தீம்பொருள் பாதுகாப்பு: விநியோகச் சங்கிலித் தாக்குதல்களை வைரஸ் தடுப்பு மென்பொருளால் ஏன் தடுக்க முடியாது

நவீன தாக்குதல்கள் இனி இயக்க நேரம் வரை காத்திருப்பதில்லை. அவை உங்கள் சார்புநிலைகள், உருவாக்க ஸ்கிரிப்டுகள் ஆகியவற்றில் இருந்தே தொடங்குகின்றன. pipelines.
அதனால்தான் தீம்பொருள் பாதுகாப்பு, வைரஸ் தடுப்பு மற்றும் எண்ட்பாயிண்ட் கருவிகளைத் தாண்டி மேம்பட வேண்டும்.

இன்றைய மென்பொருள் உருவாக்குநர்கள் ஒரு புதிய சவாலை எதிர்கொள்கின்றனர்: தீம்பொருளிலிருந்து பாதுகாப்பை உறுதி செய்வது. முன் நிரல் தொகுக்கவும் படுகிறது. வழக்கமான கருவிகள் தொற்று ஏற்பட்ட பின்னரே செயல்படுகின்றன, ஆனால் சிறந்த தீம்பொருள் பாதுகாப்பு, மென்பொருள் விநியோகச் சங்கிலிக்குள்ளேயே, ஆரம்பத்திலேயே செயல்படுகிறது.

தீம்பொருள் பாதுகாப்பு ஏன் மேம்பட வேண்டும்

பல ஆண்டுகளாக, தீம்பொருளைக் கையாள்வதற்காக நிறுவனங்கள் வைரஸ் தடுப்பு மற்றும் எண்ட்பாயிண்ட் தீர்வுகளை நம்பி வருகின்றன. இருப்பினும், இந்த அமைப்புகள் அச்சுறுத்தல்கள் உள்ளே நுழைந்த பின்னரே அவற்றைக் கண்டறிகின்றன.
இதற்கிடையில், தாக்குதல் நடத்துபவர்கள் மூலக் குறியீட்டிற்கு மாறியுள்ளனர். அவர்கள் திறந்த மூல மென்பொருட்களில் தீங்கிழைக்கும் குறியீட்டைச் செலுத்தி, நிறுவுவதற்கு முந்தைய ஸ்கிரிப்டுகளில் தீங்கிழைக்கும் கோப்புகளை மறைத்து, மேலும் அவற்றின் பாதுகாப்பை மீறுகின்றனர். CI/CD pipelines.

அதில் கூறியபடி FBI இணைய குற்ற அறிக்கை 2024கடந்த ஆண்டு இணையவழிக் குற்றங்களால் ஏற்பட்ட இழப்புகள் 12.5 பில்லியன் டாலரைத் தாண்டியதுடன், மென்பொருள் விநியோகச் சங்கிலி மீதான தாக்குதல்களும் கடுமையாக அதிகரித்துள்ளன. மேலும், தற்போது நிகழும் மூன்று சம்பவங்களில் ஒன்று, மூன்றாம் தரப்புக் கூறு அல்லது சமரசம் செய்யப்பட்ட சார்புநிலையை உள்ளடக்கியுள்ளது என்றும் இங்கிலாந்தின் தேசிய பாதுகாப்பு கவுன்சில் (NCSC) எச்சரிக்கிறது.
பல டெவலப்பர்கள் ஏற்கனவே சந்தேகிப்பதை இந்த எண்கள் உறுதிப்படுத்துகின்றன: பாரம்பரிய தீம்பொருள் பாதுகாப்பால் ஈடுகொடுக்க முடியாது.

பாரம்பரிய தீம்பொருள் பாதுகாப்பு எவற்றில் தவறாக உள்ளது

பாரம்பரிய தீம்பொருள் பாதுகாப்பு கருவிகள், எண்ட்பாயிண்ட்களில் உள்ள கையொப்பங்கள், வடிவப் பொருத்தம் அல்லது நடத்தை பகுப்பாய்வு ஆகியவற்றைச் சார்ந்துள்ளன. கோப்பு அடிப்படையிலான தீம்பொருளுக்கு இவை பயனுள்ளதாக இருந்தாலும், பில்ட் சிஸ்டம்கள் மற்றும் ரெஜிஸ்ட்ரிகளில் மறைந்திருக்கும் குறியீடு அளவிலான அச்சுறுத்தல்களை இவை கண்டறியத் தவறுகின்றன.

உதாரணமாக, npm மற்றும் PyPI ஆகியவை ஒவ்வொரு நாளும் ஆயிரக்கணக்கான புதிய தொகுப்புகளைப் பார்க்கின்றன. அவற்றில் பல, தெளிவற்ற அல்லது தீங்கிழைக்கும் ஸ்கிரிப்டுகள் சார்புநிலைகள் போல மாறுவேடமிட்டு வருகின்றன. ஒருமுறை நிறுவப்பட்டதும், இந்த ஸ்கிரிப்டுகள், செயல்படுத்தப்படுவதற்கு முன்பே, நற்சான்றுகளைத் திருடலாம், தொலைநிலை சேவையகங்களுடன் இணைக்கலாம் அல்லது பின்கதவுகளைச் செருகலாம்.
எனவே, இயங்குநேரக் கண்டறிதலை மட்டும் நம்பியிருப்பது தீம்பொருளிலிருந்து பகுதி அளவிலான பாதுகாப்பை மட்டுமே வழங்குகிறது.

இதற்கு மாறாக, சிறந்த தீம்பொருள் பாதுகாப்பு முன்கூட்டியே தொடங்கி, சார்புநிலைகளைப் பகுப்பாய்வு செய்கிறது. அவை உங்கள் சூழலில் நுழைவதற்கு முன்பே.