Zvakavanzika zvinobuda: Danho rimwe chete kuenda ku disaster

Kupa makiyi emba yako kumatsotsi hachisi chinhu chakanakisa. Asi ndizvo zvinowanzoitika mumakambani mazhinji ari kugadzira mapurogiramu emazuva ano.

Muchinyorwa chino chekutanga pamusoro pekubuda kwezvicherwa, tichaongorora kuti sei izvi zvichiitika kakawanda, ndeapi mhedzisiro yacho, uye matanho ekutora kudzivirira kana kuderedza dambudziko uye kugadzirisa zviitiko zvekubuda kwezvicherwa.

Maiwe! Ndakasundira makiyi angu ekupinda mu cloud kune public repo

Zvakavanzika zvisina magwaro mu source code kana mafaira ekugadzirisa muDevOps tools anogona kuguma ari mumaoko asina kunaka. Kana chakavanzika chiri commitKana zvaiswa munzvimbo inochengeterwa masource eruzhinji, chokwadi hausi kuzowana mukana wekuwana ruzivo rwakadaro. Asi kunyange marepository epachivande haana kuchengetedzeka, sezvo zvakavanzika zvichiburitswawo kuburikidza nemabinaries ekushandisa, malog, kana kodhi yesource yakabiwa.

Kana tichitarisa shure, zvinonetsa kangani kukanganiswa kuri nyore kwakakonzera kutyorwa kukuru kwekuchengetedzwa. Ingo tsvaga paGoogle "Kuburitswa kwemashoko eAWS","Kuburitswa kwechiratidzo chekupinda muGitHub", nezvimwewo. Usatore mienzaniso iyi semazano akavanzika kune uyu kana uyo mutengesi. Shandisa yako!

Semuenzaniso, (mu)mukurumbira Kurwiswa kweCodecov yaKubvumbi 2021 yaikwanisika nekuti mufananidzo weCodecov Docker waive nemagwaro egit aibvumira murwisi kuwana mukana wekuwana maCodecov's private git repositories uye kuwedzera mutsetse mumwe chete muCodecov's bash uploader script yezvinyorwa zvekuchengetedza nharaunda uye maURL egit repository.

Yeuchidzai kuti chimwe chezvipo zvekurwisa ndizvo zvakavanzika zvekuwana mamwe masisitimu, uye kurwiswa kwakawanda kunoisa mari yakawanda pamagwaro ekushandisa, makiyi e crypto uye kuburitswa kwema token. 

Dambudziko nderekuti zvakavanzika zvisina kunyorwa zviri pachenaMuna Kurume 2022, Lapsus$ APT 189GB yakaburitswa yekodhi yeSamsung nemamwe mafaira ane hunyanzvi. Ongororo yakaratidza kuti yaive nemamwe mafaira Zvakavanzika 6,600 zvakaoma: 90% yemasystem emukati, asi 10% yemasevhisi ekunze nematurusi akaita seGitHub, AWS kana Google. Zvakavanzika izvozvo zvaisanganisira makiyi eAWS / Twilio / Google API, tambo dzekubatanidza database, uye rumwe ruzivo rwakakosha. Iyi ndiyo nzira yemazuva ano muhuwandu hwemacode bases.

Kuburitswa kwepachivande ndiyo nzira iri nyore yekurwiswa kwecheni yekupa zvinhu

Kuvimba nemapakeji ndiko kunonyanya kuwanikwa pari zvino asi kwete chinangwa chekurwisa vanhu vanopa zvinhu zvavo. Vanhu vakaipa vanogona kugadzira pakeji itsva inozoiswa musoftware yevanopa zvinhu (vachishandisa typosquatting nedzimwe nzira), asi kazhinji vanoedza kukanganisa pasuru iripo nekuwedzera shanduko kukodhi yekunobva mumatura esoftware (SCM) seGitHub, GitLab kana BitBucket, kana nekuwedzera mavhezheni ane njodzi kumarejistri everuzhinji akadai seNPM, PyPI, RubyGems, Maven Central.

Asi kuisa kodhi yakaipa kana kuvimba kwakaipa kwakavanzika mugirafu yakaoma yekuvimba kunoda login zvitupa zvakaita sezita rekushandisa/password, ma tokeni kana makiyi ekupinda (ngatizvidaidzei kuti “makiyi"muchidimbu), yenzvimbo yaunoda kuchengetera data kana kuti nzvimbo yeruzhinji, zvichiteerana. 

Vanhu vakaipa dzimwe nguva vanowana makiyi kuburikidza social engineering. The kurwisa event-stream Pakeji yeNPM yakakurumbira inopa muenzaniso wakanaka. Asi kutsvaga yaburitswa login ma access keys kana kuti ma access keys ndiyo nzira inonyanya kushandiswa pakurwisa software supply chain.

Nzvimbo dzekuchengetera matura uye marejistri emapakeji masisitimu maviri akakosha mukuvaka software pipelineAsi kune maturusi akawanda muDevOps: CI/CD masisitimu, maturusi ekumhanyisa bvunzo, magadzirirwo & kugadzwa otomatiki, kana kuisirwa & kuburitswa. Zvese izvi zvinogona kushandiswa zvisizvo pakupinza kodhi yakaipa musoftware. Kuburitsa makiyi anoshanda ezvishandiso izvi kunotungamira zvakananga kunhamo nekurwadziwa. Fungidzira kuburitsa makiyi eroot access ane simba rakazara pane zviwanikwa zvako zvepachena zvegore…

Mazano akajairika

Hatitauri chinhu chitsva pano, mese munozviziva. Asi torai matanho! Yeukai kuti marobhoti anogara achiongorora zvese zviri pachena SCM mamwe mazano, asina kurongeka.

• Kana uine basa rekutarisira kuchengetedzeka kweIT, tsanangura kuti zvakavanzika zvinofanira kubatwa sei mumutemo wekuchengetedza. Asi mitemo yakanaka chete sekusimbiswa kwemutemo: iva nechokwadi chekuti gwara rekuchengetedza zvakavanzika rinotevedzwa musangano rako - kusanganisira kwete chete matimu ako eDevOps asiwo vatengesi vesoftware yako, uye kuti hurongwa hwesangano rako hwekupindura zviitiko zvezviitiko zvekuburitswa kwezvinyorwa zvakavanzika.
• Shandisa uye simbisa multi-factor kuvimbiswa (MFA, 2FA kana chero ipi zvayo pfupiso). Uye hapana zvipingamupinyi mukuchengetedza: kiyi yekuchengetedza yeUSB inokosha mari shoma yainodhura. Unofanira kudzvanya chero chezviuru zvako zvemakiredhiti (zviri nyore) wobva wadhakwa wosiya makiyi ako mubhawa nechimwe chinhu chinokubatanidza (mikana yacho midiki zvishoma, kunyanya kana uri teetotaler).
• Shandisa manejimendi yepassword ine password yakasimba, isina kuchengetwa. Pakubata zvakavanzika mumasisitimu shandisa Matura Akavanzika. CI/CD masisitimu, vanopa makore, SCMs nedzimwe zvishandiso zveDevOps zvinopa sevhisi iyi, asi unogona kusarudza mhinduro yeSecret Vault yakajairika.
• Unofarira kwenguva pfupi ma tokeni kumakiyi ekupinda anogara kwenguva refu. Ari nyore kubvisa uye kuratidza mukana wekuti zvakaipa zvisaitike.
• Muganho wekushandiswazve kwezvitupa zvekushandisa: vapambi vachashandisazve zvitupa zvakaunganidzwa kune chinangwa mune mamwe masisitimu, imwe pfungwa yekushandisa manejimendi yepassword. Vatariri vemapassword nevanochengetedza zvakavanzika vanofanira kuita kuti kushandiswazve kwezvitupa kuve chinhu chekare.
• Muganho uye tarisa kushandiswa kwe arun Mapassword. Ane simba rakakwana zvekuti anofanirwa kuteverwa zvakanyanya.
• Shingairira hashing yakasimba uye encryptionDzokera kumakiyi eUSB (cryptographic), maitiro akaomarara ekutumira matsamba ebasa nevatinoshanda navo, nezvimwewo.
• Shandisa a scanner yezvakavanzika, semuenzaniso kumhanya mu pre-commit haka kudzivirira kubuda kwemvura mumasisitimu ekudzora shanduro, segedhi rekuchengetedza. Pamberi pechinhu chacho Zvakakosha pano. Neimwe nzira, shandisa post-hoc scans kuti uone zvakavanzika zvakaburitswa semuenzaniso sekutarisa usati watanga pull request Cherechedza: Puratifomu yedu yeXygeni ine scanner yezvakavanzika inobvumira nzira dzese dziri mbiri dzekushanda. 
• Imwe nzira yekushandisa nemaoko ongororo yekodhi kutsvaga zvakavanzika zvisina kunyorwa zvine mitengo yakakwira uye kunoshanda mushure me-commit (asi ndinotarisira kuti zvingangoita kuti chakavanzika chisati chawanikwa kune vekunze). Asi ongororo dzinogona kuona zvakavanzika zvisiri zvechinyakare zvinogona kunzvenga ma scanner ezvakavanzika.       
• Dzivisa netsaona commitkuisa mafaira akajairika nezvakavanzika kuti udzore shanduro neyakakodzera bvisa mapatani (senge template ye 'gitignore`), tichifunga nezvemafaira akaita se .env, .npmrc, .pypirc, mafaira echinguvana ... Chimwe chinhu chiri mukuchengetedza hanyanisi zvechokwadi.
• Uye chekupedzisira pane iyi runyorwa rurefu: rega vanopa mabasa egore vaongorore makiyi avo akadonha, kana aripo. Zvirinani, izvi gona kukuzivisai nezvenyaya yekubuda kwemvura kwakaitika, asi kuchengetedzeka kunodiwa kune vanopa mabasa egore. Izvi zvinofanirwa kuitwa nevanopa mabasa ekuchengetedza. post-hoc Kuskena kwakavanzika hakuna kujeka zvakanyanya maererano nekuti kuskena kwacho kunoitwepi uye kangani, uye kazhinji kunoda kugadziriswa kwakajeka, asi zvechokwadi ndiyo nzira yekupedzisira kana zvimwe zvese zvikatadza kushanda.

Maiwe! Ndakasundidzira makiyi angu ekupinda mu cloud ku public repo, tora #2

Izvozvo zvinogona kuitika kune vakanakisisa vedu. Peta maoko ako!

Gadzirisa / bvisa / dzima chakavanzika chakaburitswa nekukurumidza! Kana account iine MFA yakanaka, njodzi yacho ishoma. Izvozvo zvinogona kuoma semuenzaniso makiyi epachivande mumawebhusaiti (unofanira kuburitsa chitupa chitsva chekiyi itsva yepachivande wobvisa chiripo), asi maturusi emazuva ano ane nzira inokurumidza yekuvandudza marekodhi kana kubvisa ma tokens. 

Tevedzera matanho anokurudzirwa nemupi webasa kana aripo, senge AWS mumuenzaniso uyu.

Ziva chikonzero chekubuda kwemvura. Kuziva kuti zvakaitika sei kwakakosha pakuburitsa pachena, kuongorora, kudzora uye kuita zvidzidzo zvakadzidzwa.

Wobva waudza vanhu vari kukanganiswa nezvekubuda kwemvura, uchitsanangura matanho auri kutora ekuvhara kudonha kwemvura uye kuderedza kukuvara. Hapana nzira yekudzorera kukuvara kwakaitwa, zvakabuda zvabuda. Iva pachena uye uzivise vamwe kuti vatore matanho. 

Wobva watanga ne forensics. The hwindo rekuratidzwa ndiyo nguva iri pakati pekubuda kwedata uye nguva iyo chakavanzika chakanga chisiri kushanda. Gadzirira kuverenga magwaro uye tevera zviitiko zvisingawanzoitika neakaundi yakakanganiswa mukati mehwindo iroro. Bvisa maakaundi nemakiyi akagadzirwa uchishandisa akaundi yakakanganiswa. Yeuka kuti kana akaundi yakakanganiswa iine kodzero dzekutonga, kugadzirisa kwakaoma zvikuru. 

Kunyora patsva (kudzora shanduro) nhoroondo zvakaoma. Kunyangwe nyika dzehudzvanyiriri dzinoedza izvi pasina zvadzinobatsira (ndiro yaida.) Uye pamwe hazvina basa: ma hackers kana ma bots ari muma repos everuzhinji vangangodaro vakagadzira repo kana kuti vakatoburitsa goridhe, kunyanya kana hwindo rekuona rakura zvakakwana. 

Kana uchida kuziva zvakawanda uye uchida kuona wega kuti zvinotora nguva yakareba sei kuti marobhoti aone chakavanzika chakaburitswa, tripwires yakaita se Zviratidzo zveCanary rega uedze. Yeuka, marobhoti anorambidza default default canarytokens.org dhomeini…