Ҳангоме ки давраи ҳаёти занҷираи таъминоти нармафзор аз рамзи сарчашма то артефактҳои иҷрошаванда пеш меравад, марҳилаи сохтан ҳамчун як марҳилаи муҳим қарор дорад. Бо вуҷуди ин, ин марҳилаи табдилдиҳанда инчунин ба як қатор таҳдидҳое, ки метавонанд якпорчагии нармафзорро зери хатар гузоранд, осебпазир аст. build securityИн таҳдидҳо метавонанд ба раванди сохтмон тавассути усулҳои гуногун, аз ҷумла аз байн бурдани роҳҳои муқарраршуда, ворид шаванд. CI/CD pipeline, тағир додани идоракунии пас аз сарчашмаи код, осеб расонидан ба худи раванди сохтан ё таҳрири анборҳои артефакт. Дар ин паёми блог, мо ин таҳдидҳоро амиқ омӯхта, ҳамлаҳои маъмултарини сохтани занҷираи таъминоти нармафзорро таҳлил мекунем. Ин мундариҷа силсилаи блогҳои моро барои омӯхтани онҳо идома медиҳад. software supply chain security дар тамоми SDLC.
Марҳилаи сохтмон дар давраи ҳаёти таҳияи нармафзор
Марҳилаи сохтани давраи ҳаёти занҷираи таъминоти нармафзор раванди табдил додани рамзи сарчашмаро ба артефактҳои нармафзори иҷрошаванда дар бар мегирад. Ин марҳила тартиб додан, пайваст кардан ва бастабандии рамзи сарчашма, инчунин тавлиди бастаҳои насб ва файлҳои конфигуратсияро дар бар мегирад.
Build security Таҳдидҳо осебпазириҳое мебошанд, ки метавонанд ба рақиб имкон диҳанд, ки ҳангоми раванди сохтан тағйироти беиҷозатро ба нармафзор бидуни тағир додани рамзи сарчашма ворид кунад. Ин таҳдидҳоро метавон тавассути усулҳои гуногун, ба монанди осеб расонидан ба муҳити сохтан ё истифодаи осебпазириҳо дар абзорҳои сохтан, ворид кард.
Таҳдидҳои маъмултарини занҷираи таъминоти нармафзор - Ҳамлаҳои сохтани нармафзор
даврзанӣ CI/CD
Ин ба амалияи канорагирӣ аз муқаррарот ишора мекунад CI/CD (ҳамгироии пайваста ва интиқоли пайваста) pipeline мустақиман таҳия ва нашр кардани нармафзор бидуни гузаштан аз равандҳои сахти санҷиш, тасдиқ ва аудит, ки одатан аз ҷониби мақомоти расмӣ татбиқ карда мешаванд pipelineИнро метавон бо роҳи дастӣ сохтани нармафзор дар берун аз ... анҷом дод. CI/CD муҳит ё бо истифода аз абзорҳо ё скриптҳое, ки имкони тағир додани беиҷозат ба раванди сохтанро доранд. Намунаи ин навъи ҳамлаи векторӣ ин буд Ҳамлаи ҶенкинсДар соли 2022, ҳакерҳо ба сохтмон ворид шуданд pipeline як лоиҳаи маъмули нармафзори кушодаасос бо номи Jenkins. Ҳакерҳо рамзи зарароварро ба файли Jenkins ворид карданд, ки скрипте аст, ки раванди сохтанро муайян мекунад. Коди зараровар ба ҳакерҳо имкон дод, ки аз он убур кунанд. CI/CD pipeline's-ро тафтиш мекунад ва рамзи худро ба раванди сохтан ворид мекунад. Сипас ин рамз дар системаҳои ташкилотҳое, ки нармафзорро насб кардаанд, иҷро карда мешавад.
Пас аз назорати манбаъ кодро тағир диҳед
Ин амалия ворид кардани тағйироти беиҷозат ба рамзи сарчашмаро пас аз он дар бар мегирад, ки commitба системаи идоракунии манбаи боэътимод (SCS) фиристода мешавад ва сипас нармафзорро бо истифода аз ин рамзи тағйирёфта сохтан мумкин аст. Инро метавон бо роҳи мустақиман тағир додани рамз дар истгоҳи кории таҳиягар ё бо истифода аз абзорҳо ё скриптҳои беруна барои ворид кардани рамзи зараровар ба раванди сохтан анҷом дод. Намунаи ин ҳамлаи векторӣ ҳамлаи GitLab дар соли 2022 буд. Ҳакерҳо ба сохтан ворид шуданд. pipeline of ГуглабҲакерҳо рамзи зарароварро ба GitLab ворид карданд. CI/CD pipeline, ки ин абзорест, ки автоматикунонӣ мекунад build security Раванд. Коди зараровар ба ҳакерҳо имкон дод, ки рамзро пас аз санҷида шуданаш ба назорати манбаъ тағйир диҳанд. Ин ба онҳо имкон дод, ки рамзи худро ба нармафзор ворид кунанд, ки сипас дар системаҳои ташкилотҳое, ки нармафзорро насб кардаанд, иҷро карда мешуд.
Раванди сохтани созиш
Ин аз таҳрир ё тағир додани худи раванди сохтмон иборат аст, хоҳ тавассути дастрасии мустақим ба муҳити сохтмон ё бо истифода аз осебпазириҳо дар абзорҳои сохтмон ё вобастагиҳои тарафи сеюм. Инро метавон барои ворид кардани рамзи зараровар ба натиҷаи сохтмон, тағйир додани манбаи сохтмон ё халалдор кардани раванди сохтмон анҷом дод. Намунаи машҳуртарини ин ҳамлаи векторӣ ин буд Ҳамлаи SolarWindsҲамлагар ба платформаи сохтани SolarWinds, системае, ки барои тартиб ва бастабандии нармафзори SolarWinds Orion истифода мешуд, дастрасии беиҷозат ба даст оварда буд. Ин скрипт рамзи зарароварро ба нармафзори тартибдодашудаи SolarWinds Orion ворид кард. Вақте ки корбарон нармафзори осебдидаро насб карданд, рамзи зараровар дар системаҳои онҳо иҷро мешуд ва ба ҳамлагар дастрасии беиҷозат ба системаҳои онҳо медод. Ҳамлагар инчунин тавонист маълумоти ҳассосро аз системаҳои онҳо, аз қабили эътимодномаҳо, моликияти зеҳнӣ ва маълумоти муштариён, дуздад.
Анбори артефакти шикастхӯрда
Ин ба дастрасии беиҷозат ё сӯиистифода аз анбори артефактҳо ишора мекунад, ки дар он бастаҳои нармафзор ва файлҳои дуӣ барои паҳн кардан ба корбарони дохилӣ ё беруна нигоҳ дошта мешаванд. Ҳамлагарон метавонанд ин осебпазириро барои ворид кардани рамзи зараровар, тағйир додани аслияти нармафзор ё халалдор кардани раванди ҷойгиркунӣ истифода баранд. Мисоли ин ҳамлаи векторӣ чунин буд: RubyGems дар соли 2022Ҳакерҳо ба анбори артефакти RubyGems ворид шуданд. Ҳакерҳо як артефакти қонуниро бо як артефакти зараровар иваз карданд, ки сипас онро ҳазорҳо ташкилотҳое, ки нармафзорро бо Ruby on Rails месозанд, зеркашӣ карданд. Ин артефакти зараровар ба ҳакерҳо имкон дод, ки рамзи худсаронаро дар системаҳои ташкилотҳое, ки нармафзорро насб кардаанд, иҷро кунанд. Ин метавонад ба онҳо имкон диҳад, ки маълумотро дузданд, нармафзори зарароварро насб кунанд ё амалиётро халалдор кунанд.
Шарҳҳои ниҳоӣ
Ҳангоме ки ташкилотҳо амалияҳои таҳияи нармафзорро, ки ба автоматикунонӣ ва интиқоли пайваста таъкид мекунанд, қабул мекунанд, аҳамияти амнияти раванди сохтани нармафзор ҳеҷ гоҳ ин қадар бузург набудааст. Бо татбиқи чораҳои амниятии қавӣ дар тамоми марҳилаи сохтан, ташкилотҳо метавонанд хатари қурбонии ҳамлаҳои зарароварро, ки метавонанд якпорчагӣ ва амнияти нармафзори онҳоро зери хатар гузоранд, ба таври назаррас коҳиш диҳанд.
Стратегияҳое, ки дар ин паёми блог оварда шудаанд ва мисолҳои овардашуда хотиррасон мекунанд, ки марҳилаи сохтан нуқтаи осебпазир дар занҷири таъминоти нармафзор аст. Ташкилотҳо бояд ба ин таҳдидҳо диққат диҳанд ва чораҳои зарурии амниятиро барои ҳифзи нармафзори худ аз ҳамлаҳо амалӣ кунанд. Бо ин роҳ, онҳо метавонанд якпорчагӣ, амният ва эътимоднокии нармафзори худро барои корбарон ва муштариёни худ таъмин кунанд.
Ба сафари мо ба сӯи экосистемаи нармафзори амн ҳамроҳ шавед
Ин фурсатро барои пешгирӣ аз таҳдидҳои занҷираи таъминоти нармафзор аз даст надиҳед. Имрӯз ба блоги мо обуна шавед ва аввалин шуда аз фаҳмишҳои охирини мо огоҳ шавед ва кафолат диҳед, ки ташкилоти шумо дар миёни таҳдидҳои таҳаввулёбанда устувор ва бехатар боқӣ мемонад. Якҷоя, мо метавонем як экосистемаи нармафзори мустаҳкамтар ва бехатартарро барои ҳама бунёд кунем.
Намоиши видеоии моро тамошо кунед
