Ntlafatso ea software ea sejoale-joale e itšetlehile ka likarolo tse ngata tsa mohloli o bulehileng. Laeborari ka 'ngoe e potlakisa phano, empa e ka boela ea baka likotsi tse patehileng. Ho itšetleha ho le leng ho siiloeng ke nako kapa ho sa sireletsehang ho ka pepesa pipeline kapa tikoloho ea tlhahiso.
Ke ka lebaka lena lisebelisoa tsa ho hlahloba boitšepo li bapala karolo ea bohlokoa ho DevSecOps ea sejoale-joale. Li thusa bahlahisi ho fumana, ho latela le ho lokisa bofokoli esale pele, ho boloka software e sireletsehile ebile e tšepahala. Leha ho le joalo, ho hlahloba habonolo ho itšetleha ha ho sa lekana. lisebelisoa tsa 'mapa oa ho itšetleha ka lits'ebetso eketsa moelelo, ponahalo, le boiketsetso. Ha li bontše feela hore na ke likarolo life tseo u li sebelisang empa hape le hore na li hokahana joang, li itšoara joang, le hore na ke life tse ka sebelisoang hampe.
Hobaneng ha Lisebelisoa tsa ho Lekola Botšepehi li le Bohlokoa
Ka ho itima lijo ha kajeno CI/CD mesebetsi, ho itshetleha ho hotjha ho hlaha hoo e ka bang moahong o mong le o mong. Tse ding di ka ba le di-CVE tse tsejwang, di-setting tse sa bolokehang, kapa esita le khoutu e kotsi. Ka lebaka leo, dihlopha di itshetlehile ka lisebelisoa tsa ho hlahloba boitšepo ho lemoha le ho lokisa mathata pele a lokolloa.
Lisebelisoa tsena li hlahloba mananeo a projeke, lijana le ho haha lifaele. Ebe li bapisa likarolo tsa hau le li-database tsa sechaba tsa bofokoli tse kang National Vulnerability Database (NVD) 'me OSV.dev. Hobane sena se etsahala ka bohona, bahlahisi ba ka tsepamisa maikutlo ho kh'outong ho e-na le ho shebana le litlhahlobo tse etsoang ka letsoho.
Leha ho le jwalo, disebediswa tsa ho hlahloba botshepehi di totobatsa mathata a tsejwang feela. Bakeng sa kutlwisiso e tebileng, mekgatlo jwale e sebedisa lisebelisoa tsa 'mapa oa ho itšetleha tse bonang dikgokelo pakeng tsa dikarolo le ho lemoha ditsela tsa nnete tsa ho senya. Ka lebaka leo, dihlopha di tloha ho ho lokisa ka tsela e arabelang ho ya ho tshireletso e tswelang pele, e tswelang pele.
Lisebelisoa tsa ho Hlahloba Botšepehi 101
A tlhahlobo ea ho itšetleha e sekaseka ho itshetleha ha projeke, e batla dilaeborari tse tsamaellanang le bofokodi bo tsejwang. E bokella metadata, jwalo ka mabitso a diphuthelwana le diphetolelo, mme e di bapisa le di-database tsa setjhaba. Tshebetso ena e hlwaya software e siilweng ke nako kapa e kotsing pele e fihla tlhahisong.
Karolo ea Tlhahlobo ea Botšepehi ba OWASP
Har'a li-scanner tsohle, Tlhahlobo ea Boitšetleho ba OWASP ke e mong oa ditharollo tse tsebahalang haholo tsa mohlodi o bulehilengE lemoha lilaeborari tse nang le li-CVE tse tsejoang, e abela lintlha tsa boima (CVSS), 'me e hlahisa litlaleho tseo bahlahisi ba ka li sebelisang.
Kaha ke mahala ebile e tsamaisoa ke sechaba, e ntse e le sebaka se molemo sa ho kena bakeng sa lihlopha tse ngata ho qala ka SCA (Tlhahlobo ea Sebopeho sa Software).
Leha ho le jwalo, OWASP Dependency-Check e na le meedi ya yona. E shebana feela le bofokodi bo tsejwang mme e itshetlehile hodima botjha ba database. Ho feta moo, ha e lekanye bokgoni ba ho sebediswa kapa ho fihlelleha. Ka lebaka leo, bahlahisi ba tlameha ho etsa qeto ka letsoho hore na ke dikotsi dife tse bohlokwa ka ho fetisisa.
Lisebelisoa tsa sejoale-joale tsa 'mapa oa ho itšetleha li rarolla sena ka ho eketsa moelelo oa nako ea ho sebetsa, ho bolela esale pele hore na ho ka sebelisoa eng, le litokiso tse iketsahallang.
Ho tloha ho Hlahloba ho Itšetleha ho ea ho 'Mapa oa ho Itšetleha
Li-scanner tsa setso li araba potso e le 'ngoe: "Ke lintho life tse itšetlehileng ka batho tse kotsing?"
Leha ho le jwalo, merero ya sejwalejwale e hloka moelelo o eketsehileng. Dihlopha jwale di a botsa: "Ho itshetleha hona ho sebediswa hokae?", "Na khoutu e kotsing e ka fihlelleha?", 'me "Na e ama litsamaiso tsa bohlokoa?"
A sesebelisoa sa 'mapa oa ho itšetleha e haha kerafo e felletseng ea lilaeborari tsa hau le kamoo li hokahanang kateng. E latela mekhoa e tobileng le e fetohang, e senola kamoo bofokoli bo le bong bo ka jalang lits'ebeletsong kapa lijaneng.
Seo Lisebelisoa tsa Mepa ea Boitšetleho ba Mehleng ea Kajeno li Fanang ka Sona
- Tlhahlobo ea phihlello: Hlalosa hore na litsela tsa khoutu tse kotsing li hlile li sebelisoa.
- Lintlha tsa tšebeliso e mpe: Kopanya boima ba CVSS le data ea monyetla oa EPSS.
- Moelelo oa thepa: Bontša hore na ke lits'ebeletso kapa lits'ebetso life tse itšetlehileng ka kotsi.
- Kopanyo e tswelang pele: Etsa licheke CI/CD pipelines bakeng sa maikutlo a nako ea sebele.
- Tšehetso ea ho lumellana: kenyang SBOMs le ho netefatsa dilaesense tsa mohlodi o bulehileng ka bohona.
Ka hona, 'mapa oa ho itšetleha o fetola litlaleho tse sa fetoheng hore e be bohlale ba ts'ireletso bo ka sebetsang.
Lisebelisoa tsa ho hlahloba ho itšetleha ha batho ba bang khahlanong le ho sebelisa 'mapa oa ho itšetleha ha batho ba bang
Ka tlase ke papiso e hlakileng pakeng tsa mekhoa ena e 'meli:
| Feature | Lisebelisoa tsa ho Hlahloba Botšepehi | Lisebelisoa tsa ho Etsa 'Mapa oa ho Itšetleha |
|---|---|---|
| morero | Lemoha bofokoli bo tsebahalang. | Bontša likamano tsa ho itšetleha le tšusumetso. |
| Mehloli ea Boitsebiso | NVD, OSV.dev. | NVD + OSV + diphepelo tsa ho sebediswa (EPSS, KEV). |
| botebo | Ho hlahloba merero ka mokhoa o sa fetoheng. | Ho fihlella nako ea ts'ebetso le moelelo oa khoebo. |
| seba | Ho skena ka letsoho kapa ka lenaneo. | tsoelang pele CI/CD kopanya. |
| Phokotso | Ho lokisa ka letsoho. | gana pull requests le liapdeite tsa mofuta o bolokehileng. |
| ponahalo | Sepheo sa projeke e le 'ngoe. | Tšireletso e felletseng ea ketane ea phepelo. |
Ka lebaka leo, lisebelisoa tsa ho hlahloba boitšepo li theha motheo o tiileng, athe lisebelisoa tsa 'mapa oa ho itšetleha eketsa ponahalo e matla, boiketsetso, le pelecision.
Kamoo Xygeni e Ntlafatsang Tlhahlobo ea ho Itšetleha
Lisebelisoa tsa ho hlahloba boitšetleho li theha motheo o tiileng oa ts'ireletso. Leha ho le joalo, lisebelisoa tsa 'mapa oa boitšetleho li eketsa ponahalo, boiketsetso, le pelecision eo diskena tse bonolo di ke keng tsa e fana.
Sekenara sa ho Itšetleha ka Xygeni E nka kgato ena e le nngwe ho ya pele. E hokahanya ho lemoha le moelelo wa nnete, boiketsetso, le mesebetsi ya baqapi.
Ho ena le ho hlahisa litlaleho tse sa fetoheng, e fa lihlopha ponahalo e tobileng le temohisiso e hlakileng, e sebetsang ho tloha khoutung ho ea ho nako ea ts'ebetso.
Ha a ntse a Tlhahlobo ea Boitšetleho ba OWASP e shebane le ho fumana bofokoli bo tsebahalang, Xygeni e haha holim'a seo standardE eketsa kamano, lintlha tsa ts'ebeliso, le tokiso ea othomathiki kahare ho CI le CD pipelines.
Ka hona, bahlahisi ba qeta nako e nyane ba hlahloba litemoso le nako e ngata ba fana ka khoutu e sireletsehileng le e tsitsitseng.
Ho tloha ho Temoho ho ea ho DecisIon
Xygeni ha e etse feela ho lemoha dikotsi. E thusa dihlopha ho etsa qeto ya hore na ke eng e hlileng e leng ya bohlokwa.
Ha ho hlaha bofokodi bo bocha, sekena se hlahloba hang-hang:
- Moo e lulang teng: hore na ke libaka life tsa polokelo kapa mehaho efe e sebelisang boitšetleho bo amehileng.
- Haeba e sebetsa: hore na tsela ea khoutu e kotsing e sebetsa nakong ea ts'ebetso.
- E tebile hakae: e kopanya data ea CVSS, EPSS, le KEV ho utloisisa tšusumetso ea 'nete.
- Seo u lokelang ho se etsa ka mor'a moo: e fana ka tlhahiso ea phetoho e sireletsehileng ea mofuta, patch, kapa tlhophiso.
Ts'ebetso ena e fetola ho lemoha ho hlakileng hore e be pheko e tataisoang le e nang le kholiseho.
Boiketsetso bo Tsepamisitsoeng ke Moqapi
Ho fapana le di-scanner tsa setso, Xygeni e sebetsa moo bahlahisi ba seng ba ntse ba sebetsa teng: ka CI/CD pipelines, Liketso tsa GitHub, kapa li-IDE tsa tsona.
E hlahloba e 'ngoe le e 'ngoe pull request 'me commit ka bohona, ho thibela ho kopanngoa ho sa sireletsehang le ho sisinya lintlafatso tse sireletsehileng ha ho hlokahala.
Bokgoni bo ka sehloohong bo kenyeletsa:
- Ho skena ho tsoelang pele: E beha leihlo libaka tsohle tsa polokelo hang ha likeletso tse ncha li hlaha.
- Ho fihlelleha le ho sebelisoa hampe: Bapisa lintho tse fumanoeng le data ea nako ea ts'ebetso ho totobatsa likotsi tsa 'nete, tse ka sebelisoang hampe.
- Ho beha lintho pele ka bohlale: E hlopha bofokodi ka ho teba, ho fihlella habonolo le bohlokoa ba khoebo.
- Litokiso tse iketsang: The Xygeni Bot e bula secure pull requests, e leka lintlafatso, 'me e li kopanya hang ha li netefalitsoe.
- SBOM le ho latela laesense: E bōpa SPDX 'me CycloneDX e tlaleha mme e netefatsa ho latela melao ya laesense ka boiketsetso.
Ka lebaka la othomathiki ena, seo pele se neng se nka dihora jwale se etsahala phallong e tlwaelehileng ya ntshetsopele.
Ka Nģ'ane ho Skena ho sa Fetoheng
Li-scanner tsa setso li emisa ha li fumanoa. Xygeni e tsoela pele ho feta ka ho fetola liphetho hore e be tsoelo-pele e ka lekanngoang.
Temoso ka 'ngoe e kenyelletsa ho fihlella habonolo, ho sebelisa habonolo, le lintlha tsa tokiso. Sena se fana ka ponahalo e felletseng ho tloha ho sibolloeng ho isa tharollong.
Ketso e 'ngoe le e 'ngoe e ngoloa bakeng sa tlhahlobo, e leng se thusang lihlopha ho fihlela melaoana e kang NIS2, DORA, kapa SSDF.
Ponahalo ena e boetse e paka hore bofokoli bo fumanoe, bo hlahlobiloe, 'me bo lokisitsoe ka nako.
Mohlala: Ho Sebetsa 'Mapa oa ho Itšetleha
Ak'u nahane hore projeke ea hau e kenyelletsa log4j core lits'ebeletsong tse 'maloa.
Tlhahlobo ea motheo ea ho itšetleha ka batho e tla tšoaea bothata empa e ke ke ea hlalosa tšusumetso ea bona.
le 'Mapa oa ho itšetleha ha Xygeni, o ka bona hang-hang:
- Ke lits'ebeletso life tse sebelisang laeborari.
- Hore na sehlopha se kotsing se ka fihlelleha kapa che.
- Ke mofuta ofe o bolokehileng ho ntlafatsoa.
Ebe, the Xygeni Bot e etsa pull request, e leka tokiso ho pipeline, mme e koala bothata hang ha bo kopantswe.
Ts'ebetso ena e fokotsa mosebetsi oa matsoho, e thibela tieho, 'me e thibela batho ba itšetlehileng ka bona hore ba se ke ba fihla tlhahisong.
Lebaka Leo e Leng ea Bohlokoa
Ka ho hokahanya tlhahlobo ea boitšepo, ho tseba likarolo, 'me tokiso e itirisang, Xygeni e fetola AppSec hore e be ts'ebetso e bonolo, e tsoelang pele.
E thusa lihlopha ho lemoha esale pele, ho beha lintho pele ka potlako, le ho lokisa lintho ka kholiseho, tsohle ntle le ho liehisa nts'etsopele.
Ka bokhutšoanyane, Xygeni e etsa hore ts'ireletso ea boitšepo e tsoele pele, e hlake, 'me e iketsahalle. Ke tsela e bohlale bakeng sa lihlopha tsa DevSecOps ho sireletsa software ea bona ho tloha qalong ho isa ho lokolloeng.
Mehopolo ea ho Qetela: Ho tloha ho Lekola ho Itšetleha ho ea ho 'Mapa o Tsoelang Pele
Ntlafatso ea software ea sejoale-joale e tsamaea ka potlako. Lisebelisoa tsa setso tsa ho hlahloba ho itšetleha joalo ka OWASP Dependency Check li ntse li le molemo, empa li bontša feela seo ho tsejoang hore se kotsing. Ha li hlalose hore na ke likotsi life tse bohlokoa haholo kapa hore na li fumanoa hokae khoutung ea hau.
Ke ka lebaka leo lihlopha hona joale li sebelisang lisebelisoa tsa 'mapa oa ho itšetleha ka lits'ebetso. Lisebelisoa tsena li eketsa moelelo le ponahalo. Li bontša hore na ke likarolo life tse sebetsang, ke bofokoli bofe bo ka fihlellehang, le hore na ke life tse ka amang meaho ea hau. Ha mekhoa ena ka bobeli e sebetsa 'moho, bahlahisi ba fumana taolo e felletseng 'me ba ka lokisa kapele.
Xygeni e kopanya mehopolo ena. E hahuwa hodima mohlodi o bulehileng o pakilweng standards mme e eketsa boiketsetso, diteko tsa phihlello, le tokiso e tataiswang. Tshireletso e ba karolo ya potoloho ya ntshetsopele, eseng kgato e eketsehileng e liehang.
Ka bokhutšoanyane, lemoha esale pele, utloisisa lintho tseo u itšetlehileng ka tsona ka ho hlaka, 'me u lokise mathata ka bohona. Ke kamoo lihlopha tsa sejoale-joale li sireletsang software ea tsona ka Xygeni.
About Mongoli
ngotsoeng ke Fatima Said, Motsamaisi oa Papatso ea Litaba ea ikhethang ka Tšireletso ea Likopo ho Tšireletso ea Xygeni.
Fátima e theha dikahare tse loketseng bahlahisi, tse thehilweng dipatlisisong ho AppSec, ASPM, le DevSecOps. O fetolela mehopolo e rarahaneng ea tekheniki hore e be temohisiso e hlakileng, e sebetsang e hokahanyang boqapi ba ts'ireletso ea inthanete le tšusumetso ea khoebo.
