O le ā le CWE?

Malamalama i le Fa'amaumauga o Vaivaiga Masani mo DevSecOps #

Afai e te faaaluina se taimi e lava e iloilo ai sailiiliga o le saogalemu, e te vaaia mulimuli ane ia mamanu lava e tasi e toe aliali mai pea lava pea: SQL injection iinei, o se deserialization le saogalemu iina, o se faamaoniga o le input ua galo i se mea e te lei faamoemoeina. A maeʻa sina taimi, o inisinia uma o le AppSec ma le au DevSecOps uma e tauivi ma le fesili autu lava e tasi e tulaʻi mai i le taimi lava e te taumafai ai e aumaia le faatulagaga i le vevesi: o le a le mea moni o loʻo faʻavasegaina e le CWE, ma aisea e taua tele ai pe a e taumafai e faʻaogaina e 'au inisinia ma le saogalemu le gagana e tasi? O lenei glossary e faʻamatala ai le mea o se CWE, e le mai se tulaga faʻavae ae mai le vaaiga a se tasi ua vaʻaia le faitau selau o pipelines, le tele o fa'avae o tusitusiga, ma se fa'asologa umi o mea sese faifai pea. Mafaufau i lenei mea e pei o le isi vaega o se fa'asologa: a mae'a ona malamalama i afifi leaga, vaega e le o iloa e le sapalai o sapalai, ma le pisa o vaivaiga, ua o'o i le taimi e su'esu'e ai le fa'avae e feso'ota'i fa'atasi ai le tele o na fa'afitauli.

O le Faavae #

Se'i o tatou amata manino lava: O le CWE e fa'atusa i Fa'amaumauga o Vaivaiga Masani, o se lisi fa'amaumauga ua atia'e e le nu'u o vaivaiga masani o polokalama faakomepiuta ma masini. Pe a fesili tagata po'o le a le CWE i le saogalemu fa'atekinolosi, o lo'o latou fesili moni lava e uiga i le lomifefiloi fa'asoa e fa'aaogaina e le au su'esu'e, tagata atia'e, ma meafaigaluega saogalemu e fa'amatala ai le mafua'aga autū o lo'o i tua atu o vaivaiga. O fea e faʻamatalaina ai e CVEs tulaga faapitoa o vaivaiga i oloa, latou te faʻamatalaina le mea sese autū na mafua ai. O le a la lea mea? E le o se vaivaiga lava ia ae o se mamanu o mea sese e toe fai, o se vasega o vaivaiga. Ma o le a le vaivaiga o le CWE? E faasino i vaivaiga e fesoʻotaʻi tonu lava ma se tasi o nei vaivaiga ua faʻamatalaina e le CWE. A faʻailoga e se scanner le "CWE-79" poʻo le "CWE-89," o loʻo faʻasino atu i le faʻafitauli faʻatulagaina e mafua ai le faʻaaogaina sese. O le malamalama i le uiga o le CWE e maua ai e 'au se vaʻaiga sili atu ona taua o le lamatiaga aua o le faʻaleleia o le vaivaiga e puipuia ai le tele o vaega o vaivaiga, ae le naʻo le tasi le faʻataʻitaʻiga.

Aiseā e Fetaia'i ai Pea 'Au a le DevSecOps ma le CWE? #

O se tasi o mea muamua e faateʻia ai 'au o loʻo faʻamaeʻaina a latou DevSecOps pipelineo le mea lena sikurini, SAST meafaigaluega, DAST meafaigaluega, SCA fausaga opea, ma o masini iloilo koneteina uma e lafoaʻi faʻailoga CWE e peiseaʻī ua uma ona iloa e tagata uma. Faʻafuaseʻi, o se pipeline ua malepe ona ua maua e se faitoto'a faufale le "CWE-22" po'o le "CWE-502," ma ua fesili atu ai le au atia'e, "Ua lelei ... ae o le a le CWE i faaupuga o le saogalemu faakomepiuta e mafai ona tatou galulue faatasi ai?" O lenei va e iai i soo se mea:

• E tautala le saogalemu i tulafono fa'atonutonu a le CWE.
• E saunoa le au atia'e i fa'avae (frameworks), galuega faatino (functions), ma faletusi (libraries).
• E mafaufau 'au gaosi oloa i foliga vaaia ma aso e gata ai.

O loʻo iai le faʻasologa masani o vaivaiga e faʻaleleia ai lena va. A e malamalama i le uiga o le CWE, e te malamalama i le pogai autū, ae le na o le faʻailoga. A e malamalama i le faʻasologa masani o vaivaiga, e mafai ona e malamalama i le auala e faʻatatau ai vaivaiga i le faʻaaogaina moni o mea.

Fa'amatalaina o Mea Moni e Aofia ai #

Ina ia malamalama lelei i le mea o loʻo i ai, e manaʻomia ona e iloa le fausaga o le galuega faatino. O le CWE e tausia e MITER o se fa'avasegaga fa'ale-nu'u o ituaiga vaivaiga. E aofia ai:

• Fa'amaoniga sese o le ulufale (e pei o faʻaletonu o tui, tafega o le buffer)
• Fa'amaoniga ma fa'atagaga sese
• Fa'aaogā sese o le API
• Fa'afitauli i le taulimaina o mea sese ma fa'afitauli i le fa'atulagaina o tuusaunoaga
• Vaivaiga o le fa'atulagaga ma le siosiomaga
• Tulaga lamatia o le fa'asologa/deserialization
• Fa'aletonu o le pulega o punaoa ma le manatua

O lenei tali e taliina ai se vaega tele o le CWE i le saogalemu fa'atekinolosi: e le o se su'esu'ega o vaivaiga, po'o se lisi o fa'alavelave fa'apitoa ua iloa, po'o se fa'amaumauga o CVE fa'apitoa. O se fa'avasegaga, o le lomifefiloi i tua atu o le gagana o vaivaiga.

Ma o lea lomifefiloi e faʻaaogaina i soo se mea: i faʻamaumauga a le NVD, i totonu SAST mea na maua, i aʻoaʻoga faʻailoga saogalemu, i faʻataʻitaʻiga o faʻataʻitaʻiga o taufaʻamataʻu, i faʻavae o le tausisia o tulafono, ma toetoe lava o vaega uma o meafaigaluega a le DevSecOps.

Manatu Sese Masani e Uiga i le O le Mea Moni ma le Mea e Le O Le Mea Moni #

E pei lava ona tatou vaʻaia i afifi leaga poʻo tulaga lamatia o le faʻalagolago, e masani ona sese le malamalama o 'au puipuiga i mea e tatau ona fai e tekinolosi. E faʻapena foʻi ona tupu i le CWE, o lea e taua ai le suʻesuʻeina o manatu sese masani e uiga i le uiga o se CWE ma le mafuaʻaga e taua ai nei manatu sese.

Sese #1: I le avea ai o se faʻamaumauga o vaivaiga #

O le mea sese masani lea e fai e 'au pe a latou fesili po'o le a le CWE i le saogalemu fa'atekinolosi. O le CVE o se lisi o vaivaiga moni; o se lisi o vaega o vaivaigaAfai e fesili se tasi po o le a se vaivaiga masani e mafua mai i le fa'avasegaina o mea, o le tali o le: "o se CVE ua uma ona tu'uina atu i ai se mafua'aga autū o le CWE."

Sese #2: E na'o 'au a le AppSec e tāua i ai #

I le faʻatinoga, e tāua le CWE i vaega uma o se DevSecOps pipeline:

• SAST fa'afanua o fa'amaumauga i le CWE
• SCA fa'afanua meafaigaluega i le CWE pe a aofia ai i vaivaiga nei pine
• E faitau e le au atia'e fa'amatalaga a le CWE pe a fa'aleleia fa'afitauli
• E fa'aaogaina e fa'ata'ita'iga o taufa'amata'u o ni poloka faufale
• Fa'ailoga saogalemu standardfa'afanua s i vaega CWE

Afai e te fausia se polokalama faakomepiuta, e aʻafia oe i le faʻavasegaina o vaivaiga masani, e tusa lava pe e te iloaina pe leai.

Sese #3: E faigata tele ona malamalama i ai ma e le aoga #

O nisi faʻamatalaga e foliga mai e faigata ona malamalama i ai i le taimi muamua, ae o le taua moni lava o loʻo i ai i le tutusa. Afai e te le malamalama i le mea e taʻua o le CWE, o le a foliga mai o se code faalilolilo. A e iloa le fausaga, e mafai ona e vave faʻavasega, faʻamuamua, ma faʻatulaga au faʻaleleiga.

E fa'apefea ona fa'aleleia e le CWE le Pulega o Vulnerability ma le DevSecOps? #

O le malamalama i le uiga o le CWE i le saogalemu fa'atekinolosi e suia ai le auala e fa'avasega ma fa'aleleia ai e 'au fa'afitauli. Nai lo le tapeina o CVE ta'itasi, o le fa'avasegaina o vaivaiga masani e mafai ai e 'au ona va'ai i mamanu:

• Aiseā ua tatou vaaia ai pea faʻafitauli o tui puipui i auaunaga uma?
• Aiseā e toe aliali mai ai pea mea sese i le fa'amaoniga?
• Aiseā e lamatia ai pea nisi o faatulagaga?

O le manatu lenei o le malamalama i le uiga o le CWE: ia puipuia vaega atoa o vaivaiga, ae le na o le tali atu i ai. pipelineAfai e fa'ailoa mai e se fa'aletonu o lenei ituaiga, e mafai e 'au ona fa'afanua i taiala fa'akomepiuta saogalemu, malamalamaga o lo'o iai, ma faiga fa'avae otometi.re.

Auala e Fesootaʻi ai ma Vaivaiga Moni (le CVE → CWE Sootaga) #

O vaivaiga uma e amata o se ulufale CVE. A'o fa'amauoa e le au su'esu'e na CVE, latou te tofia se CWE e fa'amatalaina ai le pogai autū. O lena fa'afanua e taua tele i meafaigaluega, togi o tulaga lamatia, dashboards, ma auala e fa'aleleia ai. I se fa'apu'upu'uga faigofie:

• E ta'u atu e le CVE ia te oe o le a le mea ua tupu.
• E ta'u atu e le CWE ia te oe aisea na tupu ai.

Afai e le malamalama se 'au po'o le a le CWE, latou te misia le "mafua'aga." O lena mea e tau atu ai i le taulimaina o vaivaiga e pei o ni mea tutupu tu'ufua nai lo ni fa'ailoga o vaivaiga fa'avae. Su'esu'e atili e uiga i eseesega autū i le va o le CWE ma le CVE.

Fa'amaumauga o Vaivaiga Masani i le Fa'ailoga Saogalemu, SAST, ma Pipeline faʻaautomatika #

po nei pipelineE maua ai e s le tele o sailiga. O le fa'avasegaina o vaivaiga masani e maua ai le fausaga i lena tele. O le malamalama i le mea o le CWE i le saogalemu fa'atekinolosi e fesoasoani i inisinia DevSecOps:

• Fausia ni faitoto'a otometi i vaega e maualuga le lamatiaga
• Fa'amuamua vaivaiga e sili ona fa'aaogaina i le lalolagi moni
• Fa'afetaui a'oa'oga a le au atina'e ma mamanu moni
• Tuufaatasia tulafono faavae-CWE i totonu SAST ma suega iunite
• Fa'aitiitia le pisa e ala i le taula'i atu i fa'afitauli e masani ona tutupu

Ma a faʻailoa mai e se meafaigaluega poʻo le a le vaivaiga o le CWE, e faia ai se gagana faʻasoa i le va o le au atiaʻe ma tagata iloilo saogalemu i le taimi o iloiloga o tulafono laiti.

Aisea e Taua ai mo Software Supply Chain Security ma Xygeni #

E ui lava e taulaʻi i vaivaiga o polokalama faakomepiuta, ae le o le iloa o afifi leaga, o le malamalama i le uiga o le CWE e taua tele i le faʻailoaina o le fausaga vaivaiga i vaega tatala-punaoa po'o tusitusiga fausiainaE lē maua e le CWE ni amioga leaga, ae e faʻaalia ai mamanu vaivai e faʻaaogaina sese e tagata osofaʻi. E fesoʻotaʻi lenei mea i le lautele tulaga lamatia filifili filifili polokalamaAfai e fa'aauau pea ona toilalo fa'alapotopotoga i vaivaiga lava e tasi, ua iloa tonu e le au osofa'i le mea e tatau ona osofa'i ai.

O le Tali Moni i le “O le ā le Fa'amaumauga o Vaivaiga Masani?” #

E aotele ai:

• O le ā le CWE i le puipuiga fa'atekinolosi? O le faiga fa'avasegaga e lagolago ai le auala e fa'amatalaina ai, iloiloina, ma fo'ia ai vaivaiga.
• O le ā le vaivaiga o le CWE? O se ituaiga vaivaiga, e lē o se vaivaiga, ae o le pona i tua atu.
• O le ā le Fa'amaumauga o Vaivaiga Masani? O se vaivaiga e fesoʻotaʻi ma se vaivaiga faapitoa.

O le aʻoaʻoina o le faʻavasegaina o vaivaiga masani e pei o le aʻoaʻoina o le kalama o lamatiaga o polokalama faakomepiuta. O le taimi lava e te malamalama ai i le kalama, o le a manino atili ai le vaaiga atoa o vaivaiga. Ma o le taimi lava e mafai ai e 'au a le DevSecOps ona iloa mamanu nai lo mataupu tuʻufua, o le a faʻaleleia atili ai le saogalemu i lona pogai, ae le na o lona luga.