Àwọn ẹ̀rọ ìwákiri ni a ṣe láti fi àkóónú hàn. Síbẹ̀síbẹ̀, àwọn olùkọlù máa ń lò wọ́n láti fi àkóónú àṣìṣe rẹ hàn. Ìbéèrè náà aklagbara:login irú fáìlì:log Ó lè dàbí ohun tí kò léwu. Ní òótọ́, ó jẹ́ ọ̀kan lára àwọn ọ̀nà tí ó rọrùn jùlọ láti ṣàwárí àwọn fáìlì àkọsílẹ̀ tí a ti fara hàn tí ó ní àwọn ìṣàn ìfàṣẹsí, àwọn ìwé ẹ̀rí, àwọn àmì, àti àwọn ìwífún nípa ètò-àgbékalẹ̀ inú.
Tí Google bá lè rí àwọn àkọsílẹ̀ wọ̀nyẹn, àwọn olùkọlù náà lè rí wọn pẹ̀lú. Nígbà tí a bá ti ṣe àkójọpọ̀ wọn, ìfarahàn yóò di ohun tí a kò lè yẹ̀ sílẹ̀. Jù bẹ́ẹ̀ lọ, nígbà tí àwọn ìwé ẹ̀rí bá farahàn nínú fáìlì tí gbogbo ènìyàn lè rí, ìrúfin náà ti ń lọ lọ́wọ́.
1. Kí nìdí tí allintext fi wà:login iru faili:log Ewu Ju ti o dabi lọ
Google dork jẹ́ ìbéèrè ìwárí tí ó ń lo àwọn olùṣiṣẹ́ tó ti ní ìmọ̀ láti wá àwọn àkóónú tó ṣe pàtàkì tàbí tí kò tọ́ tí àwọn ẹ̀rọ ìwárí tọ́ka sí. Kò lo Google. Dípò bẹ́ẹ̀, ó ń lo ìfarahàn rẹ.
Ibeere yii so awọn oniṣẹ meji pọ:
- aklagbara: máa dá àwọn ojú ìwé padà níbi tí gbogbo ọ̀rọ̀ ti farahàn nínú ọ̀rọ̀ ara
- irú fáìlì:log dín àwọn àbájáde kù sí
.logawọn faili
Nitorina:
Ìtumọ̀: “Fi àwọn fáìlì àkọsílẹ̀ tí ó ní ọ̀rọ̀ náà hàn mí login. "
Ní àkọ́kọ́, ó dàbí ohun tí kò ṣe pàtàkì. Ṣùgbọ́n, ní ìṣe, ó sábà máa ń padà wá:
- Àwọn àkọsílẹ̀ olupin wẹ́ẹ̀bù tí a ṣí ní gbangba
- CI/CD Àwọn àkọsílẹ̀ tí a gbé sórí ayélujára gẹ́gẹ́ bí ohun ìṣẹ̀dá
- Àìròtẹ́lẹ̀ àwọn àkọsílẹ̀ àṣìṣe commitlọ si awọn ibi ipamọ
- Àwọn àkọsílẹ̀ ohun èlò pẹ̀lú àwọn ẹ̀rí ìwé lásán
Èyí kì í ṣe àṣìṣe ẹ̀rọ ìwákiri. Dípò bẹ́ẹ̀, ó jẹ́ àìlera ìfarahàn dátà Àṣìṣe ìṣètò ló fà á. Google kàn ṣe àkójọ ohun tí gbogbo ènìyàn lè rí.
2. Ohun tí àwọn olùkọlù rí ní gidi nínú àwọn fáìlì àkọsílẹ̀ tí a ti ṣí payá
Nígbà tí àwọn olùkọlù bá ń sáré aklagbara:login irú fáìlì:logwọn kì í ṣe pé wọ́n ń lọ kiri lórí ayélujára láìròtẹ́lẹ̀. Wọ́n ń wá àwọn àmì ìfọwọ́sowọ́pọ̀.
2.1 Àwọn Ìwé Ẹ̀rí Ọ̀rọ̀ Láìlábàwọ́n
Àwọn àkọsílẹ̀ sábà máa ń ní àwọn àkọsílẹ̀ bíi:
or
Tabi paapaa awọn iwe eri SMTP:
Àwọn iṣẹ́ ìfọwọ́sowọ́pọ̀ ìforúkọsílẹ̀ jẹ́ ọ̀kan lára àwọn ọ̀nà tó yára jùlọ láti fi àwọn ìwé ẹ̀rí ìṣẹ̀dá hàn. Nítorí náà, fáìlì àkọsílẹ̀ kan ṣoṣo tó fara hàn lè sọ gbogbo àwòṣe ìṣàkóso ìwọlé rẹ di aláìlágbára.
2.2 Àwọn àmì ìgbìmọ̀ àti JWT
Kódà nígbà tí a kò bá fi ọ̀rọ̀ ìpamọ́ sílẹ̀, àwọn àmì sábà máa ń wà níbẹ̀.
Fun apere:
Kukisi JWT tabi akoko ti o wulo ninu .log fáìlì le mu:
- Ifipamo igba
- Imudarasi ẹtọ
- Ìṣípopo ẹ̀gbẹ́ láàárín àwọn ètò inú
Ni awọn ọrọ miiran, awọn ami ninu awọn akọọlẹ yi abajade aṣiṣe pada si fekito iridaju.
2.3 CI/CD Awọn onimọra
Àwọn igi ìkọ́lé léwu gan-an. Ní gidi, CI/CD Àwọn ètò ìgbàlódé sábà máa ń tẹ àwọn ohun tó ń yí àyíká padà nígbà tí wọ́n bá ń ṣe àwọn ìgbésẹ̀ ìkọ́lé.
Àwọn olùkọlù sábà máa ń rí:
Àwọn ìlà bíi:
If CI/CD Àwọn ohun èlò ìṣẹ̀dá ni gbogbo ènìyàn, lẹ́yìn náà àṣírí ni gbogbo ènìyàn. Google dork kàn ń mú kí àwárí yára sí i.
2.4 Dátà Àwọsánmà àti Àwọn Ohun Èlò Agbára
Àwọn àkọsílẹ̀ tí a ti rí tẹ́lẹ̀ sábà máa ń fi hàn pé:
- Awọn bọtini iwọle AWS
- Awọn okun asopọ ibi ipamọ Azure
- Àwọn URL iṣẹ́ inú
- Awọn iwe eri aaye data
- Àwọn ìparí Redis
Bí a bá tilẹ̀ yí àwọn ìwé ẹ̀rí padà lẹ́yìn náà, olùkọlù náà ní:
- Ṣíṣàfihàn àwọn ètò amúṣẹ́dá
- Awọn apejọ lorukọ
- Àfojúsùn ìmòye fún àwọn ìkọlù ọjọ́ iwájú
Nítorí náà, àwọn àkọsílẹ̀ tí a ti fi hàn ń fúnni ní àǹfààní àti àyẹ̀wò.
3. Báwo ni àwọn àkọsílẹ̀ yìí ṣe di gbangba ní àkọ́kọ́
Àwọn àkọsílẹ̀ kì í fara hàn ní Google lọ́nà ìyanu. Wọ́n máa ń di àmì nítorí pé wọ́n ṣeé dé ọ̀dọ̀ gbogbo ènìyàn.
3.1 Àwọn olupin wẹ́ẹ̀bù tí a kò ṣètò dáadáa
Awọn awoṣe ti o wọpọ pẹlu:
/logs/awọn itọsọna ti o le wọle laisi ijẹrisi- A ti mu àkójọ ìwé àkójọ ṣiṣẹ́
- Nginx tabi Apache ti n ṣiṣẹ ni aise
.logawọn faili
Tí a bá lè dé log kan nípasẹ̀ HTTP, a lè tọ́ka rẹ̀.
3.2 CI/CD Ìfihàn Ohun Àtijọ́
Awọn aṣiṣe deede:
- Àwọn ohun ìṣẹ̀dá gbogbogbò tí a lè lò nínú Awọn iṣe GitHub
- Àwọn àkọsílẹ̀ tí a gbé sórí ìkànnì láti ṣí àwọn bùkẹ́ẹ̀tì S3
- Pipeline awọn ipa-ọna ti o wa laisi ijẹrisi
A pipeline tí ó ń kó àwọn ìkọsílẹ̀ pamọ́ sínú àpò gbogbogbòò tí ó ń gbé àṣírí rẹ̀ jáde lọ́nà tí ó dára.
3.3 Ipo Iyọkuro ninu Iṣelọpọ
Awọn aiyipada eto le jẹ eewu:
Ni afikun, iforukọsilẹ ibeere ti o pọ ju le tẹjade:
- afori
- àmi
- Awọn ara ibeere ni kikun
Ìṣẹ̀dá ìṣàyẹ̀wò àṣìṣe nínú iṣẹ́ yí ohun èlò rẹ padà sí olùtajà ìwé ẹ̀rí.
3.4 Àkọsílẹ̀ Dókítà àti Àpótí
Awọn agbegbe ti a fi apoti sinu apoti ṣafihan awọn ipa ọna ifihan tuntun:
- Àwọn àkọsílẹ̀ tí a gbé sínú àwọn ìwọ̀n tí a pín
- Àwọn ọkọ̀ ayọ́kẹ́lẹ́ tí ń kó àwọn igi jáde sí àwọn ibi tí kò ní ààbò
- Wọle dashboardpẹlu wiwọle gbogbogbo
Tí a bá fi àwọn àkọsílẹ̀ àpótí hàn nípasẹ̀ HTTP tàbí ibi ìpamọ́ ṣíṣí, a lè wá wọn kiri. Níkẹyìn, a ó fi wọ́n sí àkójọpọ̀.
4. Ìṣàn Ìkọlù Tó Tòótọ́: Láti Dork sí Ìrúfin
Ẹ̀wọ̀n ìkọlù tí a sábà máa ń lò rí báyìí:
Olùkọlù sáré:
- Àwọn ohun tí a rí tí a ti ṣí sílẹ̀
.logfaili - Awọn jade:
- Àmì JWT
- Àkọlé Ìfọwọ́sowọ́pọ̀ Pàtàkì
- Okun asopọ database
Awọn igbiyanju lati jẹrisi lodi si:
- Àwọn ìparí API
- Àwọn páànẹ́lì ìṣàkóso
- Awọn iṣẹ inu
Tí ìfọwọ́sowọ́pọ̀ bá yọrí sí rere, ẹni tó kọlu náà lè:
- Mu awọn anfaani pọ si
- Gbéra sí ẹ̀gbẹ́
- Access CI/CD
- Ṣe àdéhùn sí ẹ̀wọ̀n ìpèsè
Ohun tí ó bẹ̀rẹ̀ bí ìbéèrè ìwárí di:
- Ifipamo igba
- Ṣíṣe àkójọ ìwé ẹ̀rí inú
- Pipeline takeover
- Ìjẹkújẹ ohun èlò
Gbogbo rẹ̀ láti inú fáìlì àkọsílẹ̀ tí a fi àmì sí ní gbangba.
5. Kí ló dé tí wíwọlé “Púpọ̀ Jù” fi jẹ́ ìṣòro AppSec
Gbígbé àkọsílẹ̀ kì í ṣe ohun tí kò dáa rárá. Dípò bẹ́ẹ̀, ó ń ṣẹ̀dá ile itaja data keji.
Tí o bá ń ṣe àkọsílẹ̀ àwọn ìkọ̀kọ̀ tó ṣe pàtàkì, o lè ṣẹ̀dá àdàkọ kejì àwọn àṣírí rẹ dáadáa.
Sibẹsibẹ, a ma n yọ awọn akosile kuro ninu apẹẹrẹ eewu. Labẹ STRIDE, eyi han gbangba si:
Ifihan Alaye
Nitorinaa, Ni aabo SDLC Àwọn ìlànà gbọ́dọ̀ ṣe àkóso àwọn ìkọsílẹ̀ bí:
- Àwọn ohun èlò tó ní í ṣe pẹ̀lú ààbò
- Àwọn dúkìá onímọ̀lára
- Awọn ẹya amayederun ti o nilo aabo
Tí àpẹẹrẹ ìhalẹ̀mọ́ni rẹ bá fojú fo àwọn àkọsílẹ̀, kò pé.
6. Báwo ni a ṣe lè dènà jíjò ìwé ẹ̀rí nínú àwọn fáìlì àkọsílẹ̀
6.1 Dá àwọn àṣírí ìforúkọsílẹ̀ dúró
Má ṣe wọlé láéláé:
- Awọn ọrọigbaniwọle
- àmi
- Awọn bọtini API
- Àwọn ID ìgbálẹ̀
- Àwọn àkọlé àṣẹ
Koda ni ipo atunṣe.
Ni gbogbo igba ti o ba ṣeeṣe, ṣe atunṣe laifọwọyi.
6.2 Ìlànà àti Ìlànà Ààbò
Lo ìforúkọsílẹ̀ tí a ṣètò pẹ̀lú ìbòjú àti ìfọ́mọ́.
Àpẹẹrẹ (Node.js):
Àpẹẹrẹ (Python):
Ìlànà pàtàkì náà rọrùn: àwọn àṣírí kò gbọdọ̀ dé ibi ìpamọ́ igi.
6.3 Ìpamọ́ Àkójọ Ìpamọ́
Awọn iṣakoso aabo yẹ ki o pẹlu:
- Mu akojọ itọsọna kuro
- dáàbò
/logs/awọn ipa ọna pẹlu ijẹrisi - Dín ìwọ̀lé sí bọ́tììkì kù
- Lo awọn ilana idaduro
- Fi àwọn àkọsílẹ̀ pa mọ́ ní ìsinmi
Àwọn àkọsílẹ̀ kò gbọdọ̀ jẹ́ èyí tí gbogbo ènìyàn lè dé ọ̀dọ̀ nípasẹ̀ HTTP.
6.4 CI/CD Guardrails
Àwọn àtúnyẹ̀wò ọwọ́ kò tó. Dípò bẹ́ẹ̀, ṣe àwọn ìṣàkóso aládàáṣe:
- Ṣíṣàyẹ̀wò àwọn ìkọsílẹ̀ ní ìkọ̀kọ̀ kí a tó tẹ̀ ẹ́ jáde
- Àwọn ìkọsílẹ̀ ìkùnà tí a bá rí àwọn àmì
- Dènà àwọn ìgbékalẹ̀ ohun èlò tí ó ní àwọn ìwé ẹ̀rí
- Ìdánilójú Hash fún àwọn ohun-ìṣẹ̀dá
CI/CD yẹ kí ó dí ìfarahàn kí ìtọ́kasí tó ṣẹlẹ̀.
7. Báwo ni Xygeni ṣe ń dènà gbogbo ọ̀rọ̀:login irú fáìlì:ìṣẹ̀lẹ̀ log
Iṣoro naa kii ṣe Google dork. Iṣoro naa ni ifihan. Nitorinaa, idena gbọdọ waye ṣaaju ki a to ṣe atọka.
7.1 Àwárí Àṣírí Nínú Àkọsílẹ̀ àti Àwọn Ohun Ìṣẹ̀dá
Àwọn àyẹ̀wò Xygeni:
- Awọn iwe ohun elo
- CI/CD àwọn àmì iṣẹ́
- Kọ́ àwọn ohun ìṣẹ̀dá
- Awọn fẹlẹfẹlẹ Docker
- Àwọn àbájáde tí a ṣe ní ìpele-ìpele
Tí àwọn ìwé ẹ̀rí, àwọn àmì, tàbí àwọn iye onímọ̀lára bá farahàn nínú .log àwọn fáìlì, Xygeni fi àmì sí wọn lẹ́sẹ̀kẹsẹ̀.
7.2 CI/CD Guardrails Ifihan Àkọsílẹ̀ yẹn
Dípò kí a gbẹ́kẹ̀lé àwọn àtúnyẹ̀wò ọwọ́, Xygeni fi agbara mu aabo ni pipeline ipele:
Eyi:
- Ikuna kọ nigbati awọn aṣiri ba han ninu awọn akọọlẹ
- Ìtẹ̀jáde àwọn ohun èlò ìkọ́lé
- Dídínà ìfarahàn gbangba láìròtẹ́lẹ̀
- Ó dá àwọn ìsopọ̀ tí kò ní ààbò dúró kí ó tó dé ibi pàtàkì
Tí iṣẹ́ CI bá tẹ àmì ìtọ́ka kan jáde, pipeline kuna.
Kò sí ìtọ́kasí.
Ko si ifihan.
Kò sí ìṣẹ̀lẹ̀ kankan.
7.3 Ààbò Ṣíṣí-Òsì Kí Google tó Rí I
Awọn ọrọ akoko.
Dípò kí a fèsì sí:
Xygeni dá ọ̀rọ̀ náà dúró:
- At commit akoko
- nigba pull request afọwọsi
- nigba pipeline ipaniyan
- Ṣáájú ìtẹ̀jáde ohun èlò ìṣẹ̀dá
Tí àkọsílẹ̀ náà kò bá di ti gbogbo ènìyàn, Google kì í tọ́ka sí i láé.
Ìdáhùn Ìkẹyìn: Tí Google bá lè tọ́ka sí i, àwọn olùkọlù ti ṣe bẹ́ẹ̀ tẹ́lẹ̀
Àwọn àkọsílẹ̀ kì í ṣe aláìléwu. Ní tòótọ́, wọn kì í sábà jẹ́ ìgbà díẹ̀. Nípa àìṣeédá, wọn kì í ṣe àdáni. Nítorí náà, gbogbo fáìlì àkọsílẹ̀ yẹ kí a kà sí ohun ìní tó bá ààbò mu, kì í ṣe àtúnṣe àbájáde lásán.
Tí àwọn ìwífún tó ṣe pàtàkì bá dé .log faili naa o si di wiwọle si gbangba, Lẹ́sẹ̀kẹsẹ̀ ló máa ń di ibi tí wọ́n ti ń gbógun tì. Jù bẹ́ẹ̀ lọ, nígbà tí ẹ̀rọ ìwádìí bá tọ́ka sí i, ìfarahàn náà yóò pọ̀ ju agbára rẹ lọ.
Ojutu naa kii se lati da gbigbi sile duro. Dipo bee, o je lati lo iwe naa ni ojuse ati lati fi ipa mu awon ilana to muna lori ibi ipamọ ati pinpin. Ni oro miiran, aabo gbodo gbooro ju ohun elo naa lo ati sinu ipele wiwo.
Dipo:
- Dáwọ́ àkọsílẹ̀ àwọn àṣírí dúró
- Titiipa ibi ipamọ igi
- Fifẹ pipeline guardrails
- Wiwa laifọwọyi ati imuṣẹ eto imulo
Nigbeyin, Ìdènà jẹ́ nípa àkókò. Nítorí lẹ́ẹ̀kan náà aklagbara:login irú fáìlì:log padà sí agbègbè rẹ, ìṣẹ̀lẹ̀ náà ti bẹ̀rẹ̀.
