AppSec ea sejoale-joale ha e sa khona ho itšetleha ka mekhoa ea mosebetsi ea letsoho. Boiketsetso ba taolo ea bofokoli jwale ke ntho ya bohlokwa, ha se kgetho. Haufinyane re bile le monyetla wa ho kenela DevSecOps e Sebetsang podcast, moo CTO ea rona e leng teng Luis Rodriguez temohisiso e arolelanoeng thutong "Ho Sireletsa Lihokelo tse Fokolang ka ho Fetisisa: Ho Thibela Litlhaselo tsa Ketane ea Phepelo Pele li Suthelana." Puong ena, Luis o hlalositse kamoo Lebohang Lihlopha li ka lula li le ka pele ho litšokelo tse kholo ka ho fetisisa tsa kajeno. Ka holim'a tsohle, o bontšitse hore katleho e itšetlehile ka ho kopanya boiketsetso le ho beha lintho pele ho latela kotsi le ho aha litšireletso tse matla khahlanong le liphutheloana tsa npm tse mpe.
Thuto ea 1: Fokotsa Lerata ka ho Beha Lintho Pele ho Thehoa Kotsing
Sa pele, Luis o hlalositse hore karolo e thata ka ho fetisisa ha se ho fumana bofokodi, ke ho fumana hore na ke bofe ba bohlokoa. Lisebelisoa tsa setso li fana ka litemoso tse sa feleng, 'me tse ngata li fetoha liphetho tse fosahetseng. Ka lebaka leo, baenjiniere ba lahleheloa ke nako ba lelekisa mathata a sa hlahiseng kotsi ea 'nete.
Ho beha lintho pele ho latela likotsi e rarolla sena. E sheba ho sebelisoa hampe, ho pepesehela, le tšusumetso ea khoebo ho totobatsa mathata ao bahlaseli ba ka a sebelisang haholo. Ho phaella moo, Xygeni's Application Security Posture Management e fokotsa litemoso ka ho fihla ho 90%, e leng se etsang hore mosebetsi oa ts'ireletso o be o hlakileng le o sa sitiseng haholo.
Ho nka senotlolo: Ha e le hantle, boiketsetso ha se taba ea ho skena haholoanyane, empa ke taba ea ho bontša liphetho tse fokolang, ke litaba tse bohlokoa feela.
Thuto ea 2: Liphutheloana tse mpe tsa npm li se li le teng ho uena Pipeline
Sa bobedi, Luis o totobalitse nnete e ke keng ya hlola e hlokomolohuwa: liphutheloana tsa npm tse mpe li tletse tikoloho e bulehileng. Ha e le hantle, sephutheloana se le seng ho tse leshome tse ncha tsa npm kapa PyPI se phatlalalitsoeng ka 2024 se ne se e-na le malware. Ka lebaka leo, litlhaselo tsa ketane ea phepelo li ile tsa ata ka potlako ho feta kamoo lihlopha tse ngata li ka arabelang kateng.
Nka nyeoe ea Seboko sa Shai-Hulud: sephutheloana se le seng se kotsi se ile sa tšoaetsa merero e makholo ka lihora tse ngata. Sena ha sea ka sa sitisa feela, empa se boetse se bontšitse kamoo bahlaseli ba sebelisang mekhoa e sa thijoang le ho itšetleha ka bona. CI/CD mehlala ea ho tšepa.
Xygeni e sebetsana le sena ka:
- Tlhokomelo e tsoelang pele ea li-registry ho tšoaea liphutheloana tse kotsi.
- Guardrails tse emisang ho hahuwa ha ho fumanwa hore ho itshetlehile ka ho ikarola.
- Litemoso tsa temoso tsa pele tse tsebisang lihlopha hang-hang ha litšokelo tse ncha li hlaha.
Ho nka senotlolo: ha ho nahanoa ka lintlha tsena, ho itshetlehile feela hodima setso SCA ha e a lekana, boiketsetso bo tlameha ho thibela malware ka nako ya sebele.
Thuto ea 3: Sireletsa Fektheri ka Tsamaiso ea Tsamaiso ea Kotsi
Sa boraro, Luis o re hopotse hore bahlaseli ha ba sa shebana le lits'ebetso feela, ba hlasela pipeline ka boeonaLiketso tse fokolang tsa GitHub, mekhoa ea mosebetsi e sa pinngoang, le li-tokens tse nang le litokelo tse ngata ke lintlha tse bonolo tsa ho kena. Ka mantsoe a mang, CI/CD sistimi ke "fektheri" ea software ea sejoale-joale. Haeba fektheri e senyehile, ntho e 'ngoe le e 'ngoe ea maiketsetso e ka tlase ho molapo e kotsing.
Mona ke moo boiketsetso ba taolo ea bofokoli ehlile e a khanya. Mohlala, ka ho kenya licheke tse iketsang, lintho tsa khale tse saennoeng, le ho lemoha lintho tse sa tloaelehang ka ho toba ho CI/CD, lihlopha li ka:
- Thibela hore mesebetsi e sa sireletsehang e se sebetse.
- Netefatsa moaho o mong le o mong ka bopaki ba cryptographic.
- Lemoha liketso tse sa tloaelehang, ho eketsoa ha litokelo, kapa li-plugins tse sa tšepahaleng hang-hang.
Ho nka senotlolo: Qetellong, ho tiisa fektheri ho hloka ts'ebetso e sa khaotseng, e iketsahallang, litlhahlobo tsa letsoho feela li ke ke tsa hola.
Seo Sena se se Bolelang bakeng sa Lihlopha tsa DevSecOps
Ka kakaretso, thuto e tsoang puong ea Luis e hlakile: AppSec ea sejoale-joale e tlameha ho kopanya boiketsetso ba taolo ea bofokoli, tšireletso e mpe ea sephutheloana sa npm, le ho beha lintho pele ho latela kotsi. Ho seng joalo, lihlopha li ipeha kotsing ea ho tetebela lerata ha bahlaseli ba sebelisa likheo hampe.
Ka Xygeni, mekhatlo e fumana:
- Ho sibolloa ha thepa ka boiketsetso le lenane la thepa.
- Li-funnel tse matla bakeng sa ho beha pele bofokodi bo ipapisitseng le kotsi.
- Tlhahlobo ea malware le liphiri tsa nako ea sebele li kenyelelitsoe ho CI/CD.
Ka hona, boiketsetso ha se feela taba ea katleho; ke eona feela tsela ea ho lula u tiile khahlanong le litlhaselo tse ntseng li fetoha tsa ketane ea phepelo.
Shebella Puisano e Felletseng le Luis Rodríguez
Sheba thuto e felletseng "Ho Sireletsa Lihokelo tse Fokolang ka ho Fetisisa: Ho Thibela Litlhaselo tsa Ketane ea Phepelo Pele li Suthelana" 'me u ithute ho iketsetsa taolo ea bofokoli ho DevSecOps ea hau pipeline.
Na u se u loketse ho sebelisa lithuto tsena?
Ho iketsetsa taolo ea bofokoli le ho itšireletsa khahlanong le liphutheloana tse kotsi tsa npm ha se khopolo-taba feela, ke ntho eo u ka e qalang kajeno. Ka Xygeni, u tla fumana lintho tse tlang pele tse ipapisitseng le kotsi, ho lemoha malware ka nako ea sebele, le CI/CD guardrails tekanyo eo le sehlopha sa hau.
Qala teko ea hau ea mahala 'me u bone hore na boiketsetso ba taolo ea bofokoli bo kena joang ka kotloloho ho ea hau pipeline.
