באַשיצן קעגן אָפֿן-קוואַל בייזוויליקע פּאַקאַדזשאַז: וואָס אַרבעט (אַרבעט נישט)

דאָס איז די דריטע עפּיזאָד אין אַ סעריע פון ​​אַרטיקלען וועגן די מערסט פאַרשפּרייטע סאָרט פון ווייכווארג צושטעל קייט אנפאלן: יענע וואָס מיסברויכן אַ עפנטלעך רעגיסטרי פון עפענען-מקור ווייכווארג קאמפאנענטן. נאכדעם וואס איך האב אנאליזירט אין דעם פריערדיגן עפיזאד "אַנאַטאָמיע פון ​​בייזוויליקע פּאַקאַדזשאַז: וואָס זענען די טרענדס?"ווי אזוי די שלעכטע אקטיארן אריינלייגן בייזוויליקע אויפפירונג אין נייע אדער עקזיסטירנדע פארעפנטלעכטע קאמפאנענטן, זענען מיר גרייט אנצוטון אונזערע פייערלעשער רעקלעך און אויספארשן ווי אזוי מיר קענען ערפאלגרייך בלאקירן בייזוויליקע ווייכווארג וואס ווערט איבערגעגעבן אויף דעם וועג, אדער אלטערנאטיוו, זיך אפגעבן מיט א מעגליך ערנסטן סייבער אינצידענט ווייל מיר האבן גענומען דעם אומרעכטן צוגאנג."

רובֿ זיכערהייט-באַוואוסטזיניקע פּראָפעסיאָנאַלן האָבן געדאַנקען וועגן ווי צו האַנדלען מיט דעם סאַקאָנע. מיר האָבן געהערט זיכערהייט מאַנאַדזשערז זאָגן אָן קיין צווייפל אַז SCA מכשירים זאָגן שוין ווען אַ פּאַקעט ווערסיע איז מאַלווער. אדער אַז זיי זענען אָפּהענגיק אויף באַקאַנטע, העכסט רעצענזירטע ווייכווארג קאָמפּאָנענטן, וואו יעדע מאַלווער וואָלט באַלד דעטעקטירט און אַוועקגענומען ווערן. זיי נוצן אָפֿענע מינערווערטיקע/פּאַטש ווערסיעס צו אויטאָמאַטיש באַקומען וואַלנעראַביליטי פיקסיז, און דאָס איז דער ריכטיקער, רעקאָמענדירטער וועג צו פֿאַרמינערן דעם ריזיקאָ אויף אָפֿענע מקור אָפּהענגיקייטן, נאָכפֿאָלגנדיק די "פּאַטשן פרי, פּאַטשן אָפט”פּרינציפּ. 

אין דעם עפּיזאָד וועלן מיר איבערקוקן פארוואס די געדאנקען זענען פאַלש, און ווי אזעלכע מיסקאַנסעפּשאַנז ביישטייערן צו דער פּאָפּולאַריטעט פון דעם אַטאַק מעכאַניזם, און צו אַן איבערוועלטיקנדיקן ריזיקע וואָס אָרגאַניזאַציעס דערפאַרן. מיר וועלן ענדיקן מיט וואָס אַרבעט יאָ, און וואָס איז די מי און רעסורסן וואָס זענען פאַרמישט.

פּראָסט מיסקאַנסעפּשאַנז

בעת אונדזער רייזע מיט ווייכווארג זיכערהייט, האבן מיר געזען די אטאקע טעכניקן זיך אנטוויקלען און א ברייטע קייט פון געדאנקען פון זיכערהייט-באוואוסטזיניגע מענטשן. ארגאניזאציעס פארשטייען אפט נישט וואס ארבעט קעגן דעם סכנה, ממילא וועלן מיר ערשט אויספארשן וואס ארבעט נישט, צוזאמענגענומען אין דער פאלגנדער, נישט פולשטענדיגער, ליסטע פון ​​מיספארשטענדענישן.

אומרעכטע השגה #1: SCA מכשירים מעלדן שוין שלעכטע קאָמפּאָנענטן

טאקע! אבער נאך דעם פאקט... ווען מסתּמא איז עס שוין צו שפּעט אויב דער עלעמענט איז גענוצט געוואָרן אין אַ ווייכווארג בויען, און די שלעכטע אַקטיאָרן האָבן שוין באַקומען אַ פֿוס אין אַ דעוועלאָפּער אָדער CI/CD באַלעבאָס. סודות זענען אפשר אַרויסגעכאפט געוואָרן, נאָך מאַלוואַרע איז דאַונלאָודיד און אינסטאַלירט געוואָרן, און אפשר האָט דער שונא זיך באַוועגט צו דער זייט און שוין באַקומען צוטריט אַנדערשוואו. 

ווייכווארג קאמפאזיציע אנאליז (SCA) מכשירים זענען דיזיינט געוואָרן צו אידענטיפיצירן פּאָטענציעלע באַקאַנטע שוואַכקייטן. מאָדערנע מכשירים טוען אַ גרויסע אַרבעט דורך פֿאַרגרעסערן דעם סיגנאַל-ראַש פאַרהעלטעניש, באַשטימען צי די שוואַכקייט איז טאַקע דערגרייכלעך אָדער אויסניצלעך. אָבער זיי זענען נישט נוצלעך קעגן נייַע מאַלווער. טראַכט פון אַ בייזוויליקן קאָמפּאָנענט ווי אַ נול-טאָג שוואַכקייט: נאָר ווען זיין בייזוויליק נאַטור ווערט דעטעקטירט, ווערט דער קאָמפּאָנענט געמאָלדן צום האָלדינג רעגיסטרי, וואָס נאָך אַ איבערבליק דורך אַ זיכערהייט מאַנשאַפֿט ווערט באַשטעטיקט ווי בייזוויליק און אַוועקגענומען פון רעגיסטרי. [קסנומקס]. 

אין יענעם מאָמענט, די וועלט (אַרייַנגערעכנט SCAס) ווייסט אז אינסטאלירן אדער ניצן דעם קאמפאנענט (אדער עפעס ווערסיע(ס) פון אן עקזיסטירנדיקן קאמפאנענט) איז נישט קיין גוטע זאך. אבער דאס איז ווען דער קאמפאנענט איז נישט פאראן פון רעגיסטריוויסן אז איך האב שוואכקייטן אין דריט-פארטיי קאמפאנענטן, אדער אפילו קאמפאנענטן וואס זענען קאטעגאריזירט געווארן אלס שלעכט דורך די רעגיסטרי איז גוט, אבער ליידער SCA אדער געוויינטלעכע אוידיט מכשירים העלפן נישט אין דעם קאנטעקסט. סיידן די SCA/audit טול קען טאקע וויסן פון פאראויס אז א קאמפאנענט איז שלעכט איידער עס ווערט גענוצט אין אייער ארגאניזאציע.

געדענקט, יעדע לייזונג קעגן בייזע אָפֿן-קוואַל קאָמפּאָנענטן מוז זיי דעטעקטירן אויף-דעם-פליען, צווישן ווען דער קאָמפּאָנענט ווערט פאַרעפֿנטלעכט אין רעגיסטרי און ווען דער קאָמפּאָנענט (ווערסיע) ווערט ערשט גענוצט אין אייער אָרגאַניזאַציע. און דאָס נעמט אַרײַן טראַנזיטיווע קאָמפּאָנענטן.  

אומרעכטע השגה #2: קאנטראלירן אינסטאלאציע סקריפטן ביים בויען פארמיידט שלעכטע אויפפירונג פון אפען-קוואל קאמפאנענטן

פארשידענע פּעקל מאַנאַדזשערז פאָרשלאָגן די מעגלעכקייט צו לויפן סקריפּטן (אַרייַנגערעכנט אין די קאָמפּאָנענט טאַרבאַלל [קסנומקס]), פֿאַר לעגיטימע סיבות, ווי צוזאַמענשטעלן די נויטיקע זאַכן אויף פֿאַרשידענע פּלאַטפאָרמעס, שאַפֿן קאָד, אָדער דורכפֿירן טעסטן, און מיר זאָלן אַלע וויסן אַז זיי קענען ווערן מיסברויכט דורך שלעכטע אַקטיאָרן אויב בייזוויליקע סקריפּטן זענען אַרייַנגערעכנט אין די טאַרבאָל, אָדער אויב דער אַטאַקירער קען מאַכן אַ בייזוויליקן סקריפּט לויפֿן אַנשטאָט דעם גוטן.

וויסנדיק דאָס, קענען מיר קאָנפיגורירן דעם פּאַקעט פאַרוואַלטער צו איגנאָרירן סקריפּטן. למשל, מיט NPM די –איגנאָרירן-סקריפּס פאָן (אָדער אַ קאָנפיגוראַציע אייגנשאַפט אין דעם .npmrc טעקע) לאָזט אויס די סקריפּטן בעת ​​דער אינסטאַלאַציע. דאָס קען שאַפֿן עטלעכע פּראָבלעמען ווײַל לויפֿן סקריפּטן איז געוויינטלעך אין פֿיל עקאָסיסטעמען: עטלעכע פּאַקעט מאַנאַדזשערס דערלויבן ניט אַפֿילו דיאַקטיווירן סקריפּט אויספֿירונג (רמז: פּראָמפּט "וועלכע פּעקל פאַרוואַלטער ערלויבן נישט דיאַקטיווירן די אויספֿירונג פֿון אינסטאַל סקריפּטן?” אין אייער באַליבטער קינסטלעכער אינטעליגענץ). אבער דאָס באַשיצט נישט בכלל (מיר דאַרפן דורכפירן אַז די איבערשפּרינגען דיסייבאַל קאָנפיגוראַציע איז אומעטום). 

און ווען די בייזוויליקע אויפפירונג געפינט זיך נישט אין די אינסטאל סקריפטן נאר אין די ווייכווארג וואס זאל אויספירן ביי ראנטיים, באשיצט אונז די אפציע אליין נישט. 

אומרעכטע השגה #3: ווערסיע פּינינג פאַרהיט שעדלעכע קאָמפּאָנענטן פון אינסטאַלירט ווערן

עס איז דא א קאמפראמיס צווישן פאטשינג פרי און אפט מיט אפענע ווערסיעס (לאָזנדיק דעם פּאַקעט פאַרוואַלטער אויטאָמאַטיש אינסטאַלירן נייע דערהייַנטיקונגען ווען זיי זענען פאַראַן פֿאַר זיכערהייט פיקסיז) און ווערסיע פּינינג (האבן אלע דירעקטע און טראַנזיטיווע אָפּהענגיקייטן פֿאַר אַ ווייכווארג אין אַ פֿיקסירטער ווערסיע). די זיכערהייט פּרינציפּן זענען האַרטנעקיק און מאל קעגנזייַטיג, ווי עס פּאַסירט מיט "פּאַטשן פֿרי, פּאַטשן אָפֿט" און "אַפּגרעידינג זאָל נישט גענומען ווערן לײַכטזיניק"עטלעכע פּעקל פאַרוואַלטער מאַכן אויטאָמאַטישע דערהייַנטיקונגען מיט סערווער ריינדזשאַז אויף דעם רעקאָמענדירטן וועג. גוט אויב איר ווילט אויך באַקומען די בייזע דערהייַנטיקונגען! יאָ, קאָמפּאָנענטן מוזן ווערן דערהייַנטיקט צו באַקומען זיכערהייט פיקסיז וואָס פאַרמאַכן וואַלנעראַביליטיז ווי באַלד ווי מעגלעך, אָבער ... קיינמאָל לאָזן דעם פּעקל פאַרוואַלטער דאָס טאָן אויטאָמאַטיש.

אומרעכטע מיינונג #4: ניצן באַגלייבטע קאָמפּאָנענטן איז זיכער. יעדע בייזע ווערסיע וואָלט באַלד געפֿונען, אַנטפּלעקט און אַוועקגענומען ווערן.

פארוואס איז א קאמפאנענט פארטרויט? אפשר ווייל עס איז זייער פאפולער, מיט אסאך אויגן וואס זוכן שוואכקייטן, א גרויסע צאל ביישטייערער פאר אויפהאלטונג, מיט פארשידענע הויפט אויפהאלטערס וואס איבערקוקן אלע זאכן מיט גרויס פלייס. pull requestsדי ווירקלעכקייט איז גאַנץ אַנדערש. עטלעכע וויכטיקע קאָמפּאָנענטן ווערן אויפגעהאלטן דורך אַן איינציקן, נישט באַצאָלטן דעוועלאָפּער. ברייט גענוצטע פריימווערקס האָבן... אַ פּאָר רעגולערע מיטאַרבעטער, מיט אַ שנעל-פאַרקלענערנדיקער צאָל פון commitס פּער אויפהאלטער (פאָפּולערע פּראָיעקטן האָבן אַ לאַנגע עק פון ביישטייערער וואָס פירן אויס עטלעכע דרייוו-ביי commit און קיינמאָל נישט צוריקקומען). און פּאָפּולערע פּראָיעקטן מיט אַן איינציקן אויפהאלטערס זענען אין גרויסע צאָלן.

שטעלט זיך פאר אז איר זאגט "אָה, מיר ניצן Spring Boot / Angular / React / PyTorch / אפיציעלע באַזע Docker בילדער, אַזוי דער ריזיקאָ וועגן וואָס איר רעדט איז גאַנץ נידעריק." אפשר איז דאָס אמת, מיר זיכערהייט פאַרקויפער שרעק-מאַכערייַ אַלע מאָל, און אַריינמישן זיך אין דעוועלאָפּמענט טימז צו פֿאַרמינדערן אַ דעבאַטירלעכן ריזיקע איז נאַרישקייט. איר זאָלט אפשר זיין פֿאַרפֿירט צו שפּרינגען צום ריזיקע אַקסעפּטאַנס פּאַראַגראַף (אין דער קומענדיקער סעקציע) און אַלץ געטאָן. צום באַדויערן, די מערסט פּאָפּולערע קאָמפּאָנענטן זענען צילן פֿאַר שלעכטע אַקטיאָרן, און למשל, די פּאָפּולערע די פּייטאָרטש ביבליאָטעק איז אַטאַקירט געוואָרן אין דער פאַרגאַנגענהייַט.

"גלייך געפֿונען, אַנטפּלעקט און אַוועקגענומען".  עס נעמט טעג פאר א נייעם בייזוויליקן קאמפאנענט צו ווערן אראפגענומען פון דעם עפנטלעכן רעגיסטרי. רעגיסטריז זענען פארזיכטיג וועגן אראפנעמען א קאמפאנענט ווערסיע, פארן גוטן. אונזער ערפארונג איז אז ווען עס ווערט געמאלדן פון אונזער זייט, איז די דורכשניטליכע צייט פארן רעגיסטרי צו אראפנעמען די באטראפענע ווערסיע 39 שעה, מער ווי א טאג און א האלב. עס זענען דא בייזוויליקע קאמפאנענטן וואס ווערן אראפגענומען א וואך נאך אונזער ערשטע מעלדונג אין רעגיסטרי. און אין געוויסע פעלער, ווערט דער קאמפאנענט אראפגענומען נאר נאכדעם וואס א קרבן אדער אן אינצידענט רעאקציע פירמע מעלדט אן אינצידענט וואס האט צו טאן מיט דעם קאמפאנענט. 

וואָס אַרבעט נישט קעגן בייזע קאָמפּאָנענטן

יעדער נישט-ספעציפישער צוגאנג וועט דורכפאלן שרעקליך. דאס איז זיכער, איר גיט נישט קיין עפעקטיווע קעגנמאסנאמען פארן ריזיקע פארבונדן מיט דעם סכנה. 

בעקאַבאָלעדיק SCA מכשירים דערציילן אייך וועגן באַקאַנטע מאַלווער אָבער האָבן אַ גרויסע עקספּאָוזשער פֿענצטער. סיידן זיי פירן פּראָאַקטיוו דורכ מאַלווער דעטעקשאַן מיט געצוואונגען בלאָקירן פון בייזע קאָמפּאָנענטן, אַרבעטן זיי נישט קעגן דעם סאַקאָנע. 

דיאַקטיווירן אינסטאַלאַציע סקריפּטן קען העלפֿן אָבער דאַרף דורכגעפֿירט ווערן אומעטום וואו אַ קאָמפּאָנענט דאַרף אינסטאַלירט ווערן. דאָס זעלבע מיט ווערסיע פּינינג, ווײַל ווערסיעס קענען נישט פּינט ווערן פֿון אַ זיכערן אָנהייב צושטאַנד אויף אייביק.

אננעמען אז פאפולערע קאמפאנענטן באקומען גענוג אויפמערקזאמקייט אז זיי קענען נישט ווערן אינדזשעקטירט מיט אומגעוואונטשענע אויפפירונג אין א סופּליי טשיין אטאקע אן א כמעט גלייכע דעטעקציע צו פארמיידן קיין שאדן איז נאאיוו און ריזיקאליש. איר ווילט דאך נישט לעבן אויפן ברעג, צי נישט?

אויב איר שטעלט זיך אפ ביי דעם פונקט, דעמאָלט ריזיקע אקצעפטאציע איז דאָס איינציקע וואָס איר קענט טאָן: דאָס איז אַ דעcisאײַנפֿאַל וואָס דאַרף דאָקומענטירט ווערן אין אײַער סכּנה מאָדעל/ריזיקע אַסעסמענט, אַרײַנגערעכנט די באַגרינדונג פֿאַר אָננעמען דעם ריזיקע און זײַנע מעגלעכע אימפּליקאַציעס. פֿאַרגרעסערן וויסיקייט דורך קאָמוניקירן עס צו די פאַרוואַלטונג און אַנדערע באַטרעפֿנדיקע פּאַרטייען. עטלעכע קאַנטינדזשאַנסי קען זיין געפלאנט ווען א בייזוויליקע קאמפאנענט ווערט אינסטאלירט אדער אריינגענומען אין אייער ווייכווארג, אבער דאס איז שווער ווייל אטאקירער האבן אסאך וועגן צו גיין. די דעטאלן פון א סופּליי טשיין אטאקע באזירט אויף די נוצן פון א בייזוויליקע קאמפאנענט וועלן דראסטיש ענדערן די עפנטלעכע אפענטלעכקייט פון דעם אינצידענט, וואס איז מסתמא פארלאנגט אונטער אייער ארגאניזאציע'ס רעגולאציעס פריימווערק. איר קענט אויך אדרעסירן קאָמפּענסירנדיקע קאָנטראָלן or טראַנספער ריזיקע למשל מיט פארזיכערונג.

אבער, עס זענען דא קאנטראלן וואס אדרעסירן די סכנה און מען זאל זיי באטראכטן אויב איר זענט נישט צופרידן מיט ריזיקע אקצעפטאציע. ביטע ליינט ווייטער.

וואָס אַרבעט קעגן אַטאַקעס מיט בייזע קאָמפּאָנענטן

סאָליד ווערסיע האַנדלינג

ווערסיע פּינינג מיט קאָנטראָלירטע און אינפאָרמירטע ווערסיע באַמפּס איז דער וועג צו גיין, צו באַלאַנסירן די נויטווענדיקייט פון באַזייַטיקן וואַלנעראַביליטיז אָן באַקומען מאַלווער. אָבער געדענקט מיסקאַנסעפּשאַן #3: ווערסיע פּינינג אַליין איז נישט גענוג צו בלאָקירן בייזוויליקע קאָד וואָס קומט פון נייַע ווערסיעס, ווייַל איר וועט דאַרפֿן אין דער צוקונפֿט צו דערהייַנטיקן ווערסיעס אין יעדער דירעקט אָדער אומדירעקט אָפּהענגיקייט. אין דעם מאָמענט דאַרפט איר באַווייַזן שטאַרק גענוג אַז אַלע מאָדיפיצירטע ווערסיעס אַנטהאַלטן נישט מאַלווער.

פרי ווארענונג

איין צוגאַנג צו דעם פּראָבלעם פון בייזע קאָמפּאָנענטן איז אַ פרי וואָרענונג סיסטעם (דאָ גערופן מאַלוואַרע פרי וואָרענונג אדער MEW), וואו נייע ווערסיעס ארויסגעגעבן (פאר נייע אדער עקזיסטירנדע קאמפאנענטן) ווערן אנאליזירט דורך א דעטעקציע מאטאר, וואס ווען גענוג באווייזן ווערן געפונען קען קלאסיפיצירן די נייע ווערסיע אלס מעגליך בייזוויליג. 

אויטאמאציע איז דא וויכטיג, ווייל עס איז אוממעגלעך צו מאנועל איבערקוקן אלע נייע קאמפאנענטן מיטן היינטיגן ארויסגעבונג טעמפא. ממילא דארף דער דעטעקציע מאטאר קאמבינירן א פארשיידנקייט פון טעכניקן, אפשר אריינגערעכנט סטאטישע, דינאמישע, און מעגלעכקייט אנאליז, באניצער רעפוטאציע, און באווייזן וואס קומען פון דיסקרעפנסיעס צווישן די קאמפאנענט מעטאדאטא און די טארבאל אינהאלט, אדער צווישן טארבאל און די קוואל רעפאזיטארי פון וואו דער קאמפאנענט שטאמט לכאורה.

עס איז אַ טונקעלע זאָנע צווישן דער פּובליקאַציע צייט און ווען דער מאָטאָר אַנאַליזירט די אינהאַלט פון די קאָמפּאָנענטן, אָבער עס זאָל נישט זיין מער ווי אַ פּאָר מינוט. די סכעמע קען ווערן מאָדיפיצירט, למשל דורך וואַרטן ביז נייע קאָמפּאָנענטן ווערן אַנאַליזירט איידער מען ערלויבט זיי צו ווערן אינסטאַלירט און גענוצט אין דער ווייכווארג בילד. pipelineס, אדער אנאליזירן זיי אויף פארלאנג ווען נויטיג. א קאמפאנענט ביי א געגעבענער ווערסיע איז אומענדערלעך [קסנומקס], אַזוי דאַרף מען עס אַנאַליזירן בלויז איין מאָל.