Kani waa qaybtii ugu horreysay ee taxane maqaallo ah oo ku saabsan nooca weerarrada silsiladda sahayda software-ka ee ugu badan: kuwa isticmaala diiwaanka dadweynaha ee qaybaha software-ka, oo loogu talagalay mashaariicda il furan si loo soo geliyo waxyaabo qadiimi ah oo lala wadaagi karo isticmaalayaasha kale. Marka dadka xunxun ay halkaas ku daabacaan barnaamijyo xaasidnimo ah, iyagoo adeegsanaya diiwaanka sidii gaari loogu talagalay qaybinta malware-ka, waxaan la kulannaa weerar silsilad sahay ah marka ururada dhibanayaashu ay rakibaan ama maamulaan qaybta software-ka ee cudurka qaba.
Si loo fududeeyo doodda waxaan ka hadli doonnaa xirmooyinka software:, qaybaha qaab baakadaysan oo ay soo saareen dhinacyo saddexaad. Tan waxaa ku jira oo keliya qaybaha ay isticmaalaan maamulayaasha baakadaha sida NPM ama Gabayada, laakiin sidoo kale qaybaha nidaamka hawlgalka oo ay ku jiraan maktabadaha iyo binary-yada la fulin karo, sawirrada weelka, iyo mashiinnada dalwaddu, ama kordhinta qalabka qalabka horumarinta, dhismaha, iyo dejinta. Waxaan meel walba ku aragnay xirmooyinka xaasidnimada leh. Dembiilayaasha internetka dan kama laha: waxay ku faraxsan yihiin beddelka ay bixiyaan kaabayaasha software-ka casriga ah waxayna isticmaalaan diiwaanka iyo qalabka ugu habboon ujeeddadooda. Markaa fadlan xasuuso in xirmooyinka software-ku ay yihiin qaab gaaban oo loogu talagalay sawirrada weelka, xirmooyinka binary-ka, kaydka ilaha furan, iyo kordhinta ama plugins-ka nooc kasta ah (IDEs, CI/CD nidaamyada, qalabka dhismaha). Dhammaantood si joogto ah ayaa loo weeraraa.
Taxanuhu wuxuu yeelan doonaa 5 qaybood:
- Waa maxay dhibaatada ka jirta Xirmooyinka Isha Furan? Kani waa dulucda qoraalkan. Maxay dambiilayaasha nooc kasta ah u daabacayaan baakado xaasidnimo ah? Maxaan uga walaacsanahay?
- Qaab-dhismeedka Xirmooyinka Xunxun: Waa maxay Isbeddellada? Qaybtan, waxaan diiradda saareynaa khatarta aan la socono nidaamkayaga MEW, maalinba maalinta ka dambeysa. Iyadoo ay jirto buuq weyn oo asal ah oo ay ugu wacan tahay tiro badan oo xirmooyin xaasidnimo ah oo isticmaalaya qoraal khaldan ama jahawareer ku tiirsanaan, boqolkiiba yar oo weerarro ah ayaa aad u qarsoon waxayna keenaan khatar weyn. Sidee bay dhaqanka jilayaasha xun ee ku saabsan OS isu beddeshay waagii hore? Waa maxay tirooyinka? Waa maxay xeeladaha, farsamooyinka, iyo hababka la isticmaalay, iyo ficillada waxyeelada leh ee la arkay?
- Ka ilaalinta Xirmooyinka Xasuuqnimada leh ee Ilo Furan: Maxaa Shaqeeya (aan shaqaynayn)Inta badan xirfadlayaasha ka warqaba amniga waxay leeyihiin fikrado ku saabsan sida loo maareeyo khatartan. Waxaan maqalnay maamulayaasha amniga oo leh iyagoon ka labalabeyn in SCA Qalabku wuxuu horey kuu sheegayaa marka nooca xirmada uu yahay malware. Ama inay ku tiirsan yihiin qaybaha software-ka ee si fiican loo yaqaan, oo si weyn loo eegay, halkaas oo malware kasta si dhakhso ah loo ogaan doono oo looga saari doono. Waxay u isticmaalaan noocyada furan ee yar yar/balaastigga si ay si toos ah u helaan hagaajinta nuglaanta, waana habka saxda ah, ee lagu taliyay in lagu yareeyo khatarta ku tiirsanaanta isha furan, iyadoo la raacayo mabda'a "balaastigga hore, balaastigga badanaa". Qaybtan, waxaan dib u eegi doonnaa sababta fikradahani u khaldan yihiin, iyo sida fikradahan khaldan ay gacan uga geysanayaan caannimada habkan weerarka, iyo khatar aad u weyn oo ay ururradu la kulmayaan. Waxaan ku soo gabagabeyn doonnaa waxa shaqeeya, iyo dadaalka iyo kheyraadka ku lug leh.
- Xirmooyinka Xasaasiyadda ah ee Ilo Furan: Habka Xygeni. Qaybtan, waxaan ku soo bandhigaynaa xeeladda aan ku raacno Xygeni ee nidaamkayaga Digniinta Hore ee Malware (MEW). Sidee ayuu nidaamkan marxalado badan leh u shaqeeyaa waqtiga dhabta ah marka nooc cusub oo xirmo ah la daabaco, sida caddaynta looga soo qaado ilo kala duwan, sida loo sameeyo kala soocid, shuruudaha kala soocidda ee aan raacayno, iyo sababta aan weli ugu baahannahay falanqayn gacmeed si loo xaqiijiyo nooca musharraxa xirmada xaasidnimada leh? Sida jawaab celinta kooxahayada gudaha iyo diiwaangelinta ay uga caawiso nidaamka inuu wax ka barto caddaymaha hore ee la ururiyay si loo yareeyo waxyaabaha beenta ah ee wanaagsan ugu yaraan. Waxaanan sharxi doonnaa sida aan u caawinayno NPM, GitHub, PyPI, iyo kaabayaasha kale ee muhiimka ah ee nidaamyada deegaanka ee isha furan si loo yareeyo waqtiga la deggan yahay..
- Ka faa'iidaysiga Ilo Furan: Waxa laga filayo Ragga XunTaxanuhu wuxuu ku dhammaanayaa diiradda saarista ficillada ugu cusub ee ay cadawgu qaadanayaan si weerarrada looga dhigo kuwo qarsoodi ah, adag in la ogaado, si aad ah loogu bartilmaameedsado warshado gaar ah, iyo in laga faa'iidaysto noocyadan weerarrada ah. Weerarrada ransomware ma la geyn doonaa iyadoo la adeegsanayo gaarigan? Sidee bay nimanka xun u adeegsanayaan qalabka AI si ay u keenaan xirmooyin xaasidnimo ah oo casri ah? Ma mashaariicda ugu caansan khatar bay ku jiraan? Tani waa in akhristayaasha la siiyo dareen ku saabsan tartankan hubka, iyo waxa laga filayo muddada gaaban (qaybta labaad ee 2024) iyo muddada dhexe (2025). Waxaan baran doonnaa sida weerarradu u eg yihiin kuwii ugu dambeeyay. XZ-Utils Backdoor, ama weerarka dhulka ka baxsan ee lagu qaaday elektaroonig-dhise Maarso 2024 waxay muujinayaan inaan ka digtoonaano sida cadawgu isu beddelaan.
Aan masraxa ku furno qaybta koowaad: Maxaa ka socda xirmooyinka il furan ee xaasidnimada leh?
Waa maxay dhibaatada ka jirta Xirmooyinka Isha Furan?
Sannadihii ugu dambeeyay, dambiilayaasha nooc kasta leh waxay isticmaaleen diiwaannada software-ka ee il furan oo furan si ay u gudbiyaan dhaqan xun. Hawlahani waxay la mid yihiin kuwa il furan, laakiin soo noqnoqoshadoodu way baaba'day saddexdii sano ee la soo dhaafay.
Daabacaadda qaybaha xaasidnimada leh diiwaannada dadweynaha (weerarrada ku salaysan ku tiirsanaanta) waa dagaal aan sinnayn oo jabhaduhu u adeegsadaan inay ku faafiyaan malware-ka, iyagoo ka faa'iideysanaya kalsoonida ay ururradu geliyaan qaybo ka mid ah ilo furan oo ka imanaya horumariyayaal aan la garanayn (xusuusnow majaajiliistaha xkcd ku tiirsanaanta?). Maadaama aad ku kalsoon tahay baakadaha oo aadan dan ka lahayn inaad si gacanta ah u eegto waxa ku jira baakadka iyo ku-tiirsanaantooda, weerarradani aad bay waxtar u leeyihiin. Asymmetry-guna wuxuu yimaadaa sababtoo ah si weyn ayaa loo otomaatigin karaa oo dadka xunxun uma baahna inay si toos ah ula falgalaan dhibbanaha. Waxay si fudud baakadda ugu shubaan diiwaanka dadweynaha oo way iska daayaan.
Xirmooyin xaasidnimo ah 6x ayaa kor u kacday sanadka 2022, waxayna sii wadeen inay koraan iyadoo 2.5x ay tahay sanadkii 2023. Sannadkii hore waxaa la arkay 245,000 oo xirmooyin xaasidnimo ah, tiradaas oo ka badan labanlaab tirada guud ee sanadihii hore marka la isku daro. Tani waa kobac baaxad leh! Laga soo bilaabo ka saarista xirmooyinka sida malware-ka la xaqiijiyay ee boqolaalka intii lagu jiray 2021 iyo kumanaankii intii lagu jiray 2022 waxaan aragnay "buuqa" asalka ah oo aad u badan intii lagu jiray 2023, iyadoo xawaare la mid ah sanadkan. Iyo qarsoonaantaas oo ay sababeen dambiilayaasha internetka ee aan casriga ahayn iyagoo raacaya "wadada ugu yar ee iska caabinta", tiro yar oo weerarro heer sare ah ayaa gaaray cinwaannada xitaa warbaahinta guud.
Maxay tani u tahay dhibaato baaxad leh? kalsooni xad dhaaf ah dhammaan silsiladda. Barnaamijka furan ee isha waxaa lagu qaybiyaa koodhka isha, waxaana lagu sii daayaa shati la bixiyay. Haa, qof kastaa wuu baari karaa koodhka isha; laakiin, yaa sameeya guud ahaan? Yaa, ka dib marka uu hubiyo in barnaamijku uusan lahayn malware, ka dhisa barnaamijka ilaha? Yaa, ka hor inta uusan gudbin qaybta baakadaysan (oo sidoo kale loo yaqaan a xirmo) hoos ugu dhaadhac maamulaha xirmada ama qalabka dhismaha, hubi in xirmada aysan ku jirin malware oo ay la jaanqaadayso koodhka isha ee la filayo inay ka timaado?
Maxay kaabayaasha dhaqaaluhu u oggolaanayaan weerarrada fudud?
Diiwaanada xirmada waa furan yihiin, badanaa waxay u baahan yihiin xaqiijin yar oo ku saabsan aqoonsiga daabacaha. "Qof kasta waa lagu soo dhaweynayaa inuu halkan ku daabaco barnaamijkiisa!" Barta loogu talagalay kuwa wax weerara waa mid hooseysa: waxay isticmaalaan cinwaanada emaylka ee la tuuri karo iyo akoonnada GitHubgithub ee la tuuri karo si ay u abuuraan boqolaal xirmooyin xaasidnimo ah ololeyaal gaagaaban oo u eg phishing. Kaliya kuwa la bartilmaameedsaday waxaa loo baahan yahay casriyad sare: Waxaan aragnay xitaa abuurista kayd ilo GitHub oo la aamini karo oo leh xiddigo badan iyo commits ka yimid dad badan oo been abuur ah iyo cabbirro kale oo caannimo iyo dayactir ah. daawadayaasha xiddigaha iyo sumcadda ka timid tabarucaadka been abuurka ah ma aha wax adag in otomaatig loo sameeyo. Waxaan aragnay xadgudubyo ka dhacay kaabayaasha barnaamijyada furan ee nooc kasta leh, oo aan ahayn malware-ka oo keliya, sida Dhacdada shaaha ee borotokoolka.
Maamulayaasha baakadaha waxaa loogu talagalay fududeynta isticmaalka fudud ee aan loo isticmaalin amniga.Waxay ku shaqeyn karaan qoraallada ka hor iyo ka dib rakibidda ka dib rakibidda (mararka qaarkood waxaa lagama maarmaan ah in la ururiyo koodka asalka ah ee maktabadda). Sidoo kale, Maamulayaasha xirmada Ku rakib xirmooyinka ilo badan, mararka qaarna waa in la isticmaalo diiwaannada dadweynaha. Ma aysan hubin isku dheelitir la'aanta metadata ee codsiga daabacaadda, iyo metadata ee ku jirta xirmada lafteeda.
Ku-tiirsanaanta ayaa la isku dhejiyaa oo waxay sameeyaan garaaf. Nidaamyada deegaanka qaarkood sida Node (JavaScript), ku-tiirsanaanta yar-yar waxay ku ururtaa boqolaal ama kumanaan. Hal shay ayaa ah in si adag loo xakameeyo ku-tiirsanaanta tooska ah ee ay ku dhawaaqeen mashaariicdayda software-ka, laakiin ku tiirsanaanta ku-meel-gaarka ah way adag tahay in la xakameeyo. Ilo furan ayaa raacay "saaxiibada asxaabtaydu waa asxaabtay". Walaaltinimadu waa caadada Bariga Fog ee duurjoogta ah! Jilayaasha hanjabaadda ayaa tan og waxayna si qoto dheer u qariyaan dhaqanka xaasidnimada leh ee ku tiirsanaanta qarsoon ee aan inta badan la aqoon. Tani waxay ahayd kiiska marka la eego dhacdada-socodka dhacdada lagu bartilmaameedsaday Boorsada nuqulka ah.
Sidan ayay u shaqaynaysay barnaamijka il furan tan iyo markii la aasaasay. Wax badan ma beddeli doono. Qaar ka mid ah diiwaannada xirmooyinka ayaa dalbanaya xaqiijinta laba-arrimood ugu fiican, badanaana kaliya xirmooyinka ugu caansan. Qaar ka mid ah diiwaannada waxay bixiyaan cabbirro, meel magaceed oo ay leedahay urur la hubiyay, laakiin naxdin leh kuwa kale ma taageeraan (PyPI) ama waxay ka dhigaan ikhtiyaari (NPM). Waa wax xiiso leh in la ogaado in xitaa nidaamka baaritaanka fudud (iyadoo lagu saleynayo xakamaynta DNS ama kaydka/ururka GitHub ee la jaanqaadaya aqoonsiga kooxda) iyo sameynta Saxeexyada PGP waa qasab dhammaan waxyaabaha qadiimiga ah marka laga reebo jeegagga, waxay ka saartaa inta badan xirmooyinka "buuqa", sida kuwa xunxun ee loo yaqaan "typesquatting", waxayna xaddidaysaa inta badan jahawareer ku tiirsanaanWeerarada casriga ah waa suurtogal laakiin aad ayay u adag yihiin, iyadoo ay jiraan dhowr weerar oo la mid ah com.github.codingandcoding:maven-compiler-plugin Waxaa loo yaqaanaa Maven Central. Dhammaan diiwaannada maven ma raacaan isla dhaqamadaas!
Xakamaynta amniga ee maareeyayaasha baakadaha ayaa laga yaabaa inay culays saaraan laakiin ma carqaladeeyaan weerarrada ku tiirsanaanta. Dhibaatada xaqiijinta arrimo badan ayaa ah in otomaatigga, aqoonsiyada la soo saaray sida calaamadaha gelitaanka ama furayaasha APIapi ayaa loo sameeyaa akoonnada si loogu isticmaalo wicitaannada APIapi ee laga sameeyay qoraallada otomaatiga ah, iyadoo aan jirin isticmaale is-dhexgal ah oo taageeraya oo bixinaya qodob labaad. MFA waxay ku fiican tahay ilaalinta akoonnada isticmaalaha daadashada erayga sirta ah, laakiin calaamadaha gelitaanka ee la soo saaray ama furayaasha APIapi waa in la ilaaliyaa inta ay firfircoon yihiin, ama milkiilahooda waxaa iska dhigi doona kuwa ka soo horjeeda. Qayb weyn oo ka mid ah ololaha silsiladda sahayda ee ku salaysan baakadaha waxay ka bilaabmaan furaha/calaamadda daadatay. Kaliya xasuuso dhacdooyinka sida Ledger, 3CX, iyo kuwo kale oo badan, halkaas oo aqoonsiyada aan is-dhexgal ahayn markii ugu horreysay laga saaray faragelin horudhac ah oo lagu bilaabayo weerarka silsiladda sahayda.
Jawaabta laga bixiyay hanjabaaddan ma ahayn mid ku filan. Qaybta saddexaad, waxaan diiradda saari doonnaa waxa shaqeeyay, iyo waxa si xun u fashilmay. Warshadu waxay u baahan tahay inay si wadajir ah uga wada shaqeeyaan. standards, hababka, waxbarashada, iyo qalabka lagu yareynayo khataraha ku yimaada silsiladaha sahayda adduunka. Tani ma aha dhibaato ay hal urur keligiis xallin karo.
Si loo soo gabagabeeyo qaybtan, fahamka muhiimka ah ee khaldan: waxaan ka hadlaynaa xaasidnimo xirmooyinka, ma aha nugul kuwa. Nuglaanshuhu waxay ka yimaadaan khaladaadka naqshadeynta ama qorista, si kama' ah ayaa loo soo bandhigay, iyada oo aan lahayn ujeedo xun. Nuglaanshuhu waa la isticmaali karaa, laakiin qaar badan ma aha. Xirmooyinka xaasidnimada leh had iyo jeer waa ula kac, waxaana jira 100% ka faa'iidaysi haddii la fuliyo. Ma jirto khatar la mid ah! Waa wax iska hor imanaya in la arko inta dadaal ee la gelinayo ogaanshaha iyo yareynta nuglaanta, iyo la'aanta tallaabooyin la mid ah oo loogu talagalay qaybaha xaasidnimada leh..
"Waxaan si dhab ah u qaadannaa amniga"
Aan qiyaasno caadada Shirkadda AcmeAcme, oo ah shirkad weyn oo bixisa WileCoyote.com, waxay leedahay inta badan barnaamijyadeeda oo ka yimaada dhinacyo saddexaad, iyadoo in ka badan 80% ay ka yimaadaan mashaariicda isha furan. Waxay soo saaraan software loogu talagalay isticmaalka gudaha, laakiin waxay sidoo kale siiyaan software la-hawlgalayaasha, bixiyeyaasha, iyo macaamiisha / isticmaalayaasha ugu dambeeya. Acme waxay leedahay software ku qoran Go, JavaScript, Java, C#, iyo Python, waxayna ku shaqeysaa inta badan barnaamijyadeeda daruuraha, iyadoo hoos timaada kooxaha Kuberneteskubernetes. Acme waxay ka dhistaa sawirradeeda gaarka ah sawirro saldhig ah oo laga soo qaaday Docker Hub iyo diiwaannada kale. Waxayna wadaagaan dhowr maktabadood, xirmooyin, iyo sawirro weel ah oo ku jira diiwaannada dadweynaha sidoo kale.
Acme waxay si dhab ah u qaadataa amniga. Aad bay uga warqabaan dhibaatada open source security, iyo khatarta ay xambaarsan tahay. Dhammaan horumariyayaasha, maareeyayaasha nidaamka, iyo injineerada DevOpsdevops waxay u isticmaalaan furayaashaas yar yar ee quruxda badan ee loo yaqaan 'crypto' sidii xaqiijinta qodobka labaad. commits ilaa koodka kaydka waa la saxiixay, ilaalinta laanta waxaa lagu suurtageliyaa dib u eegista koodka khasabka ah, CI/CD qufulan, sir ku kaydsan meel qarsoodi ah, iyo diiwaan gudaha ah oo qayb ahaan ka muuqda diiwaannada dibadda halkaas oo kaliya qaybaha la oggol yahay ee liiska cad lagu kaydiyo. Waxaa loo baahan yahay in software-ka ay dhistay Acme uu ka qaado ku tiirsanaanta dhinac saddexaad diiwaankan.
Malaha ururada badankood waxay ku habboon yihiin astaantan. Akhristaha sharafta leh, taadu hubaal way ku habboon tahay haddii aad weli halkan joogto, miyaanay ahayn?
Kadib maalin nasiib darro ah, horumariye muhiim ah oo hore u socda Acme ayaa orday npm rakib acme-cute-lib, iyadoo la ilaaway in @acme/cute-lib uu ahaa ku tiirsanaanta saxda ah ee la cabbiray. Khaladka saxda ah muhiim ma aha, waxyaabo badan ayaa khaldami kara xitaa marka qofku qaato xakamaynta saxda ah ee wareegga nolosha software-ka. Horumariyahayagu ma uusan ogeyn in koox APT ah ay bartilmaameedsanayeen Acme oo ay daabaceen qayb xaasidnimo ah oo magacaas ku hoos jirta, si khiyaano leh sidaas darteed dhaqanka xaasidnimada ah wuxuu shaqeeyaa oo keliya marka software-ka lagu rakibo kombiyuutarrada Acme. Xirmada lama ogaan toddobaadyo ka dib markii la daabacay.
Qoraal rakibaad ah ayaa la socodsiiyaa kaas oo raadinaya aqoonsiyo (waxaa jiray calaamado badan oo marin u helid ah oo ku jira laptop-ka horumariyahayaga), taasoo u oggolaanaysa marin u helidda kaydka barnaamijyada gudaha, iyo kaydka gudaha ee kor ku xusan, kaas oo dabcan laga heli karo oo keliya VPN. Koodhka xaasidnimada leh wuxuu ku guuleystay inuu isticmaalo xiriirka VPN ee jira oo uu ku daabaco qayb xaasidnimo ah oo marxaladda labaad ah diiwaanka gudaha, taasoo saameysay maktabadda utilities ee caadiga ah oo ay wadaagaan inta badan software-ka ay bixiso Acme.
Toddobaadyo ka dib, ururo kale oo isticmaalaya qalabka la daabacay ee Acme ayaa bilaabay inay arkaan taraafik qariib ah oo ku jira shabakadahooda, iyadoo taraafikku uu isticmaalayo hab-maamuuska Acme laakiin loo diray martigeliyeyaasha u eg domainka Acme. Taraafikada waa la qariyay laakiin qalabka la socodka nidaamku wuxuu helay marin u helidda faylasha aan la filayn iyo fulinta hababka u eg amarrada nidaamka laakiin ku dhammaada socodsiinta kuwa la soo dejiyay.
Inta soo hartay waa taariikh: Acme waxay marka hore beenisay in dhaqanka noocaas ah uu iyaga u qalmo iyo in dhammaan tallaabooyinka amniga la sameeyay. Kaliya ka dib markii warbaahinta internetka ay bilaabeen inay weydiiyaan sababta asalka dhaqanka la ogaaday uu uga yimid qaybaha Acme, iyo falanqaynta amniga ay soo bandhigtay sida ay u qariyeen qaybahaas leh malware qarsoon, Acme waxay ahayd inay aqoonsato dhacdada oo ay wacdo shirkad ka jawaabeysa dhacdooyinka. Olole suuqgeyn oo xun oo wiiqaya kalsoonida adag ee lagu kasbaday ilbiriqsi gudaheed.Acme waxay ahayd hal npm rakibid u jirta disaster"Waxay ahayd cinwaan caadi ah. Dabadeed dacwado iyo qandaraasyo la joojiyay ayaa ku xigay.
Ma aragtaa wax la mid ah dhacdooyinkii hore ee la yaqaan? Acme waxay ku dhacday dhacdo silsilad sahay ah laba marxaladood, iyadoo la adeegsanayo isku darka jahawareer ku tiirsanaan/ku-tiirsanaan khaldan weerarro loo adeegsaday xarun shaqo oo horumariye ah oo loo adeegsaday meel xeeb ah si loogu faafiyo qaybaha ku dambeeyay software-ka ay isticmaalaan dhinacyada saddexaad. Sidee looga hortagi karaa ama loo yareyn karaa tan?
Maxay baakadaha sunta ah u yihiin kuwo aad loo jecel yahay
Dhacdadan mala-awaalka ah waxay muujinaysaa in xitaa iyadoo la adeegsanayo hab macquul ah oo lagu ilaalinayo amniga isha furan, ururradu waxay u baahan yihiin tallaabooyin gaar ah si looga fogaado inay ku dhacaan ugaadhsiga malware-ka qaybaha isha furan. Si kooban, qofka khatarta ku jira wuxuu:
- Samee xirmo cusub (adigoo raacaya dariiqyada jahwareerka ku tiirsanaanta ama khaladaadka caanka ah, kani waa wadada ugu badan ee ay maraan ragga xun ee mugga leh);
- Isku day inaad ku qaadsiiso mid jira, adigoo ku duraya koodhka isha, isku dayaya inaad iska dhigto mid wax ku darsaday iyada oo loo marayo pull request, ama isticmaalka injineernimada bulshada si aad u noqoto qof ilaaliya (sida "Jao Tan" uu ku sameeyay albaabka dambe ee XZ ama midig9ctrl Isticmaalaha GitHub wuxuu ku sameeyay GitHub dhacdada-socodka dhacdo dhacday dayrta 2018), ama helitaanka aqoonsiyada kaydka isha furan iyo iska dhigidda qofka haya;
- Ku dur malware inta lagu jiro dhismaha xirmada, adigoo ku shaqeynaya qoraal dhisme oo xaasidnimo leh, ama faragelin ku sameeya soo dejinta xirmada iyadoo la adeegsanayo marin-u-helka qofka (nasiib wanaag, TLS hadda had iyo jeer waa looga baahan yahay inta badan diiwaannada).
- Ku shub qaybta baakadaysan si toos ah diiwaanka, badanaa adigoo qabanaya aqoonsiga diiwaanka (beddelka la doorbiday ee weerarro badan oo casri ah sida Acme's, halkaas oo goobta shaqada ee la jabsaday marxaladda koowaad ay lahayd calaamadda gelitaanka diiwaanka gudaha tusaale ahaan sida caadiga ah. .env or ~/.m2/dejinta.xml: jilayaasha xun way yaqaaniin meesha ay ka raadiyaan sirta). Nuglaanta diiwaanka ayaa sidoo kale la isticmaalay.
Ku sumowga diiwaanka iyadoo la adeegsanayo malware waa aasaaska weerarrada ku tiirsanaanta. Ma jiraan wax cusub oo qorraxda hoosteeda ah: baahsanaantiisu way baaba'day, laakiin isla farsamooyinkaas ayaa hadda shaqeeya sidii shan sano ka hor.
Source: Ururinta Mindida Backstabber.
Xirmada xaasidnimada leh waxay shaqayn kartaa marka la rakibayo, inta lagu jiro dhismaha software-ka, ama waqtiga shaqada. Hab-dhaqankuna wuxuu u dhexeeyaa faafinta macluumaadka tusaale ahaan soo saarista sirta isku dayga wejiga labaad, ilaa soo saarista koodhka isha, daadinta malware dheeraad ah. Qaybta xigta, waxaan kala saari doonnaa xirmooyinka xaasidnimada leh iyo sida loo daabaco.
reading dheeraad ah
Qaybta xigta Qaab-dhismeedka Xirmooyinka Xunxun: Waa maxay Isbeddellada? Waxaan diiradda saari doonnaa kiisaska dhabta ah ee aan la soconayno nidaamkayaga Digniinta Hore ee Malware-ka, maalinba maalinta ka dambeysa. Waxaan dib u eegi doonnaa noocyada malware-ka ee la arkay, iyo xeeladaha, farsamooyinka, iyo hababka ugu cadcad. Waxaan baari doonnaa qarinta iyo sida ay isugu dayaan inay ka dhuuntaan dib-u-eegayaasha suurtagalka ah, farsamooyinka leexashada si looga fogaado ogaanshaha, iyo sida ay u isbeddelayaan iyadoo la adeegsanayo telemetry iyo dhaqdhaqaaqa dhinaca. Fadlan la soco!
tixraacyada
- Ururinta Mindida Backstabber: Dib u eegis ku saabsan Weerarada Silsiladda Sahayda Barnaamijyada Isha FuranM. Ohm iyo asxaabtiisa, Maajo 2020.
- Ilaalinta Malware-ka ee Isha FuranWarqad cad oo ka timid Xygeni.
- Software Supply Chain Security Dib-u-fiirin: Qaabaynta Ammaan ah 2024Warbixin ka timid Xygeni.
