การโจมตีสมัยใหม่ไม่รอจนถึงเวลารันไทม์อีกต่อไปแล้ว มันเริ่มต้นตั้งแต่ส่วนประกอบที่จำเป็น สคริปต์การสร้าง และอื่นๆ pipelines.
ด้วยเหตุนี้ การป้องกันมัลแวร์จึงต้องพัฒนาไปไกลกว่าแค่โปรแกรมป้องกันไวรัสและเครื่องมือสำหรับอุปกรณ์ปลายทาง
นักพัฒนาซอฟต์แวร์ในปัจจุบันต้องเผชิญกับความท้าทายใหม่ นั่นคือ การรับประกันว่าระบบจะปกป้องพวกเขาจากมัลแวร์ ก่อน โค้ดนั้นยังสามารถคอมไพล์ได้ด้วยซ้ำ เครื่องมือแบบดั้งเดิมจะตอบสนองหลังจากติดไวรัสแล้ว แต่การป้องกันมัลแวร์ที่ดีที่สุดจะดำเนินการตั้งแต่เนิ่นๆ ภายในห่วงโซ่อุปทานของซอฟต์แวร์
เหตุใดการป้องกันมัลแวร์จึงต้องมีการพัฒนา
เป็นเวลานานแล้วที่องค์กรต่างๆ ไว้วางใจให้โปรแกรมป้องกันไวรัสและโซลูชันสำหรับอุปกรณ์ปลายทางจัดการกับมัลแวร์ แต่ระบบเหล่านี้จะตรวจจับภัยคุกคามได้ก็ต่อเมื่อภัยคุกคามนั้นเข้ามาภายในระบบแล้วเท่านั้น
ในขณะเดียวกัน ผู้โจมตีได้ย้ายไปยังต้นทาง พวกเขาแทรกโค้ดที่เป็นอันตรายเข้าไปในแพ็กเกจโอเพนซอร์ส ซ่อนเพย์โหลดไว้ในสคริปต์ก่อนการติดตั้ง และบุกรุกระบบ CI/CD pipelines.
จากการวิเคราะห์เพื่อบรรลุเป้าหมายของ รายงานอาชญากรรมทางอินเทอร์เน็ตของ FBI ปี 2024ปีที่แล้ว ความเสียหายจากอาชญากรรมไซเบอร์มีมูลค่าเกิน 12.5 พันล้านดอลลาร์ โดยการโจมตีห่วงโซ่อุปทานซอฟต์แวร์เพิ่มขึ้นอย่างรวดเร็ว ศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC) ยังเตือนด้วยว่า หนึ่งในสามของเหตุการณ์ที่เกิดขึ้นในปัจจุบันเกี่ยวข้องกับส่วนประกอบของบุคคลที่สามหรือการพึ่งพาที่ถูกบุกรุก
ตัวเลขเหล่านี้ยืนยันสิ่งที่นักพัฒนาหลายคนสงสัยอยู่แล้ว: ระบบป้องกันมัลแวร์แบบดั้งเดิมไม่สามารถรับมือได้อีกต่อไป
สิ่งที่ระบบป้องกันมัลแวร์แบบดั้งเดิมทำผิดพลาด
เครื่องมือป้องกันมัลแวร์แบบดั้งเดิมอาศัยลายเซ็น การจับคู่รูปแบบ หรือการวิเคราะห์พฤติกรรมบนอุปกรณ์ปลายทาง แม้ว่าจะได้ผลดีกับมัลแวร์ที่โจมตีไฟล์ แต่ก็พลาดภัยคุกคามระดับโค้ดที่ซ่อนอยู่ในระบบสร้างโปรแกรมและรีจิสทรี
ตัวอย่างเช่น npm และ PyPI มีแพ็กเกจใหม่หลายพันรายการในแต่ละวัน หลายแพ็กเกจมีการเข้ารหัสลับหรือ สคริปต์ที่เป็นอันตราย โดยปลอมตัวเป็นส่วนประกอบที่จำเป็น เมื่อติดตั้งแล้ว สคริปต์เหล่านี้สามารถขโมยข้อมูลประจำตัว เชื่อมต่อกับเซิร์ฟเวอร์ระยะไกล หรือแทรกช่องโหว่ได้ก่อนที่จะใช้งานจริง
ดังนั้น การพึ่งพาการตรวจจับขณะทำงานเพียงอย่างเดียวจึงให้การป้องกันมัลแวร์ได้เพียงบางส่วนเท่านั้น
ในทางตรงกันข้าม การป้องกันมัลแวร์ที่ดีที่สุดเริ่มต้นตั้งแต่เนิ่นๆ โดยการวิเคราะห์ความสัมพันธ์ระหว่างไฟล์ต่างๆ ก่อนที่พวกมันจะเข้ามาในสภาพแวดล้อมของคุณ
ข้อมูลเบื้องหลังภัยคุกคามที่กำลังเพิ่มขึ้น
การโจมตีห่วงโซ่อุปทานซอฟต์แวร์ที่เพิ่มขึ้นนั้นสามารถวัดผลได้และยากที่จะมองข้าม
ผลการศึกษาล่าสุดเผยให้เห็นว่าภัยคุกคามต่างๆ กำลังขยายตัวอย่างรวดเร็วในระบบนิเวศโอเพนซอร์สและการพัฒนาซอฟต์แวร์ pipelines.
- A เพิ่มขึ้น 650% เมื่อเทียบปีต่อปี ในแพ็กเกจที่เป็นอันตรายซึ่งถูกอัปโหลดไปยัง npm และ PyPI ตามข้อมูล งานวิจัย arXiv (2024).
- เกือบ 30% ของการละเมิดข้อมูลทั้งหมดในปี 2024 เกี่ยวข้องกับส่วนประกอบของบุคคลที่สามหรือผู้ขายภายนอก โดยพิจารณาจาก ภูมิทัศน์ภัยคุกคามของ ENISA ปี 2024.
- การขอ กรอบ MITER ATT & CK ระบุมากกว่า 100 เทคนิคที่แตกต่างกัน เกี่ยวข้องกับช่องโหว่ในห่วงโซ่อุปทานซอฟต์แวร์ ตั้งแต่ความสับสนเรื่องความสัมพันธ์ของส่วนประกอบซอฟต์แวร์ไปจนถึงการขโมยข้อมูลประจำตัว
โดยสรุปแล้ว ผลการค้นพบเหล่านี้แสดงให้เห็นว่ามัลแวร์ไม่ได้มุ่งเป้าไปที่อุปกรณ์ปลายทางเพียงอย่างเดียวอีกต่อไป
แต่กลับแพร่กระจายผ่านการพึ่งพาที่เชื่อถือได้ และสร้าง pipeline, และ CI/CD สภาพแวดล้อม
นั่นคือเหตุผลที่องค์กรต่างๆ จำเป็นต้องมี การป้องกันจากมัลแวร์ ซึ่งเริ่มต้นจากต้นทาง ก่อนที่แพ็กเกจที่เสียหายจะเข้าสู่ระบบการผลิต
การป้องกันมัลแวร์แบบดั้งเดิมเทียบกับการป้องกันมัลแวร์แบบ DevSecOps สมัยใหม่
| แง่มุม | การป้องกันมัลแวร์แบบดั้งเดิม | การป้องกันมัลแวร์ใน DevSecOps สมัยใหม่ |
|---|---|---|
| ขอบเขต | เน้นที่อุปกรณ์ปลายทางและอุปกรณ์ของผู้ใช้งาน | ปกป้องห่วงโซ่อุปทานซอฟต์แวร์ทั้งหมด ตั้งแต่โค้ดไปจนถึงระบบคลาวด์ |
| ระยะเวลาการตรวจจับ | ตอบสนองทันที — ระบุภัยคุกคามหลังจากติดเชื้อหรือถูกดำเนินการแล้ว | เชิงรุก — ตรวจจับและบล็อกมัลแวร์ก่อนการสร้างหรือการติดตั้งใช้งาน |
| วิธีการตรวจจับ | อาศัยลายเซ็นและรูปแบบภัยคุกคามที่ทราบแล้ว | ใช้การวิเคราะห์เชิงพฤติกรรมและบริบทของความสัมพันธ์และการเขียนโค้ด |
| บูรณาการ | เครื่องมือแบบสแตนด์อโลน มักอยู่นอกเหนือขั้นตอนการทำงานของนักพัฒนา | ผสานรวมกับ CI/CD เครื่องมือต่างๆ เช่น GitHub, GitLab, Jenkins และ Azure DevOps |
| คุ้มครอง | จำกัดเฉพาะมัลแวร์ที่รู้จักบนอุปกรณ์และไฟล์เท่านั้น | ครอบคลุมถึงซอร์สโค้ด แพ็กเกจโอเพนซอร์ส คอนเทนเนอร์ และอื่นๆ pipelines. |
| เวลาตอบสนอง | ขึ้นอยู่กับการอัปเดตด้วยตนเองและการตรวจสอบลายเซ็นไวรัส | แจ้งเตือนแบบเรียลไทม์และบล็อกพัสดุต้องสงสัยโดยอัตโนมัติ |
| ผลบวกเท็จ | ระดับสูง — มักจะทำให้เกิดการแจ้งเตือนที่ดังและซ้ำซาก | ลดขนาดลงผ่านการวิเคราะห์ความสามารถในการใช้งานและการเข้าถึง |
| อัตโนมัติ | จำเป็นต้องมีการตรวจสอบและแก้ไขด้วยตนเอง | ประกอบด้วยระบบแก้ไขปัญหาอัตโนมัติ ระบบแจ้งเตือนล่วงหน้า และไฟร์วอลล์ป้องกันการพึ่งพาของระบบ |
| แพ็กเกจ | เน้นที่จุดสิ้นสุด ขาดความสามารถในการตรวจสอบย้อนกลับกระบวนการสร้าง | ช่วยให้สามารถตรวจสอบย้อนกลับได้อย่างครบถ้วนด้วย SBOMที่มา และคำรับรอง |
| เหมาะสมที่สุดสำหรับ | การควบคุมสถานการณ์หลังเกิดเหตุและการป้องกันในระดับอุปกรณ์ | การป้องกันมัลแวร์อย่างต่อเนื่องตลอดกระบวนการพัฒนาและการส่งมอบ pipelines. |
โปรแกรมป้องกันมัลแวร์ที่ดีที่สุดควรมีคุณสมบัติอะไรบ้าง
ทีมพัฒนาสมัยใหม่ต้องการ การป้องกันมัลแวร์ที่ดีที่สุดในระดับเดียวกัน ที่ปรับให้เข้ากับวิธีการสร้างซอฟต์แวร์ในปัจจุบัน
เพื่อให้ระบบมีความปลอดภัย การป้องกันต้องเริ่มต้นตั้งแต่เนิ่นๆ และป้องกันไม่ให้โค้ดที่เป็นอันตรายเข้าสู่ระบบได้ pipeline เลย
ในระยะสั้น การป้องกันมัลแวร์ที่มีประสิทธิภาพ เน้นการป้องกันมากกว่าการแก้ไขปัญหาเฉพาะหน้า
โซลูชันที่สมบูรณ์ควรประกอบด้วยระบบป้องกันหลายชั้นที่เชื่อมโยงกัน:
- การสแกนตามเวลาจริง โดยใช้รีจิสทรีแบบโอเพนซอร์ส เช่น npm, PyPI, Maven และ NuGet เพื่อป้องกันภัยคุกคามก่อนที่จะแพร่กระจาย
- ระบบการเตือนล่วงหน้า ซึ่งจะตรวจสอบรีจิสทรีเหล่านั้นอย่างต่อเนื่องและตรวจจับมัลแวร์ Zero-day ทันทีที่ปรากฏขึ้น แจ้งเตือนทีมงานก่อนที่แพ็กเกจที่ติดไวรัสจะเข้าถึงสภาพแวดล้อมของพวกเขาได้
- ไฟร์วอลล์การพึ่งพา ซึ่งจะบล็อกหรือกักกันส่วนประกอบที่น่าสงสัยโดยอัตโนมัติ ช่วยลดความจำเป็นในการตรวจสอบด้วยตนเอง
- การตรวจจับความผิดปกติ ข้าม CI/CD และ SCM ระบบเหล่านี้ช่วยระบุพฤติกรรมที่ผิดปกติหรือการเปลี่ยนแปลงไฟล์ที่ไม่คาดคิดระหว่างการสร้างโปรแกรม
- การวิเคราะห์ผู้ร่วมงานและผู้จัดพิมพ์ เพื่อตรวจจับการเปลี่ยนแปลงผู้ดูแลระบบอย่างกะทันหันหรือบัญชีที่ถูกแฮ็กซึ่งอาจแทรกโค้ดที่เป็นอันตรายได้
- การบังคับใช้นโยบายอย่างต่อเนื่อง เพื่อรักษาการปฏิบัติตามกฎระเบียบและความสม่ำเสมอโดยไม่ทำให้การพัฒนาชะลอตัวลง
จำนวนช่องโหว่ที่เพิ่มขึ้นเรื่อยๆ แสดงให้เห็นว่าเหตุใดการป้องกันเหล่านี้จึงมีความสำคัญ
จากการวิเคราะห์เพื่อบรรลุเป้าหมายของ ฐานข้อมูลช่องโหว่แห่งชาติ (NVD), มากกว่า มีการรายงานช่องโหว่ CVE ใหม่ 29,000 รายการในปี 2024 ซึ่งเป็นจำนวนสูงสุดเป็นประวัติการณ์
การเพิ่มขึ้นอย่างต่อเนื่องนี้เน้นให้เห็นว่าภัยคุกคามพัฒนาไปอย่างรวดเร็วเพียงใด และเป็นเหตุผลว่าทำไมผู้พัฒนาจึงต้องการระบบป้องกันหลายชั้นที่ผสานรวมเข้ากับขั้นตอนการทำงานของพวกเขาโดยตรง
ความสามารถเหล่านี้เมื่อรวมกันแล้วจะช่วยให้การป้องกันมัลแวร์ครอบคลุมทุกขั้นตอน ตั้งแต่โค้ดไปจนถึงคลาวด์ ลดความเสี่ยง ปรับปรุงการมองเห็น และรักษาความปลอดภัย pipelineสะอาด.
แนวทางของ Xygeni: การป้องกันมัลแวร์เชิงรุกสำหรับ DevOps
ไซเกนี นำระบบป้องกันมัลแวร์ที่ทันสมัยเข้ามาใช้ในกระบวนการพัฒนาโดยตรง
แทนที่จะรอการแจ้งเตือนหลังจากการสร้างเสร็จสิ้น ระบบจะตรวจจับและบล็อกภัยคุกคามแบบเรียลไทม์ทั่วทั้งซอร์สโค้ด ส่วนประกอบต่างๆ และอื่นๆ CI/CD pipelines.
การออกแบบเชิงรุกนี้ช่วยให้ทีมรักษาความสะอาดของสภาพแวดล้อมโดยไม่ทำให้การส่งมอบงานล่าช้าลง
นี่คือวิธีที่ Xygeni ดูแลรักษาสุขภาพของคุณ pipelineปลอดภัย:
- การตรวจสอบอย่างต่อเนื่อง: ติดตามแพ็กเกจใหม่หลายพันรายการทุกวัน และตรวจจับพฤติกรรมที่น่าสงสัยก่อนที่จะเข้าสู่ระบบการผลิต
- ระบบการเตือนล่วงหน้า: แจ้งเตือนล่วงหน้าเกี่ยวกับมัลแวร์ Zero-day ที่เผยแพร่ในรีจิสทรีแบบโอเพนซอร์ส ทำให้ทีมมีเวลาตอบสนองได้ทันที
- การป้องกันอัตโนมัติ: กักกันหรือบล็อกการพึ่งพาที่มีความเสี่ยงโดยอัตโนมัติ เพื่อป้องกันการปนเปื้อนในกระบวนการสร้างโปรแกรม
- การตรวจจับความผิดปกติ: คอยตรวจสอบการเปลี่ยนแปลงไฟล์ที่ไม่คาดคิด สคริปต์ที่ซ่อนอยู่ หรือความพยายามในการเรียกใช้คำสั่งระยะไกลภายในเวิร์กโฟลว์ของคุณ
- การติดตามชื่อเสียงของผู้ร่วมงาน: ตรวจสอบข้อมูลประจำตัวของผู้ดูแลระบบและรูปแบบการเผยแพร่เพื่อตรวจจับบัญชีผู้เผยแพร่ปลอมหรือที่ถูกแฮ็ก
เนื่องจาก Xygeni สามารถทำงานร่วมกับแพลตฟอร์มต่างๆ ได้อย่างราบรื่น เช่น GitHub, GitLab, เจนกินส์ และ Bitbucketทีมงานจะได้รับการปกป้องจากมัลแวร์อย่างต่อเนื่องโดยไม่ต้องติดตั้งเพิ่มเติมหรือกำหนดค่าที่ซับซ้อน
ระบบจะจัดการการตรวจจับและการบล็อกอย่างเงียบ ๆ ในเบื้องหลัง ทำให้ผู้พัฒนาสามารถมุ่งเน้นไปที่การเขียนโค้ดได้
ด้วยวิธีนี้ Xygeni จึงไม่เพียงแต่ให้การป้องกันแบบเรียลไทม์เท่านั้น แต่ยังให้การป้องกันมัลแวร์ที่ดีที่สุดซึ่งออกแบบมาให้เหมาะสมกับวิธีการสร้างซอฟต์แวร์สมัยใหม่ด้วย
นักพัฒนาได้รับประโยชน์อย่างไรจากการป้องกันเชิงรุก
สำหรับนักพัฒนา ความแตกต่างนั้นชัดเจน เครื่องมือแบบดั้งเดิมมักทำให้การสร้างโปรแกรมช้าลงหรือเกิดปัญหาโปรแกรมทำงานหนักเกินไป dashboards ที่มีการแจ้งเตือนผิดพลาด อย่างไรก็ตาม Xygeni ทำให้ทุกอย่างเรียบง่าย และให้รายละเอียดที่สำคัญที่สุด
- ลดการแจ้งเตือนผิดพลาดและรายงานที่ชัดเจนยิ่งขึ้น
- ตอบกลับทันทีภายใน pull requests.
- การตรวจสอบอย่างต่อเนื่องตลอดห่วงโซ่อุปทานซอฟต์แวร์
- ระบบป้องกันมัลแวร์อัตโนมัติ โดยไม่ต้องตรวจสอบด้วยตนเอง
นอกจากนี้ กระบวนการทำงานนี้ยังช่วยสร้างความมั่นใจในทุกๆ การปล่อยเวอร์ชันใหม่
นักพัฒนาสามารถมุ่งเน้นไปที่การเขียนโค้ด ในขณะที่ทีมรักษาความปลอดภัยได้รับความคุ้มครองอย่างเต็มที่และลดปัญหาที่ไม่จำเป็นลง
แนวทางปฏิบัติที่ดีที่สุดเพื่อเสริมสร้างการป้องกันมัลแวร์
แม้แต่โปรแกรมป้องกันมัลแวร์ที่ดีที่สุดก็จะได้ผลดียิ่งขึ้นเมื่อใช้งานร่วมกับแนวทางปฏิบัติ DevSecOps ที่เข้มแข็ง
ตัวอย่างเช่น ขั้นตอนเหล่านี้สามารถทำให้สภาพแวดล้อมของคุณปลอดภัยและน่าเชื่อถือยิ่งขึ้น:
- หมั่นอัปเดตและกำหนดเวอร์ชันของไลบรารีที่เกี่ยวข้องให้เป็นเวอร์ชันที่เชื่อถือได้
- สแกนไฟล์และคอนเทนเนอร์ทั้งหมดก่อนทำการติดตั้งใช้งาน
- นำหลักการให้สิทธิ์ขั้นต่ำมาใช้ในการปฏิบัติงานของคุณ CI/CD pipelines.
- ใช้ SBOMs (รายการส่วนประกอบซอฟต์แวร์) เพื่อให้มองเห็นได้อย่างชัดเจน
- นาฬิกา commit ประวัติและกิจกรรมของผู้จัดพิมพ์สำหรับการเปลี่ยนแปลง
- ฝึกอบรมทีมงานให้สามารถระบุความเสี่ยงในห่วงโซ่อุปทานได้ตั้งแต่เนิ่นๆ
ในขณะเดียวกัน การผสานรวมเครื่องมือต่างๆ เช่น Xygeni จะช่วยเปลี่ยนแนวทางปฏิบัติที่ดีที่สุดเหล่านี้ให้เป็นระบบอัตโนมัติ guardrails แทนที่จะเป็นงานที่ต้องใช้แรงงานคน
กล่าวโดยสรุป คือ มันช่วยลดความซับซ้อนของการป้องกัน ในขณะเดียวกันก็เสริมสร้างความแข็งแกร่งให้กับระบบป้องกันของคุณ
ข้อคิดส่งท้าย: การสร้างห่วงโซ่อุปทานซอฟต์แวร์ที่ทนทานต่อมัลแวร์
มัลแวร์มีการพัฒนาอย่างต่อเนื่อง ดังนั้นระบบป้องกันของคุณก็ต้องพัฒนาตามไปด้วยเช่นกัน
การปกป้องเฉพาะปลายทางอย่างเดียวไม่เพียงพออีกต่อไปแล้ว ทีมงานจำเป็นต้องมีการป้องกันมัลแวร์ที่เริ่มต้นตั้งแต่ต้น ตั้งแต่ภายในโค้ด ส่วนประกอบต่างๆ และอื่นๆ pipelineนั่นคือจุดเริ่มต้นที่แท้จริงของซอฟต์แวร์
การให้ความสำคัญกับความปลอดภัยในขั้นตอนนี้จะช่วยให้นักพัฒนาสามารถมองเห็นภาพรวมได้ชัดเจนขึ้นและได้รับผลตอบรับที่รวดเร็วขึ้น ส่งผลให้ความเสี่ยงลดลงก่อนที่จะถึงขั้นตอนการใช้งานจริงหรือไปถึงมือผู้ใช้
ด้วยการผสานรวมการสแกนแบบเรียลไทม์ การแจ้งเตือนล่วงหน้า และการบล็อกอัตโนมัติ Xygeni จึงมอบการป้องกันมัลแวร์อย่างต่อเนื่องโดยไม่ทำให้การพัฒนาช้าลง
แนวทางการทำงานเชิงรุกนี้ช่วยให้ทีมมุ่งเน้นไปที่การสร้างสรรค์ผลงาน ในขณะเดียวกันก็รักษาความปลอดภัยจากภัยคุกคามที่ซ่อนเร้นในทุกแหล่งเก็บข้อมูลและกระบวนการสร้าง pipeline.
กล่าวโดยสรุป การป้องกันมัลแวร์ที่ดีที่สุดคือการป้องกันที่ได้ผลก่อนที่การโจมตีจะเริ่มต้นขึ้น ช่วยให้คุณเปลี่ยนจากการป้องกันแบบตอบสนองไปสู่การรักษาความปลอดภัยเชิงรุก และทำให้ห่วงโซ่อุปทานซอฟต์แวร์ของคุณก้าวล้ำไปหนึ่งก้าวเสมอ
มีคำถามเกี่ยวกับความปลอดภัยของ Azure หรือไม่?
