Litlhaselo tsa ketane ea phepelo ea software li ntse li ata haholo ebile li senya. Mohlala, Gartner e bolela esale pele hore 45% ea likhoebo tsohle li tla ba le bothata ba ho robeha ha khoebo ka 2025. Ho phaella moo, Ts'ireletso ea cyber e totobatsa botebo ba tšokelo ena, e bolela tšenyo e makatsang ea $138 bilione ka selemo ka 2031. Ka kakaretso, likhakanyo tsena li totobatsa tlhoko e potlakileng ea hore mekhatlo e behe lintho pele software supply chain security le ho kenya tshebetsong mehato e matla ya ho sireletsa tlhahisoleseding ya bohlokwa, tshebetso le botumo.
Hobane ea sejoale-joale pipelineHo itshetlehile haholo ka dikarolo tsa kantle, ho phahama ha dilaeborari tsa mokga wa boraro, dipotoloho tse potlakileng tsa ntshetsopele ya software, diketane tse rarahaneng tsa phepelo, ho hloka ponahalo, mekgwa e metjha ya tlhaselo, ho amohelwa ha SaaS, le mehlodi e fokolang kaofela di baka keketseho e kgolo ya litlhaselo tsa ketane ea phepelo ea softwareKa hona, mekhatlo e tlameha ho amohela mokhoa o felletseng le o mafolofolo oa ho sebetsana le liphephetso tsena le ho sireletsa liketane tsa bona tsa phepelo ea software.
Tlhaselo ea Ketane ea Phepelo ea Software ke eng?
ENISA ho hlalosa a Tlhaselo ea Ketane ea Phepelo ea Software as "tumellano ea letlotlo le itseng, mohlala, meralo ea motheo ea mofani oa software le software ea khoebo, ho senya sepheo kapa lipheo tse itseng ka tsela e sa tobang, mohlala, bareki ba mofani oa software." Ka mantsoe a mang, Tlhaselo ea Software Supply Chain ke ketso e kotsi e shebaneng le ketane ea phepelo ea software, e ikemiselitseng ho beha kotsing le ho kenya bofokoli kapa malware ts'ebetsong ea nts'etsopele le kabo. Ka lebaka leo, mofuta ona oa tlhaselo o sebelisa marang-rang a hokahaneng le a atisang ho ba a rarahaneng a lits'ebetso, lisebelisoa le mekhatlo e amehang ho haheng le ho faneng ka software.
Likarolo tsa bohlokoa le mehopolo e amanang le Tlhaselo ea Ketane ea Phepelo ea Software
Bohlale ba tšokelo ea inthanete le lingoliloeng tsa infosec hangata lia senyeha litlhaselo tsa ketane ea phepelo ea software ka mekhahlelo e fapaneng bakeng sa tlhahlobo le ts'ireletso e betere. Ka hona, karolo ena e hlahisa mehopolo e mehlano ea bohlokoa e hlalositsoeng ke Khataloge ea Mekhoa ea Tlhaselo ea MITREMeaho ena ea lethathamo la li-catalog e fana ka mekhoa ea tlhaselo ea ketane ho nolofatsa tlhahlobo ho sebelisoa mehloli e fapaneng, ho kenyeletsoa le litšokelo tsa bahanyetsi tse bokelletsoeng ke NIST.
Molao oa Tlhaselo: Ke Eng
Ketso ea tlhaselo ke ketso e itseng e fanang ka moroalo o kotsi kapa morero ho sistimi. Ka lebaka leo, e baka kotsi e tobileng.
- Mohlala oa 1: Malware e kentsoe softwareng ea sistimi nakong ea ts'ebetso ea kaho.
- Mohlala oa 2: Litlhoko tsa sistimi kapa litokomane tsa moralo li fetotsoe ka lonya.
Vektara ea Tlhaselo: Mokhoa oa ho Etsa
Vektara ea tlhaselo ke mokhoa oo lira li o sebelisang ho sebelisa bofokoli kapa mefokolo ea ts'ebetso. Ka lebaka leo, e bontša kamoo bahlaseli ba kenang le ho sebelisa hampe sebaka sa tlhaselo.
- Mohlala oa 1: Mohlaseli o fetola khoutu ea mohloli sebakeng sa polokelo se senyehileng.
- Mohlala oa 2: Mohlaseli o fumana phihlello e sa lumelloang litokomaneng tsa tekheniki tsa kahare.
Hlahloba ho eketsehileng ho rona Tlhaloso ea Vektheri ea Tlhaselo bakeng sa boitsebiso bo eketsehileng.
Tšimoloho ea Tlhaselo: The Who
Tšimoloho e khetholla mohloli oa tlhaselo. Ka hona, e hlakisa karolo ea mohlaseli, boemo, kapa kamano ea hae le sistimi.
- Mohlala oa 1: Motho ea ka hare ea nang le phihlello e khethehileng ho li-server tsa kaho o fetola sengoloa.
- Mohlala oa 2: Motho ea sebelisang litšokelo tsa kantle o kenya sephutheloana sa trojanized ho ngoliso ea sechaba.
Sepheo sa Tlhaselo: Lebaka
Sepheo se hlalosa lebaka la tlhaselo. Ka holim'a tsohle, se totobatsa seo bahanyetsi ba batlang ho se finyella.
- Tshitiso: ho emisa lits'ebeletso kapa ho haha.
- Bobolu: ho fokotsa tshepo ka ho fetola dintho tsa kgale kapa khoutu ya mohlodi.
- Ho senola: ho dutla diphiri tse tebileng kapa thepa ya kelello.
Tšusumetso ea Tlhaselo: Liphello
Qetellong, tshusumetso e hlalosa diphetho tsa tlhaselo, e bontsha ditlamorao ho bafani ba software le bareki.
- Mohlala oa 1: Morero ofe kapa ofe o sebelisang lenaneo le lebe o tla senyeha hamorao.
- Mohlala oa 2: Batho ba kenya software e mpe lits'ebetsong tsa bona tsa mosebetsi ba sa tsebe.
Litlhaselo tse Tloaelehileng haholo tsa Ketane ea Phepelo ea Software
Mefuta e mengata ea litlhaselo tsa ketane ea phepelo ea software di teng, mme mekgatlo e tlameha ho ela hloko ditshoso tse fapaneng mohatong o mong le o mong wa potoloho ya bophelo. Ho itshetlehile hodima moralo oa SLSA, Setsi sa Naha sa US sa Standards le Theknoloji (NIST), 'me Setsi sa Tšireletso ea Marang-rang le Meralo ea Motheo (CISA), litšokelo tsena li ka aroloa ka lihlopha tse 'ne: mohloli, moaho, sephutheloana le likotsi tsa ho itšetleha.
Litlhaselo tsa Ketane ea Phepelo ea Software Mothating oa Mohloli
- Romela khoutu e fosahetseng → bona hore na joang Kopo ea Flask. fumana tšebeliso e mpe or mefokolo ea ho se sireletsehe ha ho se be le letoto la lihlooho theha libaka tsa tlhaselo e tobileng.
- Repo ea mohloli oa ho sekisetsa
- Haha ho tsoa mohloling o fetotsoeng
- Ngola khoutu e sa sireletsehang
- Ho senya lifaele tsa bohlokoa → joalo ka ha ho hlalositsoe ho Tlhahlobo ea chmod 777 ea monyako o ka morao.
Litlhaselo tsa Ketane ea Phepelo ea Software Mokhahlelong oa Kaho
ka Haha Sethala, bahlahisi ba bokella le ho kopanya khoutu ho mofuta o sebetsang. hobane mohato ona o bohlokoa haholo, likotsi li kenyelletsa ho tlola liteko tsa ts'ireletso ho CI/CD pipeline, ho fetola khoutu kamora taolo ya mofuta, kapa ho beha tshebetso ya kaho kotsing. Ka lebaka leo, khoutu e kotsi e ka kena ka hare ho lintho tsa khale tse sa bonahaleng.
- Ho potoloha CI/CD → e hokahantsoe le malware a hahiloeng esale pele ho GitHub.
- Fetola khoutu kamora taolo ea mohloli
- Mokhoa oa ho haha ho sekisetsa → ho fokotsoa ke Temohisiso ea DevSecOps esale pele.
- Sebaka sa polokelo ea lintho tsa khale tse entsoeng ka maiketsetso
Litlhaselo tsa Ketane ea Phepelo ea Software Mokhahlelong oa Sephutheloana
The Sethaleng sa Sephutheloana ke ha re kopanya khoutu yohle ho etsa sehlahisoa sa ho qetela. Karolo ena e kotsi hobane motho e mong a ka sebelisa liphutheloana tse mpe kapa a fetola libaka tsa inthanete tseo re li fumanang ho tsona. Bahlaseli ba ka ba ba kenya mefuta e kotsi ea liphutheloana tse tsebahalang liwebsaeteng tsena.
- Sebelisa sephutheloana se senyehileng → se koahetsoeng Litlhahlobo tsa sekena sa malware.
- Ngoliso ea sephutheloana sa ho sekisetsa
- Kenya sephutheloana se fetotsoeng → se hlahlobiloe ho Malware a jenereithara ea bohata ea Namso-gen.
Litlhaselo tsa Ketane ea Phepelo ea Software Mokhahlelong oa ho Itšetleha
ka Mokhahlelo oa ho Itšetleha, re eketsa lilaeborari le liphutheloana tsa batho ba bang ho software ea rona. Mokhahlelo ona o kotsi hobane mathata afe kapa afe likarolong tseo a ka namela habonolo le ka khutso ho karolo e setseng ea projeke.
- Sebelisa ho Itšetleha ka ho Sekisetsa → ho hlalositsoe ka Likotsi tsa DoS ho batho ba itšetlehileng ka ho patoa.
- Litšekamelo tse siiloeng ke nako kapa tse kotsing
- Likotsi tsa ho Itšetleha ka Phetoho
- Lingoliso tsa Liphutheloana tse Lonya → li fokolitsoe ka Lisebelisoa tsa ts'ireletso tsa DevOps 'me taolo ya kotsi ya motho wa boraro.
Likotsi tse Tloaelehileng tsa Ketane ea Phepelo Mokhahlelong o Mong le o Mong oa SDLC
| Mohato | Litšokelo tse Tloaelehileng | mohlala |
|---|---|---|
| mohloli o moholo | • Ho romela khoutu e kotsi kapa e sa sireletsehang • Ho senya lifaele tsa bohlokoa • Ho beha polokelo ea mohloli kotsing | XcodeGhost (2015): khoutu e kotsi e kentsweng ka har'a komporo ea Xcode ea Apple, e namela ho pholletsa le lisebelisoa tsa iOS. |
| haha | • Ho feta tekano CI/CD liteko tsa ts'ireletso • Ho fetola khoutu kamora taolo ea mohloli • Libaka tsa polokelo ea lintho tsa khale tse behang kotsing | SolarWinds Orion (2020): bahlaseli ba ile ba kenella ka hare ho moaho pipeline, ho kenya monyako o ka morao ho lintlafatso tsa software tse saennoeng. |
| sephutheloana | • Ho kenya liphutheloana tse fetotsoeng • Lingoliso tsa liphutheloana tsa chefo • Ho aba mesebetsi ea matsoho e senyehileng | Ketsahalo ea NPM (2018): mohlaseli o kentse lemati le ka morao ka har'a sephutheloana se tummeng sa NPM se jarollotsoeng ka makhetlo a likete. |
| ba itshetlehileng | • Ho sebelisa mekhoa e siiloeng ke nako kapa e kotsing • Ho sebelisa hampe mekhoa e fetohang • Ho phatlalatsa liphutheloana tse shebahalang joaloka tse kotsi | XZ Utilits Backdoor (2024): laeborari ea khatello ea trojanized e batlile e romelloa ka tlase ho kabo ea Linux. |
Mekhoa e Tloaelehileng ea Tlhaselo ea Ketane ea Phepelo ea Software
Ho ea ka CISTlaleho ea A le ea NIST, litlhaselo tsa ketane ea phepelo ea software hangata li oela likarolong tse tharo tse kholo.
Leha ho le jwalo, diketsahalo tsa moraorao di bontsha di-vector tse ding tseo bahlahisi ba lokelang ho di utlwisisa.
Ka tlase re atolosa mekhoa e nepahetseng ka ho fetisisa ka mehlala e sebetsang.
Lintlafatso tsa Bosholu ba Litlhaselo
Bahlaseli ba beha mekhoa e nepahetseng ea ntlafatso kotsing ho aba malware.
Mohlala, tlhaselo ea NotPetya ka 2017 e ile ea sebelisa hampe seva ea ntlafatso ea software ea lekhetho ea MEDoc ea Ukraine, e fana ka
malware e senyang e ipatileng joaloka patch. Ho itšireletsa khahlanong le kotsi ena, lihlopha li lokela ho etsa kopo ho lemoha le ho arabela litšokelo bakeng sa DevOps mekhoa e tšoaeang boitšoaro bo sa tloaelehang phallong ea ntlafatso.
Ho Senya ho Saena Khoutu
Mokhoa ona o kenyelletsa ho sebelisa hampe kapa ho utsoa litifikeiti tse sebetsang tsa ho saena ho etsa hore khoutu e kotsi e bonahale e le molaong.
Nyeoe e hlahelletseng e bile tumellano ea CCleaner ka 2017, moo bahlaseli ba ileng ba aba software ea trojanized e saennoeng ka litifikeiti tse sebetsang.
Ka lebaka leo, mekhatlo e hloka taolo e kopaneng ea botšepehi joalo ka e hlalositsoeng ho maano a sethala sa tshireletso ya inthanete
Khoutu ea Mohloli o Bulehileng e Sekisetsang
Lira li kenya mamati a ka morao ka har'a liphutheloana tse tsebahalang tsa mohloli o bulehileng, hamorao li huleloa mererong e likete.
Ketsahalo ea EventStream NPM le XZ Utils backdoor (2024) li bontša kamoo vector ena e bileng ea bohlokoa kateng.
Bahlahisi ba lokela ho hlahloba mehlodi e kang Lipotso Tse Botsoang Khafetsa ka Tšireletso ea NPM 'me liketsahalo tsa sephutheloana tse ngotsoeng ka mongolo o qapiloeng ho ithuta ho qoba ho itšetleha ka chefo.
Pherekano ea ho itšetleha
Tlhaselo ena, e hlalositsweng ka lekgetlo la pele ke Alex Birsan ka 2021, e sebedisa mabitso a dikgohlano pakeng tsa dingodiso tsa diphuthelwana tsa kahare le tsa setjhaba, e qhekella ditsamaiso tsa kaho hore di hule mefuta e kotsi ho ena le diphuthelwana tse tshepahalang tsa kahare.
Liphutheloana tsa ho ngola ka mongolo o hlabang le tse kotsi
Bahlaseli ba phatlalatsa liphutheloana tse kotsi tse nang le mabitso a tšoanang le a lilaebrari tse tsebahalang (mohlala, "likopo" ho fapana le "likopo").
Bahlahisi ba kenya tsena ka phoso, ba kenya malware mererong ea bona.
Mohlala oa 'nete o hlahlojoa ho Malware a Namso-gen le lenaneng la rona la disekenara tsa malware tse bulehileng.
haha Pipeline Ho senyeha
Jwalo ka ha ho bontshitswe tumellanong ya SolarWinds Orion, bahlaseli ba ka kena ka hara di-server tsa kaho ho kenya khoutu e kotsi nakong ya ho kopanya.
Sena se etsa hore ketane eohle ea lintho tsa khale tse saennoeng e se ke ea tšepahala. Mekhoa ea thibelo e kenyelletsa ho beha leihlo CI/CD botšepehi le temoso ya pele ho nako le ho sekaseka
Matšolo a malware a GitHub a ho aha esale pele.
Tsela eo Tlhaselo ea Ketane ea Phepelo ea Software e shebahalang ka eona: Nyeoe ea SolarWinds
Ka holim'a tsohle, tlhaselo ea SolarWinds Orion ke mohlala o tsebahalang haholo oa tlōlo ea ketane ea phepelo ea software. E bontša kamoo bahlaseli ba ka tsamaeang mohato ka mohato ts'ebetsong ea kaho, 'me ka lebaka leo, ba jala khoutu e kotsi ho basebelisi ba likete.
Taba ea pele, bahlaseli ba ile ba kena ho li-server tsa kaho tsa SolarWinds.
Kamora moo, ba ile ba eketsa khoutu e mpe ka lenyele lintlafatsong tsa Orion.
Kaha lintlafatso tsena li ne li saennoe le ho romelloa e le software e tšepahalang, lik'hamphani tse ngata li ile tsa li kenya ntle le ho tseba kotsi.
Ka kakaretso, mekhatlo e fetang 18,000 e ile ea ameha, 'me bahlaseli ba ile ba fumana phihlello ea litsamaiso tse bonolo haholo.
Ho ea ka pono ea moqapi, tlhaselo ena e fana ka lithuto tse tharo tse bonolo:
- Tšireletso ea potoloho ha ea lekana: bahlaseli ba fetotse moaho pipeline ka boeona.
- Liteko tse tsoelang pele li bohlokoa haholo: sireletsehile build attestations, liteko tsa botšepehi, le ho lemoha lintho tse sa tloaelehang li thusa ho thibela ho senyeha.
- Moaho o le mong o chefo o ka ba teng lefatšeng ka bophara: e le 'ngoe pipeline ho sekisetsa ho ka baka mathata a tshireletso lefatsheng ka bophara.
Xygeni: Sethala sa AppSec sa ho Qetela sa Tsohle-ho-Nngwe
Hobane litlhaselo tsa ketane ea phepelo ea software li ka otla mohatong o mong le o mong oa SDLC,
sethala sa AppSec se nang le tsohle, Xygeni, e sireletsa mohlodi, kaho, sephutheloana le mekhahlelo ea ho itšetleha. E fa bahlahisi le lihlopha tsa ts'ireletso sebaka se le seng sa ho thibela, ho lemoha le ho lokisa likotsi ka tsela e bonolo. Ka lebaka leo, ha u sa hloka ho kopanya lisebelisoa tse ngata, Xygeni e akaretsa potoloho eohle ea bophelo.
Tšireletso ea Mohloli oa Mohloli
Mothating oa mohloli, likotsi li kenyelletsa tse sa sireletsehang commits, polokelo ea lintho tse chefo, kapa lifaele tse fetotsoeng. Xygeni e skena khoutu ka nako ea sebele ka botebo SAST le ho lemoha liphiri.
E boetse e thibela tse kotsi commits ka CI/CD guardrails.
Ka tsela ena, mathata a emisoa pele a ka tloha polokelong.
Tšireletso ea Mokato oa Haha
Nakong ea mohato oa kaho, bahlaseli ba ka 'na ba leka ho qoba pipelinekapa ho fetola lintho tsa khale.
Xygeni e sireletsa ts'ebetso ea kaho ka liteko tse lumellanang le SLSA, netefatso ea botšepehi, le lipontšo tse se nang linotlolo. E boetse e shebile boitšoaro bo sa tloaelehang ka hare CI/CD mesebetsi. Ka lebaka leo, meaho e sitisoang e tšoailoe hang-hang 'me e thibeloa pele e lokolloa.
Tšireletso ea Sekhahla sa Sephutheloana
Mokhahlelong oa sephutheloana, li-registry tse senyehileng kapa lilaebrari tse fetotsoeng hangata li hlahisa malware. Ho lemoha malware a Xygeni le ho hlahloba laesense hlahloba ntho e 'ngoe le e 'ngoe ea khale, ha AutoFix e fana ka maikutlo a litsela tse sireletsehileng tsa ntlafatso ka tlhahlobo ea eona ea Kotsi ea Tokiso. Ke liphutheloana tse netefalitsoeng le tse lumellanang le melao feela tse tsoelang pele ho pipeline.
Tšireletso ea Boemo ba ho Itšetleha
Khoutu ea motho oa boraro ke sebaka se seholo ka ho fetisisa sa tlhaselo. Tlhahlobo ea Sebopeho sa Software ea Xygeni (SCA) E etsa ho fetang ho thathamisa li-CVE feela, e hlahloba hore na khoutu e kotsi e ka sebelisoa hampe. E boetse e tšoaea malware a patiloeng le mekhoa e kotsi ea phetoho. Ka holim'a tsohle, sena se netefatsa hore bahlahisi ba romela mekhoa e sireletsehileng feela.
Tšireletso ea Liphiri le Meralo ea Motheo
Ka ntle ho khoutu le liphutheloana, litlhaselo hangata li sebelisa liphiri tse lutlileng kapa meralo ea motheo e fokolang. Xygeni e hlahloba linotlolo tse pepesitsoeng, li-tokens le mangolo a tumello ka khoutu, di-config, le dikarolo tsa Docker. E ka boela ya netefatsa le ho hlakola diphiri tse dutlileng ka boiketsetso ka Tokiso ea AutoFix. Ka nako e tšoanang, IaC ho senya e thibela diphetoho tse fosahetseng tseo bahlaseli ba ka di sebedisang hampe hamorao.
Ho lemoha le ho lokisa lintho ka bohlale haholoanyane
Lisebelisoa tse ngata li emisa litemosong. Xygeni e tsoela pele ho feta moo. Enjene ea eona ea AutoFix e hlahisa li-patches tse sireletsehileng, pull requests, kapa tataiso ea mohato ka mohato ho latela bothata. Pono ea eona ea Kotsi ea Tokiso e boetse e bontša hore na ke mofuta ofe oa patch o sireletsehileng ka ho fetisisa, kahoo lihlopha li lokisa mathata ntle le ho eketsa a macha.
Sethala se le seng se Kopaneng
Hobane Xygeni e kopanya SAST, SCA, ho lemoha malware, taolo ea liphiri, IaC ho skena, ho lemoha lintho tse sa tloaelehang, le ho sireletsa litsamaiso tsa kaho sethaleng se le seng sa AppSec,
e fana ka tlaleho e felletseng ho pholletsa le SDLCBahlahisi le lihlopha tsa tšireletso ka bobeli ba fumana mohloli o le mong oa 'nete ka ponahalo e hlakileng, litokiso tse sebetsang, le tšireletso e matla khahlanong le litlhaselo tsa ketane ea phepelo.
Lintho tsohle tse nkoang, Xygeni, sethala se setle ka ho fetisisa sa AppSec sa tsohle-ka-nngoe, e thusa lihlopha ho haha ka potlako le ho lula li sireletsehile. Ka ho sireletsa mohlodi, kaho, sephutheloana le mekhahlelo ea ho itšetleha, le ka ho eketsa litokiso tse iketsahallang mohatong o mong le o mong, e etsa bonnete ba hore litlhaselo tsa ketane ea phepelo ea software lia emisoa pele li fihla tlhahisong.
