Tường lửa phụ thuộc là gì?

Hãy hỏi năm nhà phát triển về tường lửa phụ thuộc là gì và bạn có thể sẽ nhận được năm câu trả lời khác nhau, thường là những câu mơ hồ về việc "chặn các gói phần mềm độc hại". Dưới đây là phần mở đầu.cisPhiên bản e: đó là một biện pháp kiểm soát bảo mật nằm giữa nhà phát triển (hoặc hệ thống xây dựng) và kho lưu trữ gói công khai. kiểm tra mọi sự phụ thuộc Trước khi cho phép tải xuống hoặc cài đặt, và tự động chặn nếu nó độc hại, dễ bị tấn công hoặc vi phạm chính sách. Đó là ý nghĩa thực tiễn của tường lửa phụ thuộc: không phải là một trình quét báo cáo sự cố sau khi sự việc đã xảy ra, mà là một cánh cổng ngăn chặn gói phần mềm độc hại tiếp cận ổ đĩa.

Giải mã thuật ngữ: Ý nghĩa của tường lửa phụ thuộc (Dependency Firewall) #

Cái tên này mang nghĩa đen hơn so với cách hiểu ban đầu, và việc phân tích nghĩa của nó sẽ làm sáng tỏ hầu hết sự nhầm lẫn xung quanh khái niệm tường lửa phụ thuộc:

Sự phụ thuộc: bất kỳ gói, thư viện hoặc mô-đun bên ngoài nào mà mã của bạn tải về từ npm, PyPI, Maven, NuGet, rubygemvà các cơ quan đăng ký tương tự.

tường lửa: Khái niệm này được mượn từ bảo mật mạng, nơi tường lửa kiểm tra lưu lượng truy cập và chặn những gì không được phép đi qua. Nó áp dụng logic kiểm tra rồi chặn tương tự cho việc cài đặt gói phần mềm thay vì các gói mạng.

Tóm lại, ý nghĩa của tường lửa phụ thuộc rất đơn giản: nó là một điểm kiểm tra cho các phụ thuộc mã, tương tự như cách tường lửa mạng là điểm kiểm tra cho lưu lượng mạng.

Cách thức hoạt động thực tế của tường lửa phụ thuộc #

Hầu hết các triển khai đáp ứng yêu cầu về tường lửa phụ thuộc đều tuân theo một trình tự tương tự:

• Đánh chặn: công cụ hooks vào bước cài đặt (npm install, pip install và các lệnh tương đương) hoặc lớp proxy của registry, để nó nhận thấy yêu cầu trước khi gói được tải xuống.
• Đánh giá: Gói phần mềm và phiên bản được yêu cầu sẽ được kiểm tra dựa trên các chỉ báo độc hại đã biết, cơ sở dữ liệu lỗ hổng bảo mật, chính sách cấp phép và các tín hiệu hành vi (các tập lệnh cài đặt đáng ngờ, hoạt động bất thường của người bảo trì, các gói phần mềm mới được phát hành mà không có lịch sử).
• Decision: Quá trình cài đặt có thể diễn ra bình thường, bị gắn cờ để xem xét hoặc bị chặn hoàn toàn, tùy thuộc vào mức độ nghiêm trọng và chính sách của tổ chức.
• Ghi nhật ký: mỗi decisIon được ghi lại, cung cấp cho các nhóm an ninh một nhật ký kiểm toán về những gì đã được cố gắng thực hiện và những gì đã bị ngăn chặn.

Tường lửa so với máy quét: Sự khác biệt thực sự nằm ở đâu? #

Một câu hỏi thường gặp sau khi tìm hiểu về "tiêm mã độc tức thời" là nó khác với việc bẻ khóa (jailbreaking) như thế nào. Hai khái niệm này có nhiều điểm trùng lặp nhưng không hoàn toàn giống nhau. Bẻ khóa (jailbreaking) đặc biệt tập trung vào việc vượt qua các hạn chế của một mô hình. Một điểm gây nhầm lẫn thường gặp khi mọi người tìm hiểu về "tường lửa phụ thuộc" là nó khác với... standard Phân tích thành phần phần mềm (SCAmáy quét. Điểm khác biệt nằm ở thời điểm, chứ không phải khả năng. SCA Trình quét thường chạy sau khi các phần phụ thuộc đã được cài đặt hoặc commitTed, cho bạn biết những gì đã có trong mã nguồn của bạn. Tường lửa phụ thuộc chạy ngay tại thời điểm cài đặt, trước khi gói phần mềm được ghi vào ổ đĩa. Một cái giống như máy dò khói sau khi đám cháy bắt đầu; cái kia giống như cánh cửa không bao giờ cho lửa vào. Nhiều chương trình bảo mật tiên tiến sử dụng cả hai: tường lửa phụ thuộc để phòng ngừa, và SCA để theo dõi liên tục những gì đã có sẵn.

Các nhóm thực sự triển khai điều này ở đâu? #

Hiểu ý nghĩa của tường lửa phụ thuộc một cách trừu tượng là một chuyện; còn việc thấy nó được tích hợp vào thực tế như thế nào lại là chuyện khác; còn việc thấy nó được tích hợp vào thực tế ra sao lại là chuyện khác. pipeline là một ví dụ khác. Các điểm triển khai phổ biến bao gồm:

• Máy trạm dành cho nhà phát triển: Chặn gói phần mềm độc hại ngay khi nhà phát triển chạy lệnh cài đặt cục bộ, trước khi nó đến được kho lưu trữ chung.
• CI/CD pipelinesÁp dụng chính sách giống nhau một cách tự động cho mọi bản dựng, để gói bị chặn không thể lọt qua một quy trình tự động mà con người không bao giờ giám sát.
• Máy chủ proxy đăng ký riêng tư: Ngồi trước màn hình kiểm tra nội bộ của công ty, vì vậy mọi yêu cầu, dù là do con người hay tự động, đều phải đi qua cùng một điểm kiểm tra.
• Các tác nhân lập trình AI: Ngày càng trở nên quan trọng hơn khi các tác nhân tự động cài đặt các gói phụ thuộc một cách độc lập; tường lửa phụ thuộc là một trong số ít các biện pháp kiểm soát vẫn còn hiệu quả khi không có nhà phát triển nào có mặt để phát hiện ra tên gói đáng ngờ.

Vì sao tính năng kiểm soát này lại quan trọng hơn trước đây #

Vài năm trước, điều này chủ yếu chỉ là lý thuyết: các gói phần mềm độc hại tồn tại, nhưng chúng hiếm đến mức việc kiểm tra thủ công đã phát hiện ra hầu hết. Giờ đây điều đó không còn đúng nữa. Các kho lưu trữ công cộng hiện đang ghi nhận số lượng lớn các gói phần mềm độc hại, chiến dịch xuất bản tự động, Một số phần mềm độc hại có thể phát tán hàng tá phiên bản gói phần mềm độc hại chỉ trong vài phút, được thiết kế đặc biệt để vượt qua quá trình kiểm duyệt thủ công và lọt qua sự tin tưởng của các nhà phát triển dựa trên những cái tên quen thuộc. Trong môi trường đó, việc đặt câu hỏi "tường lửa phụ thuộc là gì?" không còn là một bài tập định nghĩa nữa.cisvà điều này trở thành một câu hỏi thực tế về việc liệu một tổ chức còn kiểm soát được gì nữa hay không sau khi các tập lệnh cài đặt và vòng đời hoạt động. hooks Đây là những vectơ tấn công đã được biết đến. Tường lửa phụ thuộc là một trong số ít cơ chế có thể ngăn chặn gói phần mềm độc hại zero-day trước khi có chữ ký nhận dạng, điều này rất quan trọng vì hầu hết các biện pháp phòng thủ khác chỉ hoạt động sau khi mối đe dọa đã được xác định và lập danh mục.

Xygeni's Nhóm nghiên cứu của chúng tôi theo dõi các chiến dịch này hàng tuần thông qua... Cảnh báo sớm phần mềm độc hại Hệ thống này có một mô hình nhất quán: kẻ tấn công đang tối ưu hóa tốc độ và số lượng, chứ không phải khả năng ẩn nấp, và đó chính xác là mục tiêu mà tường lửa phụ thuộc hướng đến khi cài đặt chứ không phải sau đó.

FAQ #