Kani waa qaybtii saddexaad ee taxane maqaalo ah ku saabsan nooca weerarrada silsiladda sahayda software-ka ee ugu badan: kuwa ku xadgudba diiwaanka dadweynaha ilka furan qaybaha software-ka. Ka dib markii lagu falanqeeyay qaybtii hore ee "Qaab-dhismeedka Xirmooyinka Xunxun: Waa maxay Isbeddellada?"Sida jilayaasha xun ay dhaqanka xun ugu shubaan qaybo cusub ama kuwa hadda jira ee la daabacay, waxaan diyaar u nahay inaan xirno jaakadaha dab-damiska oo aan baarno sida aan si guul leh uga hor istaagi karno barnaamijyada xunxun ee sidan loo keeno, ama si kale, wax uga qaban karno dhacdo internetka oo halis ah sababtoo ah waxaan qaadannay hab khaldan.
Inta badan xirfadlayaasha ka warqaba amniga waxay leeyihiin fikrado ku saabsan sida loo maareeyo khatartan. Waxaan maqalnay maamulayaasha amniga oo si aan shaki lahayn u sheegaya in SCA qalabku wuxuu horey kuu sheegayaa marka nooca xirmada uu yahay malware. Ama inay ku xiran yihiin qaybaha software-ka ee si fiican loo yaqaan, oo si weyn loo eegay, halkaas oo malware kasta si dhakhso ah loo ogaan doono oo looga saari doono. Waxay isticmaalaan noocyada yar yar/balaastigga furan si ay si toos ah u helaan hagaajinta nuglaanta, waana habka saxda ah, ee lagu taliyay in lagu yareeyo khatarta ku tiirsanaanta isha furan, iyadoo la raacayo "hore u dheji, si joogto ah u dheji”Mabda’
Qaybtan, waxaan dib u eegi doonnaa sababta fikradahani u khaldan yihiin, iyo sida fikradaha khaldan ee noocaas ahi ay gacan uga geysanayaan caannimada habkan weerarka, iyo khatar aad u weyn oo ay ururradu la kulmayaan. Waxaan ku soo gabagabeyn doonnaa waxa shaqeeya, iyo dadaalka iyo kheyraadka ku lug leh.
Fikradaha Khaldan
Intii aan ku guda jirnay safarkayaga amniga software-ka, waxaan aragnay farsamooyinka weerarka oo isbeddelaya iyo fikrado kala duwan oo ka imanaya dadka ka walaacsan amniga. Ururadu badanaa si khaldan ayay u fahmaan waxa ka hortagaya khatartan, marka hore waxaan baari doonnaa waxa aan shaqaynayn, oo lagu soo koobay liiska fikradaha khaldan ee soo socda, ee aan dhammaystirnayn.
Fikrad khaldan #1: SCA qalabku wuxuu horey u soo sheegay qaybaha xaasidnimada leh
Dhab ahaantii! Laakiin ka dib xaqiiqda... Goorma ayay u badan tahay inay aad u daahday haddii curiyaha loo isticmaalay dhismaha software-ka, oo jilayaasha xun ay horey u heleen boos horumariye ama CI/CD martigeliyaha. Sirta waxaa laga yaabaa in la sifeeyay, malware dheeraad ah la soo dejiyay oo la rakibay, laga yaabee in cadowgu uu si dhinac ah u dhaqaaqay oo uu horey u helay marin meel kale.
Falanqaynta Halabuurka Software-ka (SCA) qalabka waxaa loogu talagalay in lagu aqoonsado nuglaanta la yaqaan ee suurtagalka ah. Qalabka casriga ah wuxuu qabtaa shaqo weyn isagoo kordhinaya saamiga calaamadaha-sawaxanka, isagoo go'aaminaya in nuglaanta dhab ahaantii la gaari karo ama laga faa'iideysan karo. Laakiin waxba kama taraan malware-ka cusub. Ka fikir qayb xaasidnimo ah inay tahay nuglaanta eber-maalin: Kaliya marka la ogaado dhaqankeeda xaasidnimada ah, qaybta waxaa loo soo sheegaa diiwaanka haynta, kaas oo ka dib dib u eegis ay sameeyeen koox amni ah lagu xaqiijiyo inay tahay mid xaasidnimo ah oo laga saaray diiwaanka. [1].
Waqtigaas, dunidu (oo ay ku jiraan SCAs) wuu ogyahay in rakibidda ama isticmaalka qaybta (ama nooc(yo) ka mid ah qayb jirta) aysan ahayn wax wanaagsan. Laakiin tani waa marka qaybta aan laga heli karin diiwaanka.In aan ogaado in aan leeyahay nuglaanta qaybaha dhinac saddexaad, ama xitaa qaybaha ay diiwaanku u kala saaray inay yihiin kuwo xaasidnimo ah waa wax wanaagsan, laakiin nasiib darro SCA ama qalabka baaritaanka caadiga ah kama caawiyaan macnaha guud. Ilaa iyo SCA/qalabka hubinta ayaa si dhab ah u ogaan kara in qaybtu ay tahay mid xaasidnimo leh ka hor inta aan loo isticmaalin ururkaaga.
Xusuusnow, xal kasta oo ka dhan ah qaybaha furan ee xaasidnimada leh waa inuu ogaadaa. duullimaadka, inta u dhaxaysa marka qaybta lagu daabaco diiwaanka iyo marka qaybta (nooca) marka ugu horreysa ee ururkaaga loo isticmaalo. Taasina waxay ka kooban tahay qaybaha ku-meel-gaarka ah.
Fikrad khaldan #2: Xakamaynta qoraallada rakibidda wakhtiga dhismaha waxay ka hortagtaa dhaqanka xaasidnimada leh ee ka imanaya qaybaha isha furan
Maamulayaal kala duwan oo xirmooyin ah ayaa bixiya awoodda lagu socodsiiyo qoraallada (oo lagu daray kubbadda qaybta [2]), Sababo sharci ah awgood, sida ururinta walxaha loo baahan yahay ee goobaha kala duwan, soo saarista koodka, ama socodsiinta tijaabooyinka, dhammaanteen waa inaan ogaano in ay ku xadgudbi karaan jilayaasha xun haddii qoraallada xaasidnimada leh lagu daro kubadda tarball-ka, ama haddii weeraryahanku uu samayn karo qoraal xaasidnimo ah halkii uu ka ahaan lahaa kan wanaagsan.
Annagoo tan ognahay, waxaan habeyn karnaa maamulaha xirmada si uu u iska indho tiro qoraallada. Tusaale ahaan, iyadoo la adeegsanayo NPM –Ildir-qoraallada calanka (ama hantida qaabeynta ee ku jirta .npmrc faylka) wuxuu ka boodaa qoraallada inta lagu jiro rakibidda. Tani waxay keeni kartaa dhibaatooyin qaar sababtoo ah socodsiinta qoraallada ayaa ku badan nidaamyada deegaanka badan: Maamulayaasha xirmooyinka qaarkood xitaa ma oggola in la joojiyo fulinta qoraalka (tilmaan: prompt “Maamulayaasha xirmada kee ayaan ogolayn in la joojiyo fulinta qoraallada rakibidda?"ee AI-ga aad ugu jeceshahay). Laakiin tani guud ahaan ma ilaaliso (waxaan u baahanahay inaan dhaqan gelino in habaynta joojinta boodka ay meel walba taal).
Marka dhaqanka xaasidnimada leh uusan ku jirin qoraallada rakibidda laakiin uu ku jiro barnaamijka lagu fulinayo waqtiga socodsiinta, ikhtiyaarkan oo keliya nama ilaalinayo.
Khalad #3: Biinanka nooca ayaa ka hortagaya in qaybaha xaasidnimada leh la rakibo
Waxaa jira is-weydaarsi u dhexeeya hagaajinta hore iyo inta badan iyadoo la adeegsanayo noocyada furan (u oggolaanshaha maareeyaha xirmada inuu si toos ah u rakibo cusbooneysiin cusub marka loo heli karo hagaajinta amniga) iyo nooca biinanka (iyadoo la haysto dhammaan ku-tiirsanaanta tooska ah iyo tan ku-meel-gaarka ah ee software-ka nooc go'an). Mabaadi'da amnigu waa kuwo madax adag oo mararka qaarkood iska hor imanaya, sida ku dhacda "balaastar hore, balaastar badanaa" iyo "casriyeynta waa in aan si fudud loo qaadan". Maamulayaasha xirmooyinka qaarkood waxay sameeyaan cusbooneysiin otomaatig ah oo leh heerarka server-ka sida lagu taliyay. Waa fiican tahay haddii aad sidoo kale rabto inaad hesho cusbooneysiinta xaasidnimada leh! Haa, qaybaha waa in la cusbooneysiiyaa si loo helo hagaajin amni oo xiraya nuglaanta sida ugu dhakhsaha badan, laakiin ... waligaa ha u oggolaan maamulaha baakadka inuu tan si toos ah u sameeyo.
Fikrad khaldan #4: Isticmaalka qaybaha la aamini karo waa ammaan. Nooc kasta oo xaasidnimo ah si dhakhso ah ayaa loo heli doonaa, loo shaacin doonaa oo looga saari doonaa.
Maxaa qayb loogu kalsoon yahay? Waxaa laga yaabaa inay tahay mid aad loo jecel yahay, iyadoo indhaha badan ay raadinayaan nuglaansho, tiro badan oo ka-qaybgalayaal ah oo loogu talagalay dayactirka, iyadoo ay jiraan dhowr qof oo ilaaliya oo si taxaddar leh u eegaya dhammaan. pull requestsXaqiiqadu aad bay u kala duwan tahay. Qaybo muhiim ah oo ka mid ah waxaa ilaaliya hal horumariye oo aan lacag qaadan. Qaab-dhismeedyada si ballaaran loo isticmaalo waxay leeyihiin dhowr ka-qaybgalayaal joogto ah, iyadoo tirada si dhakhso ah u sii yaraanaysa commits halkii qof ee ilaaliya (mashaariicda caanka ah waxay leeyihiin dabo dheer oo ka-qaybgalayaal ah oo sameeya qaar ka mid ah dadaalka commit oo aan dib u soo noqon). Mashaariicda caanka ah ee hal qof oo dayactire ah ayaa badan.
Bal qiyaas naftaada oo leh "Oh, waxaan isticmaaleynaa sawirada Spring Boot / Angular / React / PyTorch / sawirada saldhigga rasmiga ah ee Docker, marka khatarta aad ka hadlayso aad bay u hooseysaa." Malaha taasi waa run, annaga oo ah iibiyayaasha amniga oo mar walba cabsi gelinaya, faragelinta kooxaha horumarinta si loo yareeyo khatarta laga doodayo waa wax aan micno lahayn. Waxaa laga yaabaa inaad ku booddo cutubka aqbalaadda khatarta (qaybta xigta) oo dhammaantood la dhammeeyo. Nasiib darro, qaybaha ugu caansan waa bartilmaameedyada jilayaasha xun, tusaale ahaan, kuwa caanka ah. Maktabadda PyTorch ayaa la weeraray waagii hore.
"Si dhakhso ah ayaa loo helay, loo shaaciyay, oo laga saaray". Waxay qaadataa maalmo in qayb cusub oo xaasidnimo ah laga saaro diiwaanka dadweynaha. Diiwaangelintu waxay ka taxaddaraan ka saarista nooc ka mid ah qaybaha, wanaag ahaan. Waayo-aragnimadeennu waxay tahay in marka laga soo sheego dhinacayaga, waqtiga dhexdhexaadka ah ee diiwaangelintu ay ku tirtirto nooca ay saameysay waa 39 saacadood, in ka badan maalin iyo badh. Waxaa jira qaybo xaasidnimo ah oo toddobaad ka dib warbixinteenna bilowga ah ee diiwaanka ka hor inta aan la saarin. Xaaladaha qaarkoodna, qaybta waxaa laga saaraa oo keliya ka dib marka dhibbane ama shirkad ka jawaabeysa dhacdada ay soo sheegto dhacdo ku lug leh qaybta.
Maxaa AAN KA SHAQAYN Qaybaha Xunxun
Hab kasta oo aan gaar ahayn si xun ayuu u fashilmi doonaa. Tani waa hubaal, ma bixinaysid tallaabooyin wax ku ool ah oo looga hortago khatarta la xiriirta khatartan.
dhaqanka SCA qalabku wuxuu kuu sheegayaa malware-ka la yaqaan laakiin wuxuu leeyahay daaqad weyn oo soo-gaadhis ah. Haddii aysan si firfircoon u samaynayn ogaanshaha malware-ka iyagoo xannibaya qaybaha xaasidnimada, kama shaqeynayaan khatartan.
Daminta qoraallada rakibidda way caawin kartaa laakiin waxay u baahan tahay in la dhaqan geliyo meel kasta oo loo baahan yahay in qayb la rakibo. Sidoo kale marka la xidho nooca, maadaama noocyada aan laga dhejin karin xaalad bilow ah oo ammaan ah weligeed.
Haddii qaybaha caanka ah ay helaan fiiro gaar ah oo ku filan oo aan lagu duri karin hab-dhaqan aan la filayn oo weerar silsilad sahay ah iyada oo aan la helin ogaanshaha degdega ah si looga hortago waxyeello kasta waa wax aan macquul ahayn oo khatar ah. Ma rabtid inaad ku noolaato geeska, sax?
Haddii aad joogsato waqtigan, markaa aqbalaadda khatarta waa waxa kaliya ee aad sameyn karto: Kani waa decisshay u baahan in lagu diiwaan geliyo qaabka khatartaada/qiimeynta khatarta, oo ay ku jiraan sababta aad u aqbali karto khatarta iyo saameynteeda. Kor u qaad wacyigelinta adigoo la xiriiraya maamulka iyo dhinacyada kale ee khuseeya. Qaar ka hortagga waxaa la qorsheyn karaa marka qayb xaasidnimo ah la rakibo ama lagu daro software-kaaga, laakiin tani way adag tahay sababtoo ah weeraryahannadu waxay leeyihiin waddooyin badan oo ay raacaan. Faahfaahinta weerarka silsiladda sahayda ee ku salaysan isticmaalka qayb xaasidnimo ah ayaa si weyn u beddeli doonta shaacinta dadweynaha ee dhacdada, taas oo laga yaabo inay qasab tahay marka loo eego qaab-dhismeedka sharciyeed ee ururkaaga. Waxa kale oo aad wax ka qaban kartaa kontaroolada magdhowga or khatarta wareejinta tusaale ahaan caymiska.
Si kastaba ha ahaatee, waxaa jira kontaroolo wax ka qabanaya khatarta waana in la tixgeliyaa haddii aadan ku qanacsanayn aqbalaadda khatarta. Fadlan sii akhri.
Maxaa Ka Shaqeeya Weerarada Iyada oo La Isticmaalayo Qaybaha Xunxun
Maareynta Nooca Adag
Ku dhejinta nooca oo leh cillado la xakameeyey oo xog ogaal ah ayaa ah habka loo maro, si loo dheellitiro baahida loo qabo in laga saaro nuglaanta iyada oo aan la helin malware. Laakiin xasuuso fikrad khaldan #3: Ku dhejinta nooca oo keliya kuma filna in la joojiyo koodka xaasidnimada ah ee ka imanaya noocyada cusub, sababtoo ah waxaad u baahan doontaa mustaqbalka inaad cusbooneysiiso noocyada ku tiirsanaanta tooska ah ama dadban. Waqtigaas waxaad u baahan tahay caddayn xooggan oo ku filan oo ah in dhammaan noocyada wax laga beddelay aysan ku jirin malware.
Digniin Hore
Mid ka mid ah hababka loo wajaho dhibaatada qaybaha xaasidnimada leh waa nidaamka digniinta hore (oo halkan loogu magac daray sida Digniinta Hore ee Malware-ka ama MEW), halkaas oo noocyada cusub ee la daabacay (qaybaha cusub ama kuwa jira) lagu falanqeeyo matoorka ogaanshaha, kaas oo marka caddayn ku filan la helo ay u kala saari karto nooca cusub mid laga yaabo inuu yahay mid xaasidnimo leh.
Otomaatiggu waa lama huraan halkan, maadaama aysan suurtagal ahayn in gacanta lagu eego dhammaan qaybaha cusub heerka daabacaadda hadda. Markaa mashiinka ogaanshaha wuxuu u baahan yahay inuu isku daro farsamooyin kala duwan, laga yaabee inay ku jiraan falanqaynta joogtada ah, firfircoon, iyo kartida, sumcadda isticmaalaha, iyo caddaynta ka imanaysa kala duwanaanshaha xogta qaybaha iyo waxa ku jira kubbadda tar, ama inta u dhaxaysa kubbadda tar iyo kaydka isha halkaas oo qaybtu ka timaado.
Waxaa jira aag mugdi ah inta u dhaxaysa wakhtiga daabacaadda iyo marka matoorku falanqeeyo waxa ku jira qaybaha, laakiin waa inaysan dhaafin dhowr daqiiqo. Qorshaha waa la beddeli karaa, tusaale ahaan iyadoo la sugayo in qaybo cusub la falanqeeyo ka hor inta aan loo oggolaan in la rakibo oo loo isticmaalo dhismaha software-ka pipelines, ama falanqee marka loo baahdo. Qayb ka mid ah nooca la bixiyay waa mid aan isbeddeli karin [3], marka waxay u baahan tahay in la falanqeeyo hal mar oo keliya.
Otomaatig buuxa ah suurtagal maaha, waana loo baahan yahay dib u eegis amni oo ku saabsan qaybaha khatarta ah. Ka digtoonow taageerayaasha panacea-da dijitaalka ah: AI iyo Barashada Mashiinka laguma sameeyo si ku filan oo loo qaato erayga ugu dambeeya marka ay timaado xaqiijinta haddii qayb laga shakisan yahay ay leedahay malware. Dabcan, barashada mashiinka waxay door muhiim ah ka ciyaartaa mashiinka ogaanshaha ee kala soocida qaybta gelinta ee laga soo qaatay caddaymaha cayriin ee la qabtay, laakiin marka qaybta la "karantiiliyo" erayga ugu dambeeya wuxuu ku jiraa dib u eegista gacanta ee kooxda amniga ee khibrad u leh qaybaha xaasidnimada leh. Tani waxay xaqiijinaysaa malware kasta oo suurtagal ah ama dib u kala soocaysaa mid ammaan ah. Muddada waqtiguna waxay ku jirtaa saacadaha.
Diiwaanku wuxuu ka warbixiyaa nooca/qaybta xaasidnimada leh; ka dibna diiwaanku wuxuu sameeyaa dib u eegistiisa si uu u xaqiijiyo una sii wado shaacinta dadweynaha iyo ka saarista diiwaanka. Diiwaanada qaar waxay hayaan xirmo haynta amniga ah. Muddada halkan ku xusan waa maalmaha ama toddobaadyada laga soo bilaabo daabacaadda, taas oo ah 'Waqti sii deg'ama'daaqadda soo-gaadhista' qaybaha ugu xun badankood.
Ma suurtagal baa in la ogaado haddii nooca qaybtu uu yahay mid xaasidnimo ah?
Markaa si aan u helno digniin hore, waxaan u baahanahay inaan bixinno jawaab ku filan su'aashan: Sideen ku ogaan karaa in maktabad ama xirmo ay tahay mid xaasidnimo ah (aan ahayn)? Sideen u ururin karaa caddayn ku filan oo ku saabsan dhaqanka xaasidnimada leh? Suurtagal, laakiin way adag tahay, maadaama cadowgu ay adeegsadaan xeelado badan si ay uga fogaadaan ogaanshaha. Waxaa jira habab kala duwan, mid walbana wuxuu leeyahay faa'iidooyin iyo khasaarooyin.
Falanqaynta taagan waxay baari kartaa dhammaan waddooyinka fulinta hubinta farsamooyinka ay isticmaalaan weeraryahannada iyaga oo aan socodsiin qaybta, waxayna qaban karaan hawlo ka hor-hawlgalid sida ka-saarista ama-furinta. Marka weeraryahannadu ay isku dayaan inay qariyaan xumaantooda, isku dayga qarinta ayaa runtii ah caddayn malware ah (laakiin ogow in qaybaha sharciga ah ay qarinayaan koodka ilaalinta hantida garaadka, taasoo ka hor imaanaysa "ilo furan"). Kaliya tiro yar oo weerarro aad u casrisan oo leh xannibaad xooggan ayaa u baahan sanduuq ciid ah, laakiin xannibaadda xooggan ee noocaas ah waa calaamad muujinaysa xaasidnimo. Fadlan ogow in dhaqanka caadiga ah uu yahay mid aan caadi ahayn. SAST qalabka waxaa loogu talagalay nuglaanta aan ula kac ahayn, ee looguma talagelin ujeedo xaasidnimo ah sida albaabada dambe.
Falanqaynta firfircoon Wuxuu maamulaa qaybta wuxuuna baaraa jawaabta isagoo adeegsanaya waqtiga socodsiinta, badanaa isagoo bixinaya jawi ciid ku jira. Dhaqanka xaasidnimada leh ee ka dhasha xaalado gaar ah ayaa laga yaabaa inuu dhaco iyadoo aan la ogaan: fadlan ogow in malware-ku uu isticmaali karo farsamooyin leexasho sida Ka-baxsiga Faallooyinka/Ka-baxsiga Sandbox in la hawlgeliyo oo keliya marka aan la baarin, iyo sidoo kale calaamad muujinaysa dhaqdhaqaaq xaasidnimo ah oo loogu talagalay matoor kasta oo falanqayn ah oo aan isbeddelin.
Falanqaynta Awoodaha waxay tixgelisaa waxa qaybtu qabato: meesha ay ku xirto, faylasha ay gasho, amarrada ama barnaamijyada la maamulo, terminalka ama qalabka I/O ee la sameeyay, ama wicitaannada nidaamka ee la sameeyay. Farahaan ku saabsan dhaqanka waxaa lagu barbar dhigi karaa (qayb jirta) noocyada kala duwan, marka la ogaado dhaqan aan la filayn, caddayntaas waxay kicin kartaa shaki ku saabsan dhaqdhaqaaq xaasidnimo ah oo suurtagal ah oo lagu duro nooca cusub. Habkani wuxuu raacayaa tallaabooyinka kala soocidda ee falanqeeyayaasha amniga ay raacaan marka ay la kulmaan malware-ka suurtagalka ah: kormeer isticmaalaya xargaha ama qalab la mid ah. Habkani wuxuu ogaadaa dhaqanka xaasidnimada leh iyadoon loo eegin xaaladaha kiciya wuxuuna shaqeeyaa marka aan la helin koodhka isha.
Falanqaynta macnaha guud waxay ururisaa macluumaad ku saabsan sida qaybta loo daabacay iyo cidda ay u daabacday. Ololaha jilayaasha xun badanaa waxay isticmaalaan akoon isticmaale cusub oo aan ku xirnayn habraac adag oo lagu hubinayo. La socodka dhaqdhaqaaqyadii hore waxay siin kartaa aragtiyo ku saabsan isticmaalaha hoose, inta badan cillado yaryar oo laga yaabo inay tilmaamaan tanaasul suurtagal ah. Sumcaddu aad bay u adag tahay in la kasbado oo aad bay u fududahay in la lumiyo! Isticmaalaha aan lahayn dhaqdhaqaaq hore waa dhexdhexaad, laakiin karma wuxuu raacaa xumaanta. Khiyaameeyayaasha, ama isticmaalayaasha caadiga ah ee haysta aqoonsigooda daabacaadda waa in si taxaddar leh loola socdaa.
Macluumaad kale oo macno leh waa kala duwanaansho kasta oo u dhexeeya kaydka isha ee loo malaynayo in loo isticmaalo in lagu abuuro kubbadda qaybta iyo waxa ku jira kubbadda lafteeda. Iyo sidoo kale raacitaanka dhaqamada wanaagsan, sida abuurista calaamadaha ama sii deynta kaydka isha ee la jaanqaadaya noocyada qaybta lagu daabacay diiwaanka dadweynaha. Marka kaydka isha uu ku jiro meel gaar ah commit waxaa lagu calaamadeeyay sii deynta, ka dibna si lama filaan ah hal nooc ayaa ku guuldareysta inuu raaco, taasi kaliya waa caddayn xooggan oo muujinaysa in qaybta la wasakheyn karo: jilaaga xun wuxuu halis gelin karaa akoonka loo isticmaalay daabacaadda qaybta, laakiin ma haysto ogolaansho qoraal ah oo ku jirta kaydka koodhka isha). Weeraro badan ayaa si joogto ah loo ogaadaa iyadoo la adeegsanayo xeerarkan: tusaale ahaan, Weerarkii Ledgerka si fudud ayaa loo ogaan karaa iyadoo la raacayo xariiqyadan. Sidaa darteed, falanqaynta macnaha guud waxay aqoonsanaysaa cilladaha noocaas ah ee ku jira habka daabacaadda.
Ku-tiirsanaanta Dab-damiska
Hab kale ayaa ah in la helo liis cad oo dhammaystiran oo ah qaybaha dhammaan garaafyada ku-tiirsanaanta ee loo isticmaalo software-kaaga, sidaa darteed dhisme kasta pipeline Ku socodsii ururkaaga oo keliya noocyada qaybaha la ansixiyay ayaa la rakibi karaa oo la isticmaali karaa. "brannmur"waxaa lagu hirgeliyaa diiwaanka gudaha halkaas oo kubbadaha tarball-ka ee noocyada qaybaha la oggol yahay la bixiyo (la kaydiyay ama la wakiiliyay). Fadlan ogow in liis kasta oo cad uusan shaqayn doonin ilaa aad haysato tignoolajiyada loogu kala saarayo nooc kasta oo cusub mid macquul ah oo ammaan ah si loogu daro liiska cad.
Fadlan ogow in digniinta hore (si dhakhso ah loo ogaado sida ugu dhakhsaha badan ka dib daabacaadda nooca cusub) loo baahan yahay in lagu daro hab si loogu isticmaalo macluumaadkaas si firfircoon si loo xakameeyo qaybta saameysa dhismaha pipelinemashiinnada horumariyayaasha ama kuwa horumariya [4]Waxaan tan ugu yeernaa "dab-damis ku-tiirsanaanta": hab karantiil ah oo lagu ilaalinayo dhismayaasha otomaatiga ah ee ka imanaya xirmooyinka xaasidnimada leh. Xirmooyinka gudaha iyo diiwaannada sawirrada ayaa wanaagsan si ay ururada uga ilaaliyaan sharka dibadda, laakiin caddayn xooggan ayaa lagama maarmaan u ah si karantiilku u noqdo mid wax ku ool ah.
Sandboxing-ka waqtiga socodsiinta
Hab kale oo lagu ogaan karo wakhtiga daabacaadda waa in la falanqeeyo dhaqanka wakhtiga hawlgalka. Fikraddu waa in la qabto dhaqanka laga filayo barnaamijka oo la ogaado (ama la xakameeyo) wax kasta oo aan caadi ahayn oo la helo. Tallaabadan ficilku waxay leedahay dhibaatada ah in la isticmaalo wakhtiga hawlgalka si loola socdo ama loo xakameeyo, waana fikrad rajo leh oo lagu dari doono qalabka ilaalinta ee ka dhanka ah cayayaanka qaybaha xunxun.
Dejinta Istaraatiijiyad Dhammaystiran
Istaraatiijiyadda lagu taliyay waxay u baahan tahay inay isku darto farsamooyin kala duwan oo ku jira habka horumarinta software-ka, iyadoo la xakameynayo cusbooneysiinta nooca si loo xakameeyo qaybaha xaasidnimada leh ee soo socda. Waa inaan aqbalnaa pinning nooca si looga fogaado caabuq toos ah oo leh cusbooneysiinta noocyada si loo helo hagaajin ku saabsan nuglaanta muhiimka ah; qiimeyn degdeg ah oo hufan oo ku saabsan ku tiirsanaanta tooska ah iyo tan dadban inta lagu jiro cusbooneysiinta nooca si loo helo caddayn ku filan oo ah inaysan ku jirin malware-ka. Dhismayaasha software-ka ee ku tiirsan qaybaha xaasidnimada leh ee la yaqaan waa in la xannibaa. Dhammaantoodna waa in la dhaqan geliyaa.
Isticmaal biinanka nooca, marka ay suurtogal tahay, maadaama ay ka dhigayso dhismaha mid la soo saari karo. Biinanka nooca oo leh cillado la xakameeyey, oo gacanta lagu ansixiyay, Iyo oo ay gacan ka geysatay tignoolajiyada caawiye, waa inay qiimeeyaan haddii cusbooneysiintu ay keento malware ama ay jabiso software-ka, iyo inay dib u habeeyaan cusbooneysiinta si loo hagaajiyo nuglaanta iyadoo laga fogaanayo caabuqa malware-ka. Qalabka ayaa halkan ka caawin kara, iyadoo (1) mudnaanta la siinayo nuglaanta dhabta ah ee muhiimka ah (la gaari karo oo laga faa'iideysan karo, iyadoo ay jirto khatar sare oo ah in weeraryahannadu bartilmaameedsadaan), (2) xulashada noocyada bartilmaameedka ah ee la jaan qaadaya isticmaalka qaybaha hadda jira oo aan jabin software-ka, (3) doorashada noocyada bartilmaameedka ah ee aan ku jirin dhaqanka xaasidnimada, iyo (4) ka dhigista cusbooneysiinta nooca ku tiirsanaanta tooska ah iyo tan dadban mid degdeg ah, iyadoo la soo jeedinayo isbeddello ku yimaada faylasha muuqda ee si dhakhso ah loo ansixin karo. Tallaabada (3) waxay u baahan tahay macluumaad gaar ah oo ku saabsan qaybaha xaasidnimada leh sida ugu dhow waqtiga daabacaadda ee suurtogalka ah.
Hawshan cusboonaysiinta ku-tiirsanaanta waa inay noqotaa dhaqan gal iyo xaqiijiyay meel kasta. Geedi socodka waa in la diiwaangeliyaa, dhammaan dhinacyada ku lugta lehna waa in la tababaraa, maadaama inta badan horumarinta iyo dhismaha/fulinta software-ka ay dibadda ka soo baxdo. CI/CD pipelines waa in si waafaqsan wax looga beddelaa, si otomaatiggu uusan u oggolaanayn ku tiirsanaan aan toos ahayn oo xaasidnimo leh inay ku dhex gasho dhismaha: guardrails Xayiraadda dhismaha haddii ay jirto caddayn ku filan oo muujinaysa in malware-ku uu ku xiran yahay ku tiirsanaantu waa habka lagu taliyay in la maro.
Haddii ururkaagu leeyahay diiwaan gudaha ah oo u shaqeynaya sidii wakiil amni oo haya noocyada qaybaha la oggol yahay, waa inaad heshaa sirdoon ku saabsan qaybaha xaasidnimada leh (marka laga reebo shuruudaha kale) si aad u xaqiijiso qaybta la codsaday ka hor intaadan ku darin liiska gunnada.
Isticmaalka barnaamijyada furan ee badbaadada leh ma fududa, waana in si buuxda loo tixgeliyaa qodobka malware-ka, iyadoo dadaal la mid ah la gelinayo maaraynta nuglaanta.
Hal qoraal oo kama dambeys ah: Asalka isha, oo ah qaab caddeyn software ah, oo la sameeyay xilligii dhismaha qaybta, waa qayb kale oo muhiim ah oo ku jirta dadaalka lagu raadraacayo macmalka (qaybta tarball) ilaha iyo habka dhismaha ee soo saaray. Xusuusnow in xiriirkan u dhexeeya sawirka isha + deegaanka dhismaha iyo macmalka software-ka ee la xiriira (oo uu saxiixay nidaamka dhismaha ee la aamini karo) uusan ka hortageynin in qaybtu aysan ku jirin dhaqan xaasidnimo ah, laakiin ay ka dhigayso mid adag in kuwa xun ay ku duraan malware-ka. Iyo ka dhigista xaqiijinta asalka shuruudo caadi ah oo lagu isticmaalo qaybaha isha furan waxay qaadan doontaa waqti dheer, oo kaliya dhawaan lagu daray NPMKa dhigista dhismaha la aamini karo iyo nidaamyada la hawlgeliyo mid aan faragelin ku samaynayn, ama awood u siinta ogaanshaha wax kasta oo faragelin ah oo ku jira dhismaha waa sheeko ka duwan, oo ka baxsan baaxadda qoraalkan.
reading dheeraad ah
Qaybta xigta Xirmooyinka Xasaasiyadda ah ee Ilo Furan: Habka Xygeni waxaan soo bandhigi doonaa istaraatiijiyadda aan raacno ee Xygeni si aan u gaarno ujeeddadeenna. Digniinta Hore ee Malware-ka Nidaamka (MEW). Noocyada cusub ee xirmooyinka ee ku jira diiwaannada dadweynaha iyo sawirrada ayaa la sawiraa waxaana la helaa caddaynta iyadoo la adeegsanayo isku-darka falanqaynta joogtada ah, firfircoon, awoodaha, iyo macnaha guud. Caddeynta, oo ay weheliso sumcadda isticmaalaha iyo taariikhda isbeddellada kaydka koodhka isha, waxay u oggolaanaysaa kala-soocid otomaatig ah oo qayb ka mid ah qaybaha khatarta sare leh iyo kuwa laga yaabo inay xaasidnimo yihiin. Nidaamku wuxuu wax ka bartaa caddayntii hore ee laga soo ururiyay xirmooyinka si loo yareeyo waxyaabaha beenta ah ee wanaagsan ugu yaraan.
Ururada isdiiwaangeliyay waxay helaan ogeysiis digniin ah oo ku saabsan qaybaha ay isticmaalayaan, si toos ah ama si dadban, marka nooc xaasidnimo ah la kala saaro. Kadib falanqayn gacmeed ayaa waxaa sameeya falanqeeyayaashayada, kaas oo xaqiijinaya ama diidaya kala soocidda. Wixii malware ah ee la xaqiijiyay, diiwaanka dadweynaha ayaa la ogeysiiyaa si uu u sameeyo falanqayntiisa oo uu caadi ahaan uga saaro nooca xaasidnimada leh ama uu qaado tallaabo dheeraad ah, sida xannibaadda ama ka saarista akoonka isticmaalaha ee su'aasha laga qabo.
Waxaan sharxi doonnaa sida aan uga caawinayno NPM, PyPI, GitHub, iyo kaabayaasha kale ee muhiimka ah ee nidaamka deegaanka isha furan si loo yareeyo waqtiga la joogo qayb cusub oo xaasidnimo ah oo la daabacay ayaa firfircoon ilaa laga xaqiijiyo malware-ka oo laga saaro diiwaanka. Iyo sida ururradu uga faa'iidaysan karaan nidaamka MEW si ay u helaan ilaalin aad uga wanaagsan weerarrada silsiladda sahayda software-ka ee ku lug leh qaybaha isha furan.
- [1] Si kastaba ha ahaatee, dadka isticmaala qaybta waxay u baahan yihiin inay hubiyaan in kubbadda qaybta lagu kaydiyay ama lagu diiwaan geliyay meel, tusaale ahaan diiwaanka gudaha, si cudurka loo ciribtiro.
- [2] Qaybta la xirxiray waxaa ku jira caddayn muujinaysa waxa ku jira iyo xogta, koodhka isha ama la soo ururiyey, qoraallada rakibaadda, iyo waxyaabo dheeraad ah sida qalabka tijaabada, iyadoo loo eegayo qaabka baakadaha iyo caadiyan qaab la cadaadiyey. Tan waxaa loo yaqaan "kubadda qaybta".
- [3] Xitaa haddii qofka xaasidnimada leh uu wax ka beddeli karo qayb la daabacay sababtoo ah jebinta diiwaanka laftiisa, falanqaynta sirta ah ee caadiga ah waxay ogaan kartaa isbeddel kasta oo ku yimaada kubbadda laamiga ka dib marka la sameeyo falanqaynta.
- [4] Xasuuso in qaar ka mid ah qaybaha xaasidnimada leh ay shaqeeyaan waqtiga rakibidda, sidaa darteed waxay saameyn kartaa qanjidhada horumariyayaasha ee si aan ula kac ahayn u shaqeeya "npm install X" oo leh qayb xaasidnimo ah oo X ah.
