Ин қисмати аввал дар силсилаи мақолаҳо дар бораи намудҳои маъмултарини ҳамлаҳо ба занҷираи таъминоти нармафзор аст: онҳое, ки (аблан) аз феҳристи оммавии ҷузъҳои нармафзор истифода мебаранд, ки барои... лоиҳаҳои кушодаасос барои бор кардани артефактҳое, ки метавонанд бо дигар корбарон мубодила карда шаванд. Вақте ки бадкирдорон нармафзори зарароварро дар он ҷо нашр мекунанд ва аз феҳрист ҳамчун воситаи паҳнкунии нармафзори зараровар истифода мебаранд, мо ҳамлаи занҷираи таъминотро ҳангоми насб ё иҷро кардани ҷузъи нармафзори сироятшуда аз ҷониби ташкилотҳои ҷабрдида дорем.
Барои содда кардани муҳокима, мо дар бораи он сӯҳбат хоҳем кард бастаҳои нармафзор:, ҷузъҳо дар шакли бастабандишуда, ки аз ҷониби шахсони сеюм истеҳсол шудаанд. Ин на танҳо ҷузъҳоеро дар бар мегирад, ки аз ҷониби менеҷерони бастаҳо ба монанди NPM ё Poetry истифода мешаванд, балки инчунин ҷузъҳои системаи оператсионӣ аз ҷумла китобхонаҳо ва файлҳои дуӣ иҷрошаванда, тасвирҳои контейнер, ва мошинҳои виртуалӣ, ё васеъкунии асбобҳо барои абзорҳои таҳия, сохтан ва ҷойгиркунӣ. Мо бастаҳои зарароварро дар ҳама ҷо дидем. Киберҷинояткорон парвое надоранд: онҳо аз алтернативаҳои пешниҳодшуда аз ҷониби инфрасохторҳои нармафзори муосир хурсанданд ва аз феҳрист ва абзоре истифода мебаранд, ки ба мақсади онҳо бештар мувофиқ аст. Пас, лутфан дар хотир доред, ки бастаҳои нармафзор шакли мухтасари тасвирҳои контейнерӣ, бастаҳои дуӣ, анборҳои кушодаасос ва васеъкуниҳо ё плагинҳои ҳама намудҳо (IDE-ҳо, CI/CD системаҳо, абзорҳои сохтмон). Ҳама мунтазам зери ҳамла қарор доранд.
Силсила аз 5 қисм иборат хоҳад буд:
- Мушкилот бо бастаҳои кушодаасос чист? Ин мавзӯи ин паём аст. Чаро ҷинояткорони ҳама намуд бастаҳои зарароварро нашр мекунанд? Чаро ман бояд хавотир шавам?
- Анатомияи бастаҳои зараровар: Тамоюлҳо кадомҳоянд? Дар ин қисм, мо ба таҳдиде, ки мо бо системаи MEW-и худ рӯз ба рӯз назорат мекунем, тамаркуз мекунем. Бо садои зиёди замина аз сабаби шумораи зиёди бастаҳои зараровар, ки бо истифода аз хатогиҳои чопӣ ё нофаҳмиҳои вобастагӣ истифода мешаванд, фоизи камтари ҳамлаҳо хеле хатарноктаранд ва хатари бештар доранд. Рафтори амалкунандагони бад нисбат ба системаи амалиётӣ дар гузаштаи наздик чӣ гуна тағйир ёфтааст? Рақамҳо кадомҳоянд? Тактика, усулҳо ва тартиби истифодашуда ва амалҳои зараровари дидашуда кадомҳоянд?
- Муҳофизат аз бастаҳои зараровари кушодаасос: Чӣ кор мекунад (не)Аксари мутахассисони огоҳ ба амният дар бораи чӣ гуна мубориза бо ин таҳдид андеша доранд. Мо шунидем, ки менеҷерони амниятӣ бе дудилагӣ чунин мегӯянд SCA асбобҳо аллакай ба шумо мегӯянд, ки кай версияи баста зараровар аст. Ё онҳо ба ҷузъҳои маъруфи нармафзори хеле баррасишуда такя мекунанд, ки дар он ҳама гуна нармафзори зараровар фавран муайян ва нест карда мешавад. Онҳо ки онҳо версияҳои кушодаи хурд/патчро барои ба таври худкор гирифтани ислоҳи осебпазирӣ истифода мебаранд ва ин роҳи дуруст ва тавсияшудаи коҳиш додани хатари вобастагиҳои манбаъҳои кушода бо риояи принсипи "патч барвақт, патч зуд-зуд" мебошад. Дар ин қисм, мо баррасӣ хоҳем кард, ки чаро ин ғояҳо нодурустанд ва чӣ гуна чунин тасаввуроти нодуруст ба маъруфияти ин механизми ҳамла ва хатари аз ҳад зиёде, ки ташкилотҳо аз сар мегузаронанд, мусоидат мекунанд. Мо бо он хотима хоҳем дод, ки чӣ кор мекунад ва кадомаш кӯшиш ва захираҳои сарфшуда аст.
- Бастаҳои зараровари манбаъи кушода: Равиши XygeniДар ин қисм, мо стратегияеро, ки мо дар Xygeni барои системаи огоҳкунии барвақти нармафзори зараровар (MEW)-и худ риоя мекунем, пешниҳод мекунем. Ин системаи бисёрмарҳилаӣ чӣ гуна дар вақти воқеӣ кор мекунад, вақте ки версияи нави баста нашр мешавад, чӣ гуна далелҳо аз манбаъҳои гуногун гирифта мешаванд, чӣ гуна триаж анҷом дода мешавад, кадом меъёрҳои таснифотро мо риоя мекунем ва чаро барои тасдиқи хусусияти номзади бастаи зараровар ба таҳлили дастӣ ниёз вуҷуд дорад? Чӣ гуна фикру мулоҳизаҳо аз дастаҳои дохилӣ ва сабти номи мо ба система кӯмак мекунанд, ки аз далелҳои гузаштаи ҷамъовардашуда барои кам кардани мусбатҳои бардурӯғ то ҳадди ақал омӯзад. Ва мо шарҳ медиҳем, ки чӣ гуна мо ба NPM, GitHub, PyPI ва дигар инфрасохторҳои калидӣ дар экосистемаҳои кушодаасос барои кам кардани вақти интизорӣ кӯмак мекунем..
- Истифодаи манбаи кушода: Аз бадкорон чӣ интизор шудан мумкин астСилсила бо тамаркуз ба амалҳои навтарине, ки рақибон барои пинҳонкортар кардани ҳамлаҳо, душвортар кардани ошкоркунӣ, ҳадафгирии бештар ба соҳаҳои мушаххас ва ба даст овардани фоидаи бештар аз ин синфи ҳамлаҳо анҷом медиҳанд, ба анҷом мерасад. Оё ҳамлаҳои нармафзори фидя бо истифода аз ин восита анҷом дода мешаванд? Чӣ гуна бадкорон аз абзорҳои зеҳни сунъӣ барои интиқоли бастаҳои мураккабтари зараровар истифода мебаранд? Оё лоиҳаҳои маъмултарин дар хатаранд? Ин барои он аст, ки ба хонандагон дар бораи ин мусобиқаи силоҳ ва чӣ интизор шудан дар муддати кӯтоҳ (нимаи дуюми соли 2024) ва миёнамуддат (2025) тасаввуроте диҳанд. Мо мефаҳмем, ки чӣ гуна ҳамлаҳо ба монанди ҳамлаҳои ахир... XZ-Utils Backdoor, ё ҳамлаи зинда берун аз замин ба созандаи электрон воқеаҳои моҳи марти соли 2024 нишон медиҳанд, ки мо бояд дар бораи таҳаввулоти рақибон ҳушёр бошем.
Биёед саҳнаро бо қисмати аввал оғоз кунем: Бо бастаҳои нармафзори кушодаасос ва зараровар чӣ рӯй дода истодааст?
Мушкилот бо бастаҳои кушодаасос чист?
Дар солҳои охир, ҷинояткорони ҳама намуд барои расонидани рафтори зараровар аз феҳристҳои нармафзори кушодаасос истифода мебурданд. Ин фаъолиятҳо ба мисли кушодаасос қадимӣ ҳастанд, аммо басомади онҳо дар се соли охир хеле афзудааст.
Интишори ҷузъҳои зараровар дар феҳристҳои оммавӣ (ҳамлаҳои бар асоси вобастагӣ) ҷанги партизании асимметрӣ аст, ки субъектҳои таҳдид барои паҳн кардани нармафзори зараровар истифода мебаранд ва аз эътимоде, ки созмонҳо ба ҷузъҳои сарчашмаи кушода аз таҳиягарони номаълум медиҳанд, истифода мебаранд (дар хотир доред, ки вобастагии xkcd комикс?). Азбаски шумо ба бастаҳо эътимод доред ва аз баррасии дастӣ аз мундариҷаи бастаҳо ва вобастагиҳои онҳо парвое надоред, ин ҳамлаҳо хеле самаранок мебошанд. Ва нобаробарӣ аз он сабаб ба вуҷуд меояд, ки онҳо метавонанд асосан автоматӣ карда шаванд ва ба бадкорон лозим нест, ки мустақиман бо ҷабрдида муошират кунанд. Онҳо танҳо бастаро ба феҳристи оммавӣ бор мекунанд ва онро раҳо мекунанд.
Бастаҳои зараровар дар соли 2022 6 маротиба афзоиш ёфт, ва дар соли 2023 афзоиши 2.5 маротибаро идома дод. Соли гузашта 245,000 бастаҳои зараровар мушоҳида шуданд, ки ин рақам аз шумораи умумии солҳои қаблӣ беш аз ду баробар зиёдтар аст. Ин афзоиши экспоненсиалӣ аст! Аз хориҷ кардани бастаҳо ҳамчун нармафзори зараровари тасдиқшуда дар садҳо дар соли 2021 ва дар соли 2022 дар ҳазорҳо, мо дар соли 2023 "садои" заминавии хеле бештарро дидем, ки суръати он барои имсол низ ҳамин буд. Ва дар ин замина пинҳон шуда, ки аз ҷониби ҷинояткорони бетаҷрибаи киберӣ, ки "роҳи камтарин муқовиматро" пайравӣ мекарданд, ба вуҷуд омадаанд, як қисми ками ҳамлаҳои баландпоя ҳатто дар сархатти хабарҳо дар ВАО-и умумӣ қарор гирифтанд.
Чаро ин мушкили чунин бузург аст? эътимоди аз ҳад зиёд дар тамоми занҷир. Нармафзори кушодаасос бо рамзи сарчашмаи худ паҳн карда мешавад ва тибқи иҷозатномаи додашуда бароварда мешавад. Бале, ҳар кас метавонад рамзи сарчашмаро тафтиш кунад; аммо, кӣ умуман ин корро мекунад? Кӣ, пас аз санҷидани он, ки нармафзори зараровар надорад, нармафзорро аз манбаъҳо месозад? Кӣ, пеш аз интиқоли ҷузъи бастабандишуда (инчунин бо номи а маълум аст) Маҷмӯъ) дар поёнтар ба мудири бастаҳо ё асбоби сохтан, боварӣ ҳосил мекунад, ки баста бо нармафзори зараровар пур нашудааст ва бо рамзи сарчашмаи пешбинишуда, ки бояд аз он гирифта шавад, мувофиқат мекунад?
Чаро инфрасохтор ба чунин ҳамлаҳои осон имкон медиҳад?
Феҳристҳои бастаҳо кушодаанд, ки аксар вақт тасдиқи ҳадди ақали шахсияти ноширро талаб мекунанд. "Ҳар кас метавонад нармафзори худро дар ин ҷо нашр кунад!" Барои ҳамлагарон маҳдудияти маҳдуд муқаррар шудааст: онҳо суроғаҳои почтаи электронии якдафъаина ва ҳисобҳои якдафъаинаи GitHubgithub-ро барои эҷоди садҳо бастаҳои зараровар дар маъракаҳои кӯтоҳ, ба монанди фишинг, истифода мебаранд. Танҳо барои онҳое, ки ҳадафманданд, мураккабии баландтар лозим аст: Мо ҳатто як анбори боэътимоди манбаъҳои GitHub-ро бо ситораҳои зиёд ва commitаз саҳмгузорони қалбакии сершумор ва дигар нишондиҳандаҳои маъруфият ва нигоҳдорӣ. Гирифтан. ситорашиносон ва обрӯ аз саҳмгузориҳои қалбакӣ автоматикунонии он душвор нест. Мо сӯиистифодаҳоро дар ҳама гуна инфрасохторҳои нармафзори кушода, на танҳо нармафзори зараровар, ба монанди ҳодисаи протоколи чой.
Менеҷерони бастаҳо барои осонии истифода тарҳрезӣ шудаанд, на барои амниятОнҳо метавонанд скриптҳои пеш аз насб ва пас аз насби пас аз насбро иҷро кунанд (баъзан тартиб додани рамзи аслӣ барои китобхона зарур аст). Ҳамчунин, Менеҷерони бастаҳо бастаҳоро аз манбаъҳои гуногун насб мекунанд ва баъзан пешфарз истифодаи реестрҳои оммавӣ мебошад. Онҳо номувофиқатии байни метамаълумот дар дархости нашр ва метамаълумот дар худи бастаро тафтиш накарданд.
Вобастагиҳо дар дохили худ ҷойгир карда шудаанд ва графикро ташкил медиҳанд. Дар баъзе экосистемаҳо ба монанди Node (JavaScript), вобастагиҳои хурд дар садҳо ё ҳазорҳо ҷамъ мешаванд. Як чиз ин аст, ки назорати қатъӣ бар вобастагиҳои мустақиме, ки аз ҷониби лоиҳаҳои нармафзори ман эълон шудаанд, дошта бошем, аммо вобастагиҳои транзитӣ Назорати онҳо душвортар аст. Манбаи кушода аз паси "дӯстони дӯстони ман дӯстони ман ҳастанд" меомад. Бародарӣ дар Шарқи Дури ваҳшӣ меъёр аст! Таҳдидгарон инро медонанд ва рафтори бади худро дар вобастагиҳои норавшан, ки аксар вақт номаълуманд, пинҳон мекунанд. Ин ҳолат бо ҷараёни чорабинӣ ҳодисае, ки ба он нигаронида шудааст Ҳамёни Copay.
Аз замони таъсисёбиаш нармафзори кушодаасос чунин кор кардааст. Он чандон тағйир нахоҳад ёфт. Баъзе феҳристҳои бастаҳо ҳадди ақал аутентификатсияи ду омилро талаб мекунанд ва аксар вақт танҳо барои бастаҳои маъмултарин. Баъзе феҳристҳо доираи васеъ, фазои номҳоеро пешниҳод мекунанд, ки ба як созмони санҷидашуда тааллуқ доранд, аммо фоҷиавӣ дигарон онро дастгирӣ намекунанд (PyPI) ё онро ихтиёрӣ намегардонанд (NPM). Ҷолиб аст, ки ҳатто як схемаи соддаи скрининг (бар асоси назорати DNS ё анбори/ташкилоти GitHub, ки бо ID-и гурӯҳ мувофиқат мекунад) ва сохтани Имзоҳои PGP ҳатмӣ мебошанд барои ҳама артефактҳо ба истиснои санҷишҳо, аксари бастаҳои зараровари "садо"-ро, ки ба чопкунӣ монанданд, нест мекунад ва қисми зиёди онҳоро маҳдуд мекунад нофаҳмиҳои вобастагӣҲамлаҳои мураккаб имконпазиранд, аммо хеле душвортаранд, танҳо чанде аз онҳо ба монанди com.github.codingandcoding:plugin-compiler-maven бо Maven Central машҳур аст. Ва на ҳама регистрҳои Maven аз як таҷриба пайравӣ мекунанд!
Назорати амниятӣ дар менеҷерони бастаҳо метавонад ҳамлаҳои вобастагиро душвор гардонад, аммо монеъ намешавад. Мушкилоти аутентификатсияи бисёромилӣ дар он аст, ки барои автоматизатсия, эътимодномаҳои гирифташуда ба монанди токенҳои дастрасӣ ё калидҳои APIapi барои ҳисобҳое, ки дар зангҳои APIapi, ки аз скриптҳои автоматизатсия сохта шудаанд, истифода мешаванд, тавлид карда мешаванд ва ҳеҷ корбари интерактивии пуштибонӣ омили дуюмро таъмин намекунад. MFA барои ҳифзи ҳисобҳои корбарон аз ихроҷи парол хуб аст, аммо токенҳои дастрасӣ ё калидҳои APIapi-и тавлидшуда бояд ҳангоми фаъол будан ҳифз карда шаванд, вагарна соҳиби онҳо аз ҷониби рақибон тақлид карда мешавад. Қисми зиёди маъракаҳои занҷираи таъминоти бастаҳо бо калид/токени ихроҷшуда оғоз мешаванд. Танҳо ҳодисаҳоеро ба монанди Ledger, 3CXва бисёр чизҳои дигар, ки дар онҳо эътимодномаҳои ғайриинтерактивӣ аввал дар як ҳамлаи пешакӣ барои оғози ҳамла ба занҷираи таъминот хориҷ карда шуданд.
Вокуниш ба ин таҳдид ба қадри кофӣ қавӣ набуд. Дар қисмати сеюм, мо ба он чизе, ки кор кард ва чӣ ба таври ногувор ноком шуд, тамаркуз хоҳем кард. Соҳа бояд якҷоя кор кунад. standardравандҳо, таълим ва абзорҳо барои кам кардани хатарҳо ба занҷирҳои таъминоти ҷаҳонӣ. Ин мушкилоте нест, ки як созмон метавонад мустақилона ҳал кунад.
Барои анҷом додани ин бахш, нофаҳмии муҳим: мо дар бораи он гап мезанем бадкирдор бастаҳо, на осебпазиранд як. Осебпазириҳо аз хатогиҳои тарроҳӣ ё рамзгузорӣ, ки тасодуфан ворид карда мешаванд ва бе нияти бад ба вуҷуд меоянд, ба вуҷуд меоянд. Осебпазириҳо метавонанд истифода шаванд, аммо бисёре аз онҳо истифода намешаванд. Бастаҳои зараровар ҳамеша қасдан истифода мешаванд ва агар онҳо иҷро шаванд, 100% истифодашавандагӣ вуҷуд дорад. Хатари муқоисашаванда вуҷуд надорад! Аз ин рӯ, дидани он ки чӣ қадар талошҳо барои ошкор ва коҳиш додани осебпазириҳо сарф мешаванд ва набудани чораҳои баробар барои ҷузъҳои зараровар парадоксӣ аст..
«Мо ба амният ҷиддӣ муносибат мекунем»
Биёед анъанаро тасаввур кунем Корпоратсияи AcmeAcme, як провайдери асосии WileCoyote.com, аксари нармафзори худро аз шахсони сеюм, ки беш аз 80% аз лоиҳаҳои манбаъи кушодаасос мебошанд, истеҳсол мекунад. Онҳо нармафзорро барои истифодаи дохилӣ истеҳсол мекунанд, аммо инчунин барои шарикон, провайдерҳо ва муштариён/корбарони ниҳоии худ нармафзор пешниҳод мекунанд. Acme нармафзореро дорад, ки бо забонҳои Go, JavaScript, Java, C# ва Python навишта шудааст ва аксари нармафзори худро дар абр, дар зери кластерҳои Kuberneteskubernetes иҷро мекунад. Acme тасвирҳои фармоишии худро аз тасвирҳои асосӣ, ки аз Docker Hub ва дигар регистрҳо гирифта шудаанд, месозад. Ва онҳо инчунин якчанд китобхонаҳо, бастаҳо ва тасвирҳои контейнериро дар регистрҳои оммавӣ мубодила мекунанд.
Acme ба амният ҷиддӣ муносибат мекунад. Онҳо аз мушкилоти ... хеле хуб огоҳанд. open source security, ва хатаре, ки он ба вуҷуд меорад. Ҳамаи таҳиягарон, менеҷерони система ва муҳандисони DevOpsdevops он калидҳои хурди зебои крипторо ҳамчун аутентификатсияи омили дуюм истифода мебаранд. Ҳама commitанборҳои рамзи s имзо шудаанд, ҳифзи шоха бо баррасиҳои ҳатмии рамз фаъол карда шудааст, CI/CD қулфшуда, асрор дар анбори махфӣ нигоҳ дошта мешавад ва бо реестри дохилӣ қисман инъикоскунандаи реестрҳои беруна, ки дар он танҳо ҷузъҳои иҷозатдодашуда ва рӯйхати сафед нигоҳ дошта мешаванд. Талаб карда мешавад, ки нармафзори аз ҷониби Acme сохташуда бояд аз ин реестр вобастагиҳои тарафи сеюмро гирад.
Эҳтимол аксари ташкилотҳо ба ин профил мувофиқанд. Хонандаи азиз, агар шумо ҳанӯз дар ин ҷо бошед, профили шумо бешубҳа мувофиқ аст, дуруст аст?
Пас аз як рӯзи бадбахт, як таҳиягари муҳими фронтенд дар Acme давида рафт npm насби acme-cute-lib, фаромӯш мекунем, ки @acme/cute-lib вобастагии дурусти миқёсӣ буд. Хатои дақиқ муҳим нест, бисёр чизҳо метавонанд хато шаванд, ҳатто вақте ки кас назорати комили давраи ҳаёти нармафзорро ба дӯш мегирад. Таҳиягари мо намедонист, ки як гурӯҳи APT Acme-ро ҳадаф қарор додааст ва як ҷузъи зарароварро бо ин ном бо роҳи маккорона нашр кардааст, то рафтори зараровар танҳо вақте фаъол шавад, ки нармафзор дар компютерҳои Acme насб карда шудааст. Баста чанд ҳафта пас аз нашраш ошкор карда нашуд.
Скрипти насбкунӣ иҷро мешавад, ки эътимодномаҳоро ҷустуҷӯ мекунад (дар ноутбуки таҳиягари мо бисёр токенҳои дастрасии ҷолиб мавҷуд буданд), ки дастрасӣ ба анборҳои дохилии нармафзор ва анбори дохилии дар боло зикршударо, ки албатта танҳо тавассути VPN дастрас аст, имкон медиҳад. Коди зараровар тавонист пайвасти мавҷудаи VPN-ро истифода барад ва ҷузъи зараровари марҳилаи дуюмро дар феҳристи дохилӣ нашр кунад, ки ба китобхонаи умумии истифодаҳо, ки аксари нармафзори аз ҷониби Acme пешниҳодшуда муштарак истифода мешавад, таъсир мерасонад.
Ҳафтаҳо пас, дигар ташкилотҳое, ки аз абзорҳои нашршудаи Acme истифода мебурданд, дар шабакаҳои худ трафики аҷиберо диданд, ки трафик аз протоколи Acme истифода мешуд, аммо ба хостҳое равона мешуд, ки ба домени Acme монанд буданд. Трафик рамзгузорӣ шуда буд, аммо абзорҳои мониторинги система дастрасӣ ба файлҳои ғайричашмдошт ва иҷрои равандҳоеро пайдо карданд, ки ба фармонҳои система монанданд, аммо дар ниҳоят файлҳои иҷрошавандаи зеркашишударо иҷро мекунанд.
Боқимондааш таърих аст: Acme аввал инкор кард, ки чунин рафтор ба онҳо вобаста аст ва ҳамаи чораҳои амниятӣ андешида шудаанд. Танҳо пас аз он ки расонаҳои киберӣ пурсиданд, ки чаро манбаи рафтори ошкоршуда аз ҷузъҳои Acme сарчашма мегирад ва таҳлили амниятӣ нишон дод, ки ин ҷузъҳо то чӣ андоза бо нармафзори пинҳонӣ пур шудаанд, Acme маҷбур шуд ин ҳодисаро эътироф кунад ва ба як ширкати вокуниш ба ҳодисаҳо занг занад. Маъракаи маркетингии манфӣ, ки эътимоди бо заҳмат ба даст овардашударо дар як сония коҳиш дод.Acme як насби npm аз ди дуртар будsaster" сарлавҳаи маъмулӣ буд. Сипас, пас аз он даъвоҳо ва бекор кардани шартномаҳо ба миён омаданд.
Оё шумо шабоҳатҳоро бо ҳодисаҳои маълуми гузашта мебинед? Acme дар ду марҳила ба ҳодисаи занҷираи таъминот дучор шуд, бо истифода аз омехтаи нофаҳмиҳо/хатои чопӣ вобастагӣ Ҳамлаҳое, ки аз як истгоҳи кории таҳиягар ҳамчун нуқтаи муқобил барои сироят кардани ҷузъҳо истифода мешуданд ва дар ниҳоят ба нармафзори истифодашуда аз ҷониби шахсони сеюм табдил меёфтанд. Чӣ тавр инро пешгирӣ ё кам кардан мумкин аст?
Чаро бастаҳои заҳролуд ин қадар маъмуланд
Ин ҳодисаи фарзӣ нишон медиҳад, ки ҳатто бо равиши оқилона ба амнияти манбаъи кушода, ташкилотҳо ба чораҳои мушаххас ниёз доранд, то аз гирифтор шудан ба нармафзори зараровар дар ҷузъҳои манбаъи кушода пешгирӣ кунанд. Аз ҷиҳати схемавӣ, субъекти таҳдид метавонад:
- Бастаи нав эҷод кунед (бо риояи роҳҳои маъруфи чопкунӣ ё нофаҳмиҳои вобастагӣ, ин роҳи аз ҳама бештар аз ҷониби бадкорон аз ҷиҳати ҳаҷм тайшуда мебошад);
- Кӯшиш кунед, ки мавҷударо сироят кунед, ё онро ба рамзи сарчашма ворид кунед, ё кӯшиш кунед, ки онро ҳамчун саҳмгузор пинҳон кунед pull request, ё бо истифода аз муҳандисии иҷтимоӣ барои табдил шудан ба нигоҳдоранда (чунон ки "Ҷао Тан" дар XZ Backdoor кард ё рост9ctrl Корбари GitHub дар ин кор кард ҷараёни чорабинӣ ҳодиса дар тирамоҳи соли 2018), ё бо ба даст овардани эътимодномаҳои анбори кушодаасос ва тақлид кардани нигоҳдоранда;
- Ҳангоми сохтани баста нармафзори зараровар ворид кунед, ё бо иҷро кардани скрипти сохтмонии зараровар, ё дахолат ҳангоми зеркашии бастаҳо бо халалдор кардани муштарӣ дар миёна (хушбахтона, TLS ҳоло ҳамеша дар аксари регистрҳо талаб карда мешавад).
- Ҷузъи бастабандишударо мустақиман ба реестр ворид кунед, одатан бо роҳи сабти эътимодномаҳои реестр (алтернативаи бартарӣ барои бисёр ҳамлаҳои мураккаб ба монанди Acme, ки дар он истгоҳи кории осебдида дар марҳилаи аввал токени дастрасии дохилии реестрро дошт, масалан, дар ҳолати муқаррарӣ) .env or ~/.m2/settings.xml: амалдорони бад медонанд, ки аз куҷо сирро ҷустуҷӯ кунанд). Осебпазириҳо дар феҳристҳо низ истифода мешуданд.
Заҳролудшавӣ бо нармафзори зараровар асоси ҳамлаҳои вобастагӣ ба феҳристҳо мебошад. Дар зери офтоб ҳеҷ чизи наве нест: паҳншавии он хеле афзудааст, аммо ҳамон усулҳо ҳоло ҳам мисли панҷ сол пеш кор мекунанд.
Манбаъ: Маҷмӯаи корди Backstabber.
Бастаи зараровар метавонад ҳангоми насб, ҳангоми сохтани нармафзор ё дар вақти иҷро кор кунад. Ва рафтор аз хориҷ кардани иттилоот, масалан, истихроҷи асрор барои кӯшиши марҳилаи дуюм то истихроҷи рамзи сарчашма ва партофтани нармафзори зараровари иловагӣ иборат аст. Дар қисмати оянда, мо бастаҳои зараровар ва тарзи нашри онҳоро таҳлил хоҳем кард.
Хондани минбаъда
Қисмати навбатӣ Анатомияи бастаҳои зараровар: Тамоюлҳо кадомҳоянд? ба ҳолатҳои воқеие, ки мо бо системаи огоҳкунии барвақти нармафзори зараровари худ ҳар рӯз назорат мекунем, тамаркуз хоҳем кард. Мо дида мебароем, ки кадом намудҳои нармафзори зараровар дида шудаанд ва кадом тактика, усулҳо ва тартибҳо маъмултаринанд. Мо нофаҳмиҳо ва чӣ гуна онҳо кӯшиш мекунанд, ки аз баррасикунандагони эҳтимолӣ пинҳон шаванд, усулҳои канорагирӣ барои пешгирӣ аз ошкоркунӣ ва чӣ гуна онҳо бо телеметрия ва ҳаракати паҳлӯӣ таҳаввул меёбанд. Лутфан, бо мо бимонед!
Адабиёт
- Маҷмӯаи корди Backstabber: Шарҳи ҳамлаҳо ба занҷираи таъминоти нармафзори кушодаасосМ. Ом ва ҳамкорон, майи соли 2020.
- Ҳифзи нармафзори зараровар аз манбаъҳои кушодаКоғази сафед аз Xygeni.
- Software Supply Chain Security Назари ақиб: Ташаккули бехатарии соли 2024Гузориш аз Xygeni.
