluega. Na maua e le au osofaʻi faʻamatalaga ona o le faʻatulagaga tatala. O siaki saogalemu otometi ma le faʻamalosia o faiga faʻavae faʻatulagaina talafeagai e mafai ona puipuia ai lenei soliga. O suʻesuʻega masani semanu e iloa ai le vaivaiga aʻo leʻi faʻaaogaina e le au osofaʻi.
Aiseā e tāua ai i aso nei? Auaunaga ao ua sese le faatulagaina, CI/CD pipelines, koneteina, ma fesoʻotaʻiga faʻapulega ua aliali mai o loʻo tumau pea o se tasi o mafuaʻaga autū o soliga o le saogalemu i aso nei.
6. Vaega Vaivai ma ua Tuai (A06:2021)
O a Vaega Vaivai ma Vaega ua Tuai?
E tutupu vaega vaivai ma tuai pe a e faʻaaogaina faletusi poʻo faʻavae mai isi vaega e iloa ai ni faʻaletonu tau puipuiga. E mafai e tagata osofaʻi ona faʻaaogaina nei vaivaiga e faʻaleagaina ai lau talosaga. O se taufaʻamataʻu mataʻutia tele lea, aua e oʻo atu i le 60% o talosaga faʻaonaponei e fausia i vaega mai isi vaega.
Togafitiga mo Vaega Vaivai ma Ua Tuai
Fa'afou soo faletusi ma mea e fa'alagolago i ai isi vaega, ma fa'aaoga le Software Composition Analysis (SCA) meafaigaluega e iloa ai ma faʻaleleia ai vaivaiga.
Xygeni's Open Source Security e su'esu'e au mea e fa'alagolago i ai e puipuia ai le fa'aaogaina o vaega ua tuai pe leaga, e fesoasoani ia te oe e tausia se polokalama saogalemu.
Fa'aa'oa'oga Moni i le Lalolagi
In 2017, Apache Struts sa i ai se vaivaiga e leʻi faaleleia lea na mafua ai le Equifax soli, e aʻafia ai le faitau miliona o tagata faʻaoga. Sa i ai le vaivaiga i totonu Apache Struts 2, o se faʻavae e faʻaaogaina lautele, ma e leʻi faʻaaogaina e Equifax le patch i le taimi atofaina. O lenei mea na tuʻua ai a latou polokalama e ono faʻaaogaina sese. O faʻafouga vave ma le suʻesuʻeina masani o vaivaiga semanu e puipuia ai lenei soliga.
Aiseā e tāua ai i aso nei? O polokalame faʻaonaponei e faʻalagolago tele i afifi tatala punaoa ma faletusi a isi vaega, ma avea ai osofaʻiga i le sapalai o polokalame faakomepiuta ma faʻalagolago vaivai o se popolega tele a le AppSec.
7. Fa'aletonu o le Fa'amaoniga (A07:2021)
O a ni Fa'aletonu o le Fa'ailoaina ma le Fa'amaoniga?
E tutupu nei vaivaiga pe a vaivai pe le faʻatinoina lelei auala e faʻamaonia ai, ma mafai ai e tagata osofaʻi ona faʻalavelave i pulega saogalemu.
Togafitiga mo Fa'aletonu o le Fa'ailoaina ma le Fa'amaoniaina
Fa'atino ni faiga fa'avae malolosi mo upu fa'alilolilo, fa'amalosia le fa'amaoniga o le tele o vaega (MFA), ma siaki fa'amaumauga o fa'amaoniga e puipuia ai le ulufale e le'i fa'atagaina.
E fesoasoani le Puipuiga o Mea Faalilolilo a Xygeni e puipui au fa'amaoniga, ma fa'aitiitia ai le lamatiaga o le tafe o fa'amatalaga i le taimi o le fa'agasologa o le fa'amaoniga.
Fa'aa'oa'oga Moni i le Lalolagi
In 2020, o le Puepu saogalemu mama na mafua le soliga ona o upu faataga vaivai. Na faʻaaogaina e le au osofaʻi upu faataga faigofie ma maua le avanoa i vitio ola mai afe o meapueata a tagata fa'aoga. O lenei soliga e faʻamamafaina ai le manaʻoga tele mo ni faiga faʻamaonia malosi. O le mea lea, o le faʻatinoina fa'amaoniga fa'afuainumera (MFA) ma le faamalosia faiga faavae upu faataga malosi semanu e faigofie ona taofia le ulufale e le'i fa'atagaina.
Aiseā e tāua ai i aso nei? O faiga vaivai o le fa'amaoniga o lo'o fa'aauau pea ona mafai ai ona fa'oa fa'alilolilo teugatupe, osofa'iga fa'atumuina o fa'amaoniga, ma le ulufale fa'atagaina i luga o le SaaS, ao, ma enterprise talosaga.
8. Fa'aletonu o le Sa'o o Polokalama Faakomepiuta ma Fa'amaumauga (A08:2021)
O a Fa'aletonu o Polokalama Faakomepiuta ma Fa'amaumauga?
E tutupu nei vaivaiga pe a le puipuia e le code po'o le infrastructure mai le fa'alavelave. E mafai e tagata osofa'i ona fa'aleagaina le build. pipelines, fa'alagolago, po'o faiga fa'atino, tuiina o tulafono fa'aleaga i fa'afouga fa'atuatuaina. O lenei ituaiga o fa'aletonu ua avea ma popolega tele ona o le fa'atupula'ia o osofa'iga a le sapalai, lea e o'o lava i vaega fa'atuatuaina mai isi vaega e fa'atatau i ai e fa'alavelave i feso'ota'iga.
Togafitiga mo Fa'aletonu o le Sa'o o Polokalama Faakomepiuta ma Fa'amaumauga
Ina ia faʻaitiitia lenei mea, faʻatino le sainia o tulafono, faʻaaoga ni faiga faʻavae saogalemu, ma faʻamaonia le saʻo o vaega uma a isi vaega.
Xygeni's CI/CD Security fa'amautinoa o lau pipelineE saogalemu ma mata'ituina mea sese. E mafai e le Xygeni's Anomaly Detection ona fa'ailoa mai gaoioiga masalomia e ono fa'ailoa mai ai le fa'alavelave.
Fa'aa'oa'oga Moni i le Lalolagi
In 2024, o se osofaʻiga taua i le filifili o sapalai ua faʻatatauina XZ Utils, o se faletusi fa'apipi'i e fa'aaogaina lautele i polokalama Linux. O le XZ Utils o se meafaigaluega taua e fa'aaogaina mo le fa'apipi'iina o faila, e fa'atuatuaina e le faitau afe o fa'alapotopotoga. Peita'i, na manuia le fa'aleagaina e le au osofa'i le fa'agasologa o le fausiaina o le poloketi e ala i le tuiina o se faitoto'a i tua i totonu o le code.
E leʻi matauina e le au osofaʻi mo sina taimi, o lona uiga o polokalama e faʻalagolago i le faletusi ua faʻaleagaina sa faigofie ona faʻatinoina mamao ma faʻaaogaina atili. O se taunuuga, na maua ai e nei tagata osofaʻi le pulea o polokalama ua aʻafia, ma oʻo atu ai i le solia o faʻamaumauga ma le faʻaleagaina o faʻamatalaga taua.
O lenei mea na tupu o se faamanatu manino lea o tulaga matautia e mafua mai i osofa'iga sapalai. E oo lava i se faletusi e tele ina faatuatuaina e mafai ona faasesēina e faaleagaina ai le tele o faiga. E ala i le faamautinoaina o faiga fausia saogalemu, faaaogaina o metotia e sainia ai code, ma le mataituina pea o vaega a isi vaega, e mafai e faalapotopotoga ona puipuia ia vaivaiga mai le ulufale atu i totonu oa latou faiga.
Aiseā e tāua ai i aso nei? Osofa'iga o le sapalai o polokalama faakomepiuta e fa'atatau i le fausiaina pipelines, resitala o afifi, faʻalagolago, ma CI/CD ua avea faiga fa'akomepiuta ma se lamatiaga tele mo le atina'eina o polokalama faakomepiuta fa'aonaponei.
9. Fa'aletonu o le Fa'amaumauga ma le Mata'ituina o le Puipuiga (A09:2021)
O a ni Fa'aletonu o le Puipuiga o le Fa'amaumauga ma le Mata'ituina?
E tutupu nei faaletonu pe a le faamaumauina lelei e polokalama ni mea e tutupu i le saogalemu pe leai foi ni auala e mataituina ai. A aunoa ma ni faamaumauga auiliili, e faigata ona iloa ma tali atu i osofaiga. O nei vaivaiga e masani ona faatuai ai le iloa o soliga, ma mafai ai e tagata osofaʻi ona faʻaaogaina polokalama mo se taimi umi.
Togafitiga mo Fa'aletonu o le Fa'amaumauga ma le Mata'ituina o le Saogalemu
Ia fa'agaoioia le fa'amaumauga atoatoa mo gaioiga taua uma, teu fa'amaumauga ma le saogalemu, ma ia mautinoa o lo'o mata'ituina mo gaioiga masalomia. E le gata i lea, fa'aaoga meafaigaluega otometi e lapata'ia ai oe i ni fa'amata'u e ono tula'i mai.
Iloa o le Anomaly a Xygeni fesoasoani e iloa ai gaoioiga e le masani ai i le taimi moni. E le gata i lea, CI/CD E faʻamautinoa e le puipuiga o loʻo faʻaaogaina pea faʻatulagaga o le faʻamauina ma le mataʻituina i siosiomaga uma.
Fa'aa'oa'oga Moni i le Lalolagi
In 2023, Uber na aʻafia i se soliga o faʻamaumauga lea ua fa'aleagaina fa'amatalaga patino a le faitau afe o avetaavale. Na tupu le soliga ina ua faia e se kamupani loia lona tolu, Genova Burns, na aʻafia i se faʻalavelave tau puipuiga, ma faʻaalia ai faʻamaumauga. E ui lava i le mea moni na faʻagaoioia faʻamatalaga lapatai, ae sa le mafai e polokalama mataʻituina a Uber ona iloa ma tali atu i le osofaʻiga i se taimi vave.
Na maua e le au osofaʻi faʻamatalaga patino, e aofia ai igoa, numera telefoni, ma faʻamaumauga o le avetaʻavale. O lenei faʻatuai na mafua ona o le le lava o faʻamaumauga atoatoa ma le le lava o faiga e mataʻituina ai.
Ana faapea na mata'ituina lelei e Uber le avanoa i ana polokalama ma fa'atino ni faiga sili atu ona lelei mo le teuina o fa'amaumauga, semanū e vave ona latou iloa le soliga. O le i'uga, semanū e mafai e le kamupani ona fa'aitiitia le fa'aleagaina o le igoa ta'uleleia ma tupe gau. O lenei soliga e fa'amamafaina ai le taua tele o le tausia o faiga lelei mo le teuina o fa'amaumauga ma le mata'ituina ina ia vave iloa ma fa'aitiitia ai fa'amata'u.
Aiseā e tāua ai i aso nei? A aunoa ma se vaaiga lelei ma le mataʻituina, e faigata i faʻalapotopotoga ona vave iloa osofaʻiga, ma e mafai ai ona lē iloa tagata osofaʻi mo se taimi umi.
10. Talosaga Fa'asese i le Itu o le 'Au'aunaga (SSRF) (A10:2021)
O le ā le Faiga Fa'asese o Talosaga i le Itu o le 'Au'aunaga?
E tupu le SSRF pe a fa'a'ole'ole e tagata osofa'i se 'au'aunaga e faia ni talosaga i nofoaga e le'i mafaufauina, e masani ona maua ai auaunaga i totonu e tatau ona fa'atapula'aina. O lenei vaivaiga e mafai ai e tagata osofa'i ona maua fa'amatalaga taua pe fa'atino ni poloaiga i totonu o faiga fa'alotoifale.
Togafitiga mo le SSRF
Ina ia taofia le SSRF, fa'amaonia uma fa'amatalaga a tagata fa'aoga ma fa'atapula'a le mafai e le 'au'aunaga ona faia ni talosaga e alu i fafo. E le gata i lea, fa'aaoga lisi fa'atagaina e pulea ai po'o fea URL e mafai ona maua e le 'au'aunaga.
Xygeni's CI/CD E fesoasoani le saogalemu e mata'ituina pipelines mo ni vaivaiga e ono tula'i mai i le SSRF. E le gata i lea, e mafai e le Xygeni's Anomaly Detection ona pu'eina ni mamanu o talosaga e le'i mafaufauina pe masalomia.
Fa'aa'oa'oga Moni i le Lalolagi
In 2022, o se vaivaiga tele i Microsoft Exchange (CVE-2022-41040) sa fa'aaogaina e tagata osofa'i e fa'aaoga ai metotia SSRF. Sa mafai e tagata osofa'i ona auina atu ni talosaga leaga i le 'au'aunaga Exchange, ma sopo'ia ai puipuiga saogalemu i totonu.
O le taimi lava na ulufale ai i totonu, na ulufale atu ai tagata osofaʻi i totonu o polokalama ma faaleagaina ai faamatalaga taua. I le fa'aaogaina o le SSRF, na latou maua le avanoa e aunoa ma se faatagaga i punaoa fa'atapula'aina i totonu, ma o'o atu ai i le solia tele o le saogalemu.
E matuā mata'utia vaivaiga o le SSRF auā e maua ai e le au osofa'i le avanoa i totonu o faiga fa'alotoifale e le tatau ona fa'aalia i tagata lautele. Ana fa'atinoina e Microsoft se fa'amaoniga malosi o le ulufale mai ma fa'atapula'aina o talosaga e alu atu, semanū e mafai ona latou poloka taumafaiga a le au osofa'i e fa'aaoga lenei vaivaiga. O lenei soliga ua fa'aalia ai le taua o le puleaina o talosaga a le 'au'aunaga i punaoa fa'alotoifale ma'ale'ale ma ia mautinoa e na'o punaoa fa'atuatuaina ma fa'amaonia e mafai ona fegalegaleai ma i latou.
Aiseā e tāua ai i aso nei? Ua faʻateleina e fausaga faʻavae i luga o le ao ma API i totonu le aʻafiaga o vaivaiga o le SSRF, lea e faʻaaogaina e le au osofaʻi e maua ai auaunaga i totonu ma faiga faʻamaumauga maaleale.
Aiseā e Tāua Pea ai le OWASP Top 10
le OWASP 10 vaivaiga pito i luga e taua tele mo faʻalapotopotoga o loʻo taumafai e puipuia a latou talosaga mai faʻamataʻu masani ma mataʻutia. O nei lamatiaga e le o ni faʻataʻitaʻiga; o loʻo faʻatusalia ai lamatiaga moni e mafai ona oʻo atu ai i le solia o faʻamaumauga, leiloa o tupe, ma le faʻaleagaina o le igoa lelei. I le faʻatinoina o le taulaʻi atu i nei vaivaiga, e mafai e faʻalapotopotoga ona faʻaitiitia tele le lamatiaga o osofaʻiga manuia ma faʻamautinoa o a latou faiga e teteʻe atu i faʻamataʻu o loʻo faʻatupulaʻia.
E le gata i lea, o le faʻatinoina o fofo fautuaina i le lisi o vaivaiga o le OWASP Top 10 e fesoasoani i faʻalapotopotoga e faia se auala faʻataʻatitia i le saogalemu. Mo se faʻataʻitaʻiga, o le faʻamalosia o le puleaina o avanoa, faʻamautuina o faiga faʻalilolilo, ma le faʻaitiitia o lamatiaga o le sapalai e taua tele i le foʻia o nei vaivaiga. O se taunuuga, e faʻaitiitia ai e faʻalapotopotoga le tele o osofaʻiga, ma faigata ai mo tagata osofaʻi ona faʻaaogaina vaivaiga i le faiga.
A o faʻatupulaʻia pea faʻamataʻu faʻatekinolosi, e taua tele mo faʻalapotopotoga ona faʻamuamua vaivaiga e ono tulaʻi mai. O le faia o se gaioiga i se taimi vave, e faʻamautinoa ai e faʻalapotopotoga le puipuiga mo se taimi umi mo a latou polokalama ma faʻatumauina le faʻatuatuaga o latou tagata faʻaoga.
I tua atu o vaivaiga masani o le OWASP Top 10, o loʻo faʻateleina ona feagai faʻalapotopotoga ma afifi tatala punaoa leaga, osofaʻiga fenumiai faʻalagolago, faʻasalalauga typosquatting, tulafono le saogalemu na gaosia e le AI, CI/CD pipeline fa'alavelave fa'aleaga, fa'aalia o mea lilo, ma polokalame leaga o le sapalai o polokalama faakomepiuta.
O polokalame fa'aonaponei a le AppSec ua fa'ateleina ona tu'ufa'atasia le ta'iala a le OWASP ma software supply chain security, saogalemu o le AI, ma le auiliiliga o tulaga lamatia i le taimi e faʻatino ai e foia ai faʻafitauli o osofaʻiga o loʻo faʻatupulaʻia pea.
Auala e Lagolago ai e Xygeni ia Fuafuaga a le OWASP ma le OWASP SAMM
Tulai atu i le OWASP 10 vaivaiga pito i luga e taua tele mo le puipuia o polokalame faakomepiuta. Ae peitai, e lē gata iinā le fa'amautuina o lau talosaga. Fa'ata'ita'iga Matutua o le Fa'amautinoaga o Polokalama Fa'akomepiuta a le OWASP (SAMM) e maua ai se fa'avae mo le iloiloina ma le fa'aleleia atili o lou tulaga matua i le puipuiga i le ta'amilosaga atoa o le atina'eina o polokalama faakomepiuta (SDLC). Faʻatasi O meafaigaluega saogalemu atoatoa a Xygeni, e le gata ina mafai e faʻalapotopotoga ona faʻaitiitia le OWASP 10 vaivaiga sili ona lelei i le saogalemu ae faʻaleleia atili ai foʻi lo latou tulaga maualuga o le puipuiga, e pei ona faʻamatalaina e le OWASP SAMM.
Fa'amalosia le Puipuiga o Talosaga ma Xygeni
Ua fa'amalosia e Xygeni fa'alapotopotoga e fa'afetaui le lisi o vaivaiga pito i luga e 10 a le OWASP a'o fa'avavevaveina le fa'aaogaina o le OWASP SAMM, e fesoasoani ai i fa'alapotopotoga e fa'aleleia atili pea le tulaga o le saogalemu o polokalama faakomepiuta. E ala i le fa'aautomatikaina o pulega o le saogalemu, fa'aavanoaina o fa'amuamua e fa'avae i luga o tulaga lamatia, ma fa'amalosia le puleaina o mea tutupu, e fesoasoani ai Xygeni i fa'alapotopotoga e fausia ni polokalama faakomepiuta saogalemu ma mautu, ma fa'aitiitia lelei ai le lamatiaga o le solia o le saogalemu.
E ala i le mata'ituina i le taimi moni, iloa otometi o vaivaiga, ma le fa'amalosia o tulafono fa'avae i totonu o le SDLC, e fa'afaigofieina e Xygeni taumafaiga mo le puipuiga ma le tausisia o tulafono, e ogatasi ma faiga sili ona lelei a le OWASP SAMM. O lenei mea e mafai ai e fa'alapotopotoga ona fa'atupula'ia lo latou tulaga maualuga i le puipuiga, fa'atasi ai ma se fa'afanua manino mo le fa'aleleia atili pea.
Faia se Gaoioiga Nei e Puipui ai Au Talosaga
le OWASP 10 vaivaiga pito i luga fa'ailoa mai tulaga lamatia sili ona taua o le saogalemu o lo'o feagai ma fa'aoga fa'aonaponei. I le mulimuli i le Taiala a le OWASP ma le faʻatinoina o faiga sili ona lelei o loʻo faʻamatalaina iinei, e mafai ona e puipui lau faʻalapotopotoga mai nei taufaʻamataʻu ma fausia ni polokalame e tetee atu i osofaʻiga faigata.
Fa'amalosia le Puipuiga o Lau Talosaga ma Software Supply Chain Security.
E manaʻomia e polokalama faʻaonaponei mea e sili atu nai lo le suʻesuʻega masani o vaivaiga. Xygeni fesoasoani i faʻalapotopotoga e faʻailoa, faʻamuamua, ma toe faʻaleleia tulaga lamatia e 10 pito i luga o le OWASP i faʻamaumauga o punaoa, faʻalagolago i punaoa tatala, CI/CD pipelines, atina'e o le ao, ma auala fa'atino o atina'e e fesoasoani i le AI.
Ia iloa pe fa'apefea ona fesoasoani Xygeni i 'au a le AppSec ma DevSecOps e fa'aitiitia le lamatiaga i faiga fa'aonaponei SDLC!
