اس پیچیدگی کا مطلب ہے کہ حملہ آوروں کے لیے متعدد راستے موجود ہیں، بشمول اوپن سورس سافٹ ویئر ریپوزٹریز۔ GitHub کے مطابق، 85-97٪ enterprise کوڈ بیس اوپن سورس ریپوزٹری سے آتے ہیں۔. Npm اور PyPI ذخیروں میں پچھلے چار سالوں میں حملوں میں 300% اضافہ دیکھا گیا ہے۔
مثال کے طور پر، IconBurst آج کے مروجہ سافٹ ویئر سپلائی چین حملوں کی ایک اہم مثال ہے۔. 17,000 سے زیادہ بار ڈاؤن لوڈ کیا گیا، یہ ایک طاقتور حملہ تھا جو پچھلے سال ہوا تھا جس میں npm پر 24 سے زیادہ ٹائپوسکویٹنگ پیکجز شامل تھے۔ لہذا، تنظیموں کو سافٹ ویئر سپلائی چین حملوں کو سمجھنا چاہیے اور اپنے DevOps ماحولیاتی نظام کو محفوظ بنانے کے لیے اقدامات کرنا چاہیے۔
نئے نقطہ نظر
اپنی سافٹ ویئر سپلائی چینز کو محفوظ بنانے کی کوشش کرنے والی تنظیموں کو مناسب ٹولز کا انتخاب کرنا چاہیے۔ تاہم، زیادہ تر محفوظ ڈویلپمنٹ اور ایپلیکیشن سیکیورٹی ٹیسٹنگ (AST) ٹیکنالوجیز سپلائی چین کے تمام خطرات کا جامع طور پر احاطہ نہیں کرتی ہیں۔
متحرک یا جامد ایپلی کیشن سیکیورٹی ٹیسٹنگ کے دوران (DAST/SAST) کے لیے اہم ہے۔ SDLC، یہ سافٹ ویئر سے چھیڑ چھاڑ یا سمجھوتہ شدہ اوپن سورس اور تھرڈ پارٹی لائبریریوں سے لاحق خطرات کو حل کرنے میں ناکام رہتا ہے۔ اسی طرح، سافٹ ویئر کی ساخت کا تجزیہ (SCA) اوپن سورس اجزاء کی جانچ کر سکتا ہے لیکن اکثر نقصان دہ ماڈیولز سے محروم رہتا ہے اور مکمل سیکیورٹی کوریج فراہم کرنے میں ناکام رہتا ہے۔
لہذا، جدید آلات کی طرح زیجینی جو کہ ان صلاحیتوں سے آگے نکل جائے اس پر ڈویلپرز کو کامیابی کے لیے ضروری وسائل فراہم کرنے پر غور کیا جانا چاہیے۔ ماہرین اس بات پر متفق ہیں کہ تبدیلی ضروری ہے، کیونکہ موجودہ ترقیاتی ٹیموں کو کامیابی کے لیے لیس ہونے کی ضرورت ہے۔
اس بات کو یقینی بنانے کے لیے سافٹ ویئر کی تیاری کے ابتدائی مراحل سے ہی چیک اینڈ بیلنس کا نظام نافذ کیا جانا چاہیے۔ software supply chain security. کوڈ کی پہلی سطر لکھنے سے پہلے بھی، مندرجہ ذیل احتیاطی تدابیر پر غور کرنا بہت ضروری ہے:
- اس بات کا تعین کرنا کہ کوڈ تک کس کی رسائی ہوگی، بشمول اندرونی اور بیرونی فریقین
- کوڈ کی منظوریوں پر ملکیت کی وضاحت کرنا
- تحویل اور ورژن کنٹرول کا سلسلہ قائم کرنا
- بدنیتی پر مبنی کوڈ انجیکشن کو روکنے کے لیے بنیادی حفاظتی اقدامات کو نافذ کرنا
- خراب اداکاروں کی طرف سے کوڈ کی تبدیلیوں کا جواب دینے کے لیے میکانزم بنانا
ان اقدامات کو نافذ کرنے میں ناکامی کے نتیجے میں تباہ کن حملے ہو سکتے ہیں جیسے کہ ransomware کے مطالبات جو آپ کی تنظیم، شراکت داروں اور صارفین کو متاثر کرتے ہیں۔
چست طریقے۔
فرتیلی طریقوں نے تعاون، لچک، اور کسٹمر کی اطمینان پر زور دے کر سافٹ ویئر کی ترقی میں انقلاب برپا کیا۔ اس نقطہ نظر نے ترقیاتی ٹیموں کو بدلتے ہوئے تقاضوں کا فوری جواب دینے اور اعلیٰ معیار کے سافٹ ویئر کی فوری فراہمی کے قابل بنایا ہے۔ چست ماحول میں، ترقیاتی ٹیمیں مختصر سپرنٹ سائیکلوں میں کام کرتی ہیں، جو چند ہفتوں سے ایک ماہ تک جاری رہتی ہیں۔ ہر سپرنٹ کے اختتام پر، ٹیم کام کرنے والی مصنوعات میں اضافہ فراہم کرتی ہے۔
فرتیلی نقطہ نظر ٹیم کے ارکان کے درمیان تعاون اور مواصلات کو بھی فروغ دیتا ہے، سائلو کو توڑتا ہے اور شفافیت کو بہتر بناتا ہے۔ یہ ممکنہ حفاظتی خطرات کی جلد شناخت اور ان سے نمٹنے میں مدد کرتا ہے، اس بات کو یقینی بناتا ہے کہ سیکیورٹی سافٹ ویئر کی ترقی کے عمل کے ہر مرحلے میں مربوط ہے۔ فرتیلی ٹیمیں سیکیورٹی ٹیسٹنگ اور خودکار سیکیورٹی اسکینوں کا فائدہ اٹھا سکتی ہیں۔ SDLC فوری طور پر مسائل کی نشاندہی اور حل کرنے کے لیے، بہت متعلقہ فوائد حاصل کرنا جیسے:
- لاگت کی بچت: کسی پروڈکٹ کے جاری ہونے اور استعمال میں آنے کے بعد ترقی کے عمل کے ابتدائی مراحل میں حفاظتی مسائل کو ٹھیک کرنا کم خرچ ہے۔ سیکیورٹی کا مسئلہ جتنا بعد میں دریافت ہوتا ہے، اسے ٹھیک کرنا اتنا ہی مہنگا ہوتا ہے۔
- سیکیورٹی کی خلاف ورزی کا خطرہ کم: ممکنہ حفاظتی خطرات کو جلد از جلد حل کرنے سے، کامیاب حفاظتی خلاف ورزی کا امکان کم ہوجاتا ہے، جو حساس معلومات کی حفاظت کرتا ہے اور مہنگے سیکیورٹی واقعات کو روکتا ہے۔
- تعمیل: بہت سی صنعتیں ریگولیٹری تعمیل کی ضروریات کے تابع ہیں، جیسے SOC2، PCI، اور ISO۔ سافٹ ویئر ڈویلپمنٹ کے عمل میں سیکورٹی کو ضم کرنے سے ان ضوابط کی تعمیل کو یقینی بنانے میں مدد مل سکتی ہے۔
- گاہک کا اعتماد: صارفین سافٹ ویئر کی مصنوعات کو محفوظ اور قابل اعتماد ہونے کی توقع رکھتے ہیں۔ ترقی کے عمل میں سیکورٹی کو ضم کرنا اور اس عمل کو ظاہر کرنا گاہک کے اعتماد اور مصنوعات پر اعتماد کو بڑھاتا ہے۔
- شہرت کا انتظام: ممکنہ حفاظتی خطرات کو جلد از جلد حل کرکے اور اس بات کو یقینی بناتے ہوئے کہ سیکیورٹی کو ترقی کے عمل کے ہر مرحلے میں ضم کیا گیا ہے، کمپنیاں اپنی ساکھ کو منظم کرتی ہیں اور ان کی ساکھ کو نقصان پہنچانے والے سیکیورٹی واقعات سے گریز کرکے صارفین کے اعتماد اور آمدنی کو برقرار رکھتی ہیں۔
حفاظتی اقدامات
شامل software supply chain security بہترین طریقوں اور سافٹ ویئر ڈویلپمنٹ لائف سائیکل کے دوران خودکار سیکیورٹی اسکین (SDLC) فرتیلی ٹیموں کے لیے سیکیورٹی کے مسائل کا فوری پتہ لگانے اور ان سے نمٹنے کے لیے اہم ہے۔ کچھ نقطہ نظر جو فرتیلی ٹیمیں اپنے ترقیاتی عمل میں سیکیورٹی ٹیسٹنگ کو ضم کرنے کے لیے استعمال کر سکتی ہیں ان میں شامل ہونا چاہیے:
- اپنے پورے سافٹ ویئر سپلائی چین میں کنٹرول پوائنٹس کا انتظام کرنا ریگولیٹری تعمیل کے حصول اور مناسب سیکورٹی کو یقینی بنانے کے لیے بہت اہم ہے۔ ادارے عمل درآمد کریں۔ standard اسے پورا کرنے کے لیے شناخت اور رسائی کی منظوری، کنفیگریشن مینجمنٹ، رسائی کی پابندیاں، آڈیٹنگ اور سیکیورٹی ٹیسٹنگ جیسے کنٹرولز۔ تنظیموں کو اس بات کے لیے کنٹرول سیٹ کرنا چاہیے کہ کون کوڈ اور کنفیگریشنز میں تبدیلیاں کر سکتا ہے، انضمام کی درخواستوں کو منظور کر سکتا ہے، اور کمزوریوں کے لیے ایپلیکیشنز کو اسکین کر سکتا ہے۔ محفوظ شاخیں اور ماحول اور لائسنس یافتہ کوڈ کا استعمال بھی ضروری ہے۔ آڈٹ کے دوران، آپ کو اس بات کی مرئیت ہونی چاہیے کہ کس نے کیا، کہاں، اور کب تبدیل کیا، اور کس نے اس کا جائزہ لیا، منظوری دی، اور پورے سافٹ ویئر ڈویلپمنٹ لائف سائیکل کے ساتھ اس کو ضم کیا۔
- ان تمام ٹولز اور رسائی پوائنٹس کی انوینٹری جو آپ کی ڈیولپمنٹ ٹیم استعمال کرتی ہے۔بشمول انفراسٹرکچر بطور کوڈ (IaC) ٹیمپلیٹس، کوڈ ریپوزٹریز، pipelines، اور تعمیر کے اوزار. یہ مرحلہ اہم ہے کیونکہ آپ صرف وہی محفوظ کر سکتے ہیں جس کے بارے میں آپ جانتے ہیں۔ ایک بار جب آپ کے پاس ٹولز اور رسائی پوائنٹس کی ایک جامع فہرست ہو جائے، تو یہ آپ کے رسائی کنٹرولز کا دوبارہ جائزہ لینے کا وقت ہے۔ پہلے، سافٹ ویئر سپلائی چین کے ساتھ اپنے تمام داخلی مقامات کی جانچ کریں۔. مثال کے طور پر، غور کریں کہ تبدیلی تک کس کی رسائی ہے۔ IaC ٹیمپلیٹس، کیونکہ یہ ٹیمپلیٹس ممکنہ حملے کی سطح ہو سکتی ہیں۔ نیز، حفاظتی خامیوں کے لیے کنٹینرز کو اسکین کریں اور غیر معمولی رویے کے لیے API اور آرکیسٹریٹرز کی نگرانی کریں۔ Standardجیسا کہ نیشنل انسٹی ٹیوٹ آف Standards (NIST) اور محفوظ سافٹ ویئر ڈویلپمنٹ فریم ورک (ایس ایس ڈی ایف) اپنے سافٹ ویئر سپلائی چین کو محفوظ بنانے کے بارے میں خیالات حاصل کرنے میں مدد کریں۔
- ہر سپرنٹ میں سیکیورٹی ٹیسٹنگ کا انعقاد کریں۔: چست ٹیمیں ہر اسپرنٹ کے دوران باقاعدگی سے سیکیورٹی ٹیسٹ چلا کر اپنے سپرنٹ سائیکل میں سیکیورٹی ٹیسٹنگ کو شامل کرسکتی ہیں۔ اس میں دستی جانچ، خودکار جانچ، اور کوڈ کے جائزے شامل ہو سکتے ہیں۔ ہر اسپرنٹ میں سیکیورٹی ٹیسٹنگ کروا کر، ٹیمیں ترقیاتی عمل کے آغاز میں ممکنہ حفاظتی مسائل کی شناخت اور ان کا ازالہ کرسکتی ہیں، جس سے سافٹ ویئر میں کمزوریوں کو متعارف کرانے کے خطرے کو کم کیا جاسکتا ہے۔
- خودکار سیکیورٹی اسکینز استعمال کریں۔: چست ٹیمیں کوڈبیس میں سیکیورٹی کے مسائل کی نشاندہی کرنے کے لیے خودکار سیکیورٹی اسکیننگ ٹولز استعمال کرسکتی ہیں۔ یہ ٹولز راز یا مالویئر کو تلاش کرنے والے کوڈ ریپوزٹریز کو اسکین کر سکتے ہیں، اوپن سورس لائبریریوں میں کمزوریوں کا پتہ لگا سکتے ہیں، اور انفراسٹرکچر میں غلط کنفیگریشنز کی نشاندہی کر سکتے ہیں۔ خودکار سیکیورٹی اسکینز کا استعمال کرتے ہوئے، ٹیمیں فوری طور پر حفاظتی مسائل کی شناخت اور تدارک کے لیے ترجیح دے سکتی ہیں۔
- مسلسل انضمام اور تعیناتی کو نافذ کریں (CI/CD): چست ٹیمیں فائدہ اٹھا سکتی ہیں۔ CI/CD pipelines تعمیر، جانچ، اور تعیناتی کے عمل کو خودکار کرنے کے لیے۔ میں سیکیورٹی ٹیسٹنگ اور خودکار سیکیورٹی اسکینوں کو ضم کرکے CI/CD pipeline، ٹیمیں اس بات کو یقینی بنا سکتی ہیں کہ کوڈ کی ہر تبدیلی کو حفاظتی خطرات کے لیے جانچا گیا ہے۔ اس میں جامد کوڈ کا تجزیہ، متحرک سیکیورٹی ٹیسٹنگ، اور کمزوری اسکیننگ شامل ہوسکتی ہے۔
- مواد کے سافٹ ویئر بل کو خودکار بنانا (SBOM) کوڈ بیس میں تمام اجزاء کی فہرست بنانا شامل ہے۔ اس عمل کو خودکار کرنے سے یہ یقینی بنانے کے لیے کہ نقصان دہ سافٹ ویئر آپ کے کوڈ میں نہیں ہے، وقت خرچ کرنے والے دستی جانچ کی ضرورت کو ختم کر دیتا ہے۔ خودکار SBOM جنریشن پیکج مینیجرز اور کنٹینرز سمیت عارضی ڈھانچے میں انحصار میں مرئیت فراہم کرتی ہے۔ ڈیولپرز دکھا کر تدارک کی سرگرمیوں کو تیزی سے حل کر سکتے ہیں۔ SBOM یوزر انٹرفیس میں کمزوریاں بنانا SBOMزیادہ صارف دوست اور قابل رسائی، ان کا جائزہ لینے اور ان پر کارروائی کرنے کے لیے درکار ٹولز کی تعداد کو کم کرنا بہت ضروری ہے۔ شامل کرنا SBOM ایک محفوظ اینڈ ٹو اینڈ پلیٹ فارم میں داخلی کوڈ، بیرونی ذرائع اور تعمیراتی عمل کو نشانہ بنانے سمیت مختلف حملوں سے تحفظ فراہم کر سکتا ہے۔
نتیجہ
تنظیمیں حفاظتی اقدامات کے ساتھ چست طریقوں کو ملا کر ایک چست اور محفوظ سافٹ ویئر سپلائی چین بنا سکتی ہیں اور بنا سکتی ہیں۔ یہ نقطہ نظر کمپنیوں کو اس قابل بناتا ہے کہ وہ بدلتے ہوئے تقاضوں کا فوری جواب دے سکیں جبکہ اس بات کو یقینی بناتے ہوئے کہ حفاظتی خطرات کی نشاندہی اور جلد از جلد حل کیا جائے۔
ایک چست اور محفوظ سپلائی چین میں، سیکورٹی کوئی سوچنے کی بات نہیں ہے۔ پھر بھی، یہ سافٹ ویئر ڈویلپمنٹ کے عمل کے ہر مرحلے میں مربوط ہے، سائبر خطرات اور ڈیٹا کی خلاف ورزیوں سے حفاظت کرتے ہوئے وقت پر اعلیٰ معیار کا سافٹ ویئر فراہم کرتا ہے۔
سافٹ ویئر ڈویلپمنٹ کے عمل کے ہر مرحلے میں سیکورٹی کو ضم کرنا اور ٹیم کے اراکین کے درمیان تعاون اور مواصلات کو فروغ دینا بہت ضروری ہے۔ ایسا کرنے سے، کمپنیاں منحنی خطوط سے آگے رہ سکتی ہیں اور کم سے کم کوشش اور بہت لاگت کے ساتھ فائدہ مند پوزیشن میں رہ سکتی ہیں۔
Xygeni پلیٹ فارم کے بارے میں مزید جانیں، Xygeni کی پلیٹ فارم ڈیٹا شیٹ ڈاؤن لوڈ کریں۔
