Àwọn ìmọ̀ràn ààbò àwọsánmà wúlò nìkan nígbà tí wọ́n bá yanjú àwọn àlàfo gidi tí àwọn olùgbéjà ń lò: àpótí S3 gbogbogbò tí ẹnikẹ́ni kò kíyè sí, olùsáré CI pẹ̀lú àmì ìkọrin wildcard kan Aws awọn igbanilaaye, aṣiri ti o jo jade ninu akọọlẹ ikole kan, tabi igbẹkẹle irira ti o fi sii ni idakẹjẹ lakoko pipeline run. Pupọ julọ awọn iṣẹlẹ aabo awọsanma kii ṣe nipasẹ awọn irokeke aimọ. Wọn jẹ nitori awọn ailera ti a mọ ti a ko fi agbara mu, ti a ṣe pataki, tabi ti a ti ṣatunṣe.
Ìtọ́sọ́nà yìí bo àwọn ìmọ̀ràn ààbò àwọsánmà 20 tó wúlò tí a ṣètò nípasẹ̀ ipele: ìdánimọ̀, dátà, ètò ìṣiṣẹ́, ẹ̀wọ̀n ìpèsè sọ́fítíwẹ́ẹ̀tì, CI/CD pipelines, àwárí, àti ìdáhùn ìṣẹ̀lẹ̀. Yálà o ń mú kí àkọọ́lẹ̀ ìkùukùu kan le tàbí o ń gba ẹgbẹ́ púpọ̀ DevSecOps pipeline, àwọn ìṣàkóso wọ̀nyí ń ran lọ́wọ́ láti dènà àwọn ìrúfin tí ó ń ṣẹlẹ̀ ní gidi.
Idi ti Aabo Awọsanma n kuna laika ọpọlọpọ awọn imọran Aabo Awọsanma
Ààbò ìkùukùu jẹ́ àkójọ àwọn ìṣàkóso, ìlànà, àti irinṣẹ́ tí ó ń dáàbò bo dátà, àwọn ohun èlò, àti àwọn ohun èlò ìṣiṣẹ́ tí ń ṣiṣẹ́ ní àyíká ìkùukùu. Ó tan mọ́ ìdánimọ̀, nẹ́tíwọ́ọ̀kì, dátà, kódì ohun èlò, àwọn ìgbẹ́kẹ̀lé, ìṣètò ètò ìṣiṣẹ́, àti ìkọ́lé pipelines.
Ìdí tí ó fi ń kùnà fún àwọn ẹgbẹ́ tó ti dàgbà pàápàá kì í ṣe àìní ìmọ̀. Àwọn ìṣòro ìṣètò mẹ́ta ni:
- Iyara ati aabo. PipelineÀwọn ìṣàkóṣo tí ó ń mú kí ìforígbárí pọ̀ sí i máa ń parẹ́. Àwọn ẹgbẹ́ tí ó ń ṣe ààbò ìkùukùu ní ọ̀nà títọ́ kì í fi àwọn ẹnu ọ̀nà kún un, wọ́n ń ṣe àgbékalẹ̀ ìṣiṣẹ́ ní tààràtà sínú iṣẹ́ náà.
- Ìpínyà ohun èlò. Àṣírí wíwo nínú irinṣẹ́ kan, SCA ní òmíràn, IaC ní ẹ̀kẹta. Kò sí èrò kan ṣoṣo tó ṣọ̀kan túmọ̀ sí pé àwọn àlàfo máa ń já sí àárín àwọn ìpele ìbòjú, àti pé àwọn àwárí kò ní í so pọ̀ mọ́ ewu gidi.
- Ìrẹ̀wẹ̀sì tó lágbára. Àwọn ẹ̀rọ ìṣàyẹ̀wò tí wọ́n ń wo ọgọ́rọ̀ọ̀rún CVE lójoojúmọ́ ń kọ́ àwọn onímọ̀ ẹ̀rọ láti fojú fo àwọn àwárí, títí kan àwọn tó ṣe pàtàkì. Ṣíṣe àfiyèsí kì í ṣe àṣàyàn; ohun tó ń pinnu bóyá ààbò ń ṣiṣẹ́ lóòótọ́ ni.
Àwọn àmọ̀ràn ààbò ìkùukùu tí ó wà ní ìsàlẹ̀ yìí ni a ṣe láti pa àwọn àlàfo wọ̀nyẹn mọ́ ní ọ̀nà tó wúlò. Dípò kí wọ́n máa wo ààbò ìkùukùu gẹ́gẹ́ bí ìṣòro àkókò ìṣiṣẹ́ nìkan, wọ́n bo gbogbo ọ̀nà ìfijiṣẹ́ láti kóòdù sí ìkùukùu.
Àwọn Ìmọ̀ràn Ààbò Awọsanma 20:
Ìṣàkóso Ìdámọ̀ àti Ìwọ̀lé Àwọn Ìmọ̀ràn Ààbò Awọsánmà
1. Mu Ijẹrisi Oniruuru-Apapọ ṣiṣẹ Nibikibi
MFA ṣì jẹ́ ìṣàkóso ROI tó ga jùlọ nínú ààbò ìkùukùu. Ó ń dá ìkọlù olè ìjẹ́rìí dúró, àwọn olùkọlù sì mọ̀ ọ́n. Gbogbo àkọọ́lẹ̀ tí kò bá ní MFA jẹ́ àfojúsùn onírẹ̀lẹ̀.
Fi agbára mú MFA fún gbogbo ìdámọ̀ ènìyàn ní àyíká àwọsánmà rẹ: àwọn àkọọ́lẹ̀ olùgbékalẹ̀, àwọn kọ́ńsólù alákòóso, àwọn ọ̀nà ìtajà olùpèsè àwọsánmà, CI/CD dashboards. Lo MFA ti ko ni aabo fun phishing (awọn bọtini ohun elo, awọn bọtini iwọle) fun awọn akọọlẹ ti o ni anfani. Awọn koodu ti o da lori akoko nipasẹ app authenticator ni ọpa ti o kere julọ.
2. Lo Àǹfààní tó kéré jùlọ, pàápàá jùlọ fún Àwọn Àmì Ẹ̀dá Tí Kì í Ṣe Ènìyàn
Ìlànà Àǹfààní Tó Kéré Jùlọ Ó yé àwọn ènìyàn dáadáa. Àwọn ẹgbẹ́ náà máa ń pàdánù àwọn ìdámọ̀ tí kì í ṣe ti ènìyàn nígbà gbogbo: CI/CD Àwọn àkọọ́lẹ̀ iṣẹ́, àwọn iṣẹ́ Lambda, àwọn iṣẹ́ àpò ìkọ́lé, àwọn olùsáré GitHub Actions.
Àwọn ìdámọ̀ wọ̀nyí ń kó àwọn àṣẹ ìkọ̀kọ̀ jọ nítorí pé wọ́n ti ṣètò wọn lẹ́ẹ̀kan ṣoṣo tí wọn kò sì tún padà wá. Àwọn náà ni ohun tí àwọn olùkọlù ń fojú sí nígbà tí wọ́n bá ń kọlù àwọn ìkọlù ìpèsè, nítorí wọ́n ní àǹfààní sí àwọn àṣírí, ibi ìkópamọ́, àwọn ohun èlò ìṣelọ́pọ́, àti àwọn ètò ìsàlẹ̀.
Àwọn àṣẹ àkọọ́lẹ̀ ìṣàyẹ̀wò iṣẹ́ ìdánwò ní ìdámẹ́rin. Yọ ohunkóhun tí a kò tíì lò ní ọjọ́ 90 kúrò.
3. Rọpo awọn iwe-ẹri ti o pẹ pẹlu awọn ami kukuru-pẹ
Àwọn kọ́kọ́rọ́ API tí kò dúró ṣinṣin àti àwọn àmì ìgbà pípẹ́ jẹ́ ọ̀kan lára àwọn okùnfà gbòǹgbò tí ó wọ́pọ̀ jùlọ nínú ìfọ́ ìkùukùu. committed to repos, jo sinu awọn akọọlẹ CI, daakọ sinu Slack, ati gbagbe ninu .env awọn faili, lẹhinna o wa ni deede fun awọn oṣu tabi ọdun.
Rọpo wọn pẹlu awọn iwe-ẹri igba diẹ nibikibi ti o ba ṣeeṣe: Iṣẹ́ AWS STS, Ẹgbẹ́ Ìdámọ̀ Iṣẹ́ GCP, Awọn iṣe GitHub OIDCNígbà tí àwọn ìwé ẹ̀rí àìdúró bá ṣeé yẹ̀ sílẹ̀, tọ́jú wọn sínú olùṣàkóso àṣírí (Vault, AWS Secrets Manager, Azure Key Vault) kí o sì yí i padà láìfọwọ́sí.
4. Ṣe àgbékalẹ̀ ìwọlé tó péye fún àwọn àǹfààní gíga
Wiwọle si alabojuto duro jẹ eewu ti o duro. Awọn igbanilaaye ti o ga julọ ti o tumọ si pe idanimọ kan ti o bajẹ to lati de ibi iṣelọpọ.
Àwọn ètò ìwọ̀lé JIT (AWS IAM Identity Center, GCP Privileged Access Manager, Okta Access Requests) fúnni ní ìwọ̀lé gíga lórí ìbéèrè, àkókò tí ó lopin, àti pẹ̀lú àkọsílẹ̀ àyẹ̀wò pípé. Àwọn olùgbékalẹ̀ ń gba ohun tí wọ́n nílò nígbà tí wọ́n bá nílò rẹ̀. Àwọn olùkọlù kò rí ibi tí wọ́n lè fojú sí.
5. Fipá mú kí ìgbẹ́kẹ̀lé òdo wà ní gbogbo ìbánisọ̀rọ̀ iṣẹ́-sí-iṣẹ́
Àwọn àpẹẹrẹ àyíká ìbílẹ̀ gbà pé gbogbo ohun tó wà nínú nẹ́tíwọ́ọ̀kì náà ni a gbẹ́kẹ̀lé. Àwọn àyíká ìkùukùu pẹ̀lú àwọn iṣẹ́ kékeré, àwọn àpótí, àti àwọn iṣẹ́ agbára tí ń yí padà mú kí èrò náà léwu.
Igbẹkẹle Zero túmọ̀ sí wípé gbogbo ìbéèrè ni a ti fọwọ́ sí àti pé a fún ní àṣẹ, láìka ibi tí ó ti bẹ̀rẹ̀ sí. Ṣe ìmúṣẹ ìjẹ́rìí iṣẹ́-sí-iṣẹ́ (mTLS, ìdámọ̀ ẹ̀rọ iṣẹ́), fipá mú àwọn ìlànà nẹ́tíwọ́ọ̀kì ní ìpele iṣẹ́, kí o sì wo ìjádelọ inú gẹ́gẹ́ bí èyí tí a kò gbẹ́kẹ̀lé nípa àìyípadà.
Ààbò Dátà Àwọn Ìmọ̀ràn Ààbò Àwọsánmà
6. Fi ohun gbogbo pamọ, pẹlu ijabọ inu
Ìfipamọ́ ní ìsinmi (AES-256, KMS tí a ń ṣàkóso) ti wà báyìí standard ìdánrawò. Ààlà tí ọ̀pọ̀ àwọn ẹgbẹ́ ní ni ìfipamọ́ ní ìrìnàjò fún ìjáde inú.
Nínú VPC pẹ̀lú àwọn iṣẹ́ kékeré àti ìbánisọ̀rọ̀ pẹ̀lú àpótí sí àpótí, ìrìnàjò tí ó dúró “nínú” kò ní ààbò ní ti ara rẹ̀. Ṣe àgbékalẹ̀ TLS (mTLS) fún ìbánisọ̀rọ̀ iṣẹ́ inú. Lo àpapọ̀ iṣẹ́ (Istio, Linkerd) tàbí ipele nẹ́tíwọ́ọ̀kì tí kò ní ìgbẹ́kẹ̀lé láti fi agbára mú èyí ṣiṣẹ́ láìfọwọ́sowọ́pọ̀ dípò gbígbẹ́kẹ̀lé ẹgbẹ́ kọ̀ọ̀kan láti ṣe àtúnṣe rẹ̀ dáadáa.
7. Ṣawari ki o si tun awọn aṣiri ti o han ṣaaju ki wọn to tan kaakiri
Àṣírí kan commitTí a bá fi sí ibi ìpamọ́ kan, a kò ní fi àṣírí pamọ́. GitHub máa ń tọ́ka sí ibi ìpamọ́ gbogbogbò láàrín ìṣẹ́jú-àáyá. Àwọn ibi ìpamọ́ inú kò ní ààbò, nígbà tí àṣírí bá wà nínú ìtàn git, ẹnikẹ́ni tí ó bá ní ààyè láti lo ibi ìpamọ́ náà yóò lè rí i, nísinsìnyí tàbí lọ́jọ́ iwájú.
Àwọn ìpele ìdènà ṣe pàtàkì (pre-commit hooks, afikún IDE) ṣùgbọ́n kò tó. O nílò ìwòran déédéé káàkiri gbogbo ibi ìpamọ́ títí kan ìtàn. commits, CI/CD àkọọlẹ, IaC Àwọn fáìlì, àti àwọn àwòrán àpótí. Nígbà tí a bá rí àṣírí kan, ìdáhùn gbọ́dọ̀ jẹ́ lẹ́sẹ̀kẹsẹ̀: fagilé, yí i padà, kí o sì ṣe àyẹ̀wò bóyá a ti wọlé láàrín ìfarahàn àti wíwá.
8. Ṣàkójọ Dátà kí o sì lo àwọn ìṣàkóso tí ó da lórí ìmọ̀lára
Kìí ṣe gbogbo dátà tó wà ní àyíká àwọsánmà rẹ ló ní ewu kan náà tí a bá fara hàn. Ṣíṣe gbogbo nǹkan lọ́nà kan náà túmọ̀ sí fífi owó púpọ̀ sí àwọn dátà tó ní ewu díẹ̀ àti dídáàbòbò dátà tó ṣe pàtàkì.
Ṣètò àwọn dátà nípa ìfàmọ́ra (gbogbogbò, ti inú, ìpamọ́, ààlà). Lo àwọn ìṣàkóso ìwọlé, ìfipamọ́ standards, àti àwọn ohun tí a nílò láti fi ṣe àkọsílẹ̀ ìṣàyẹ̀wò fún ìpele kọ̀ọ̀kan. Ṣíṣe ìpínsípò aládàáni níbi tí ó bá ṣeé ṣe, fífi àmì sí ọwọ́ kò ní gbòòrò.
Aabo Amayederun ati Iṣeto
9. Iwoye IaC lórí Gbogbo Commit, Kìí ṣe kí a tó fi iṣẹ́ sílẹ̀ nìkan
Àwọn ètò ìṣẹ̀dá gẹ́gẹ́ bí Kóòdù ni ibi tí a ti ń ṣẹ̀dá àwọn àṣìṣe ìṣètò, kìí ṣe nígbà ìṣẹ̀dá. Gbàǹtì S3 gbogbogbòò, ẹgbẹ́ ààbò ṣíṣí sílẹ̀, tàbí ipa IAM pẹ̀lú *:* Àwọn àṣẹ kò farahàn láìròtẹ́lẹ̀. Ó bẹ̀rẹ̀ gẹ́gẹ́ bí ìlà nínú fáìlì Terraform tàbí ìfihàn Kubernetes tí ẹnikẹ́ni kò fi àmì sí.
IaC ọlọjẹ gbọdọ ṣiṣẹ lori gbogbo pull request, pẹ̀lú àwọn àwárí tí a rí nínú iṣẹ́ àtúnyẹ̀wò kódì. Ṣàyẹ̀wò Terraform, àwọn ìfihàn Kubernetes, CloudFormation, àwọn àtẹ Helm, àwọn Dockerfiles, àti CI/CD àwọn ètò.
Xygeni IaC Security ṣe ayẹwo gbogbo ọna kika ti a ṣe atilẹyin lori gbogbo commit, máa ń ṣe àfihàn àwọn àwárí sí àwọn ohun èlò pàtó kan, ó sì máa ń so pọ̀ mọ́ iṣẹ́ PR rẹ kí àwọn olùgbékalẹ̀ lè gba èsì níbi tí wọ́n ti ń ṣiṣẹ́, kì í ṣe ní ọ̀nà mìíràn. dashboard wọn kìí ṣí rárá. Bẹ̀rẹ̀ ìdánwò ọ̀fẹ́ kan →
10. Ṣe àgbékalẹ̀ Ìlànà Ààbò gẹ́gẹ́ bí Kóòdù
Àwọn àtúnyẹ̀wò ààbò ọwọ́ kò pọ̀. Gẹ́gẹ́ bí ìlànà-gẹ́gẹ́ bí koodu ṣe rí.
Lo àwọn irinṣẹ́ bíi OPA (Open Policy Agent) tàbí Kyverno láti ṣàlàyé àwọn òfin ààbò gẹ́gẹ́ bí kódì tí a ti ṣe àtúnṣe rẹ̀, tí a lè dán wò. pipeline ipele bẹ imuṣiṣẹ Kubernetes pẹlu àǹfààní: òótọ́ tàbí kí àpótí kan tó ń ṣiṣẹ́ gẹ́gẹ́ bí gbòǹgbò ba ìkọ́lé náà jẹ́ láìfọwọ́sí, ní gbogbo ìgbà. Nígbà tí àwọn ìlànà bá wà ní ìlànà, wọ́n máa ń ṣe àtúnyẹ̀wò wọn, wọ́n sì máa ń sunwọ̀n sí i bí ohun èlò ìmọ̀ ẹ̀rọ. Nígbà tí wọ́n bá wà ní àkọsílẹ̀, wọ́n máa ń yípadà.
11. Fi Àwọn Ìpìlẹ̀ àti Àbójútó Ìṣètò Ààbò Mú Kí A Lè Ṣe Àṣeyọrí
Àwọn ìṣètò àìyípadà ni a ṣe àtúnṣe fún ìrọ̀rùn, kìí ṣe fún ààbò. Àwọn iṣẹ́ àwọsánmà, àkókò ìṣiṣẹ́ àpótí, àti àwọn ìṣọ̀pọ̀ Kubernetes tí a ṣàkóso ń fi àwọn ètò tí ó rọrùn láti lò, àti tí ó rọrùn láti lò ránṣẹ́.
Bẹrẹ lati CIS Àwọn àmì ìdámọ̀ fún olùpèsè ìkùukùu rẹ, àkókò ìṣiṣẹ́ àpótí, àti OS. Fi àmì ìdámọ̀ wọn sí ìlànà-bí-kódì kí a lè fi wọ́n sí ipò láìfọwọ́sí. Máa ṣe àkíyèsí nígbà gbogbo fún ìyípadà, ìṣètò ní ìbámu ní ọ̀sẹ̀ tó kọjá lè má báramu lónìí lẹ́yìn ìyípadà kíákíá tí a ti tì lábẹ́ ìfúnpá.
12. Àwọn Nẹ́tíwọ́ọ̀kì Àpín àti Ìdènà Ìṣípopo Ẹ̀gbẹ́
Àwọn ìlànà nẹ́tíwọ́ọ̀kì alapin túmọ̀ sí wípé nígbà tí olùkọlù bá ba iṣẹ́ kan jẹ́, wọ́n lè dé gbogbo nǹkan mìíràn. Pípín nẹ́tíwọ́ọ̀kì ní rédíọ̀mù ìbúgbàù náà.
Lo awọn VPC, awọn subnet, ati awọn ẹgbẹ aabo lati ṣẹda awọn agbegbe iyasọtọ nipasẹ iṣẹ ati ifamọra. Dena ijabọ ila-oorun-iwọ-oorun laarin awọn iṣẹ si ohun ti o nilo nikan. Ṣe ilana sisẹ egress, ọpọlọpọ awọn iṣẹ ṣiṣe ti o bajẹ nilo lati de ọdọ olupin ti olukolu ṣakoso, ati awọn iṣakoso egress jẹ ọkan ninu awọn aye ti o dara julọ lati ṣe awari tabi ṣe idiwọ iyẹn.
Àwọn ìmọ̀ràn nípa ààbò àwọsánmà Ìpèsè Ẹ̀rọ Softwaya
Àwọn ìmọ̀ràn ààbò ìkùukùu pàtàkì kan kò tún bẹ̀rẹ̀ nínú ẹ̀rọ ìpèsè ìkùukùu mọ́. Wọ́n máa ń bẹ̀rẹ̀ ní ìṣáájú, nínú ẹ̀rọ ìpèsè ìpèsè ìṣàfilọ́lẹ̀. Àwọn ìgbẹ́kẹ̀lé, CI/CD àwọn iṣẹ́ ìṣiṣẹ́, àwọn àṣírí, àwọn ìwé àfọwọ́kọ ìkọ́lé, àti àwọn ohun ìṣẹ̀dá lè fa ewu ìkùukùu kí a tó fi wọ́n sílẹ̀.
13. Ṣe àyẹ̀wò gbogbo ìgbẹ́kẹ̀lé kí ó tó wọ inú ìkọ́lé rẹ
Àwọn ìdìpọ̀ orísun tí ó ṣí sílẹ̀ ni àwọn ìfàṣẹsí ìṣílẹ̀ àkọ́kọ́ tí ó wọ́pọ̀ jùlọ nínú àwọn ìkọlù pọ́ọ̀npù ìpèsè òde òní. Ìpolongo Shai-Hulud ti ọdún 2024 bàjẹ́ àwọn ìdìpọ̀ npm 830+. XZ Utils backdoor fẹ́rẹ̀ ba ìfọwọ́sowọ́pọ̀ SSH jẹ́ ní gbogbo àwọn àràádọ́ta ọ̀kẹ́ àwọn ètò Linux. Nínú àwọn ọ̀ràn méjèèjì, kódì búburú dé nípasẹ̀ ìlànà ìgbẹ́kẹ̀lé déédé.
ipilẹ SCA (Ìṣàyẹ̀wò Àkójọpọ̀ Softwaya), àkójọ CVE tí a kò ṣe, kò tó. Ohun tí o nílò gan-an:
- Ìṣàyẹ̀wò bí a ṣe lè dé ọ̀dọ̀: Ṣé iṣẹ́ tí ó ní ìṣòro náà ni a pè ní kódì rẹ gan-an?
- Wiwa malwareṢé àkójọpọ̀ yìí ń fi ìwà búburú hàn, àwọn ìwé àkọsílẹ̀ tí a kò retí, àwọn ìpè nẹ́tíwọ́ọ̀kì tí a kò retí, ìyípo ìgbésí ayé hooks tí ó fi àwọn àkókò ìṣiṣẹ́ ìta sílẹ̀?
- Àmì EPSS: kí ni ìṣeéṣe tí a fi ń lo CVE yìí ní ìlòkulò ní ìgbẹ́ ní báyìí, kìí ṣe ní ti ìmọ̀-ẹ̀rọ nìkan?
14. Titiipa isalẹ CI/CD Pipelines
CI/CD Àwọn ètò ìṣiṣẹ́ ní àǹfààní sí àwọn àṣírí, ìwé ẹ̀rí ìkùukùu, àti àyíká ìṣelọ́pọ́. Wọ́n kì í sábà le tó àwọn ètò ìṣelọ́pọ́ tí wọ́n ń lò sí.
Awọn iṣakoso lati fi ipa mu:
- A nilo atunyẹwo koodu fun eyikeyi awọn ayipada si pipeline awọn faili iṣeto (.github/àwọn ìṣiṣẹ́ iṣẹ́/, Jenkinsfile, Bbl)
- Dín àwọn olùsáré tí wọ́n ń gbàlejò fún ara wọn sí àwọn ibi ìkópamọ́ tí a fọwọ́ sí, ìwọlé olùsáré tí a kò ṣe àtúnyẹ̀wò jẹ́ ọ̀nà tààrà sí olè ìjẹ́rìí
- Má ṣe fi àṣírí sílẹ̀ gẹ́gẹ́ bí àwọn oníyípadà àyíká tí kò ní ìtumọ̀; lo ìṣọ̀kan olùṣàkóso àṣírí
- Irowo pipeline Àkọsílẹ̀ fún àwọn àṣẹ àìròtẹ́lẹ̀, àwọn ìpè nẹ́tíwọ́ọ̀kì tí kò wọ́pọ̀, tàbí àwọn ìpàṣẹ ní àwọn wákàtí àìròtẹ́lẹ̀
Xygeni CI/CD aabo mu lagabara guardrails taara ninu rẹ pipeline , dí àwọn ìkọ́lé tí kò ní ààbò, wíwá àwọn ìṣiṣẹ́ tí a fi sínú abẹ́rẹ́, àti rírí dájú pipeline ìwà rere ní gbogbo ìpele. Ṣe ìforúkọsílẹ̀ àfihàn kan →
15. Jẹ́rìí sí ìwà títọ́ kíkọ́ àti àwọn ohun ìṣẹ̀dá àmì
Tí ẹni tó ń kọlù bá lè fi kódù sínú ìwé àkọsílẹ̀ ìkọ́lé, tàbí ṣe àtúnṣe ohun èlò ìṣẹ̀dá lẹ́yìn ìkójọpọ̀, tàbí kí ó ba ẹ̀rọ CI jẹ́, àwọn ló ni ẹ̀wọ̀n ìpèsè sọ́fítíwè rẹ, láìka bí kódì orísun rẹ ṣe mọ́ tó.
Ṣe àgbékalẹ̀ àwọn ìṣàkóso ìdúróṣinṣin ìkọ́lé:
- So gbogbo àwọn ẹ̀yà ìgbẹ́kẹ̀lé àti àwọn àwòrán ìpìlẹ̀ mọ́ àwọn àkọsílẹ̀ gangan, kìí ṣe àwọn àmì
- Ṣe àmì sí àwọn ohun ìṣẹ̀dá ìkọ́lé kí o sì jẹ́rìí sí àwọn ìfọwọ́sowọ́pọ̀ kí o tó gbé wọn lọ
- Ṣe atẹle fun awọn iyipada airotẹlẹ si CI/CD awọn faili iṣan-iṣẹ, awọn iṣan-iṣẹ ti a fi sinu abẹrẹ ni itọkasi pataki ninu awọn ikọlu bii Shai-Hulud
- Ṣe àgbékalẹ̀ àwọn ẹ̀rí SLSA láti fi hàn ní ọ̀nà ìkọ̀kọ̀ ohun tí a kọ́, láti orísun wo, àti nípasẹ̀ ohun tí a ṣe pipeline
Wiwa Irokeke ati Idahun Iṣẹlẹ
16. Ṣe àkójọpọ̀ ìforúkọsílẹ̀ àti kí o kọ́ ìríran káàkiri gbogbo ìforúkọsílẹ̀ náà
O ko le rii ohun ti o ko le ri. Pupọ julọ ibojuwo aabo awọsanma fojusi lori akoko ṣiṣe, CloudTrail, awọn akọọlẹ sisan VPC, ati GuardDuty. Iyẹn jẹ pataki ṣugbọn ko to.
Àwọn ìkọlù bíi Shai-Hulud àti SolarWinds ṣe àṣeyọrí díẹ̀ nítorí pé àdéhùn náà wáyé nínú ilé náà. pipeline, kí ohunkóhun tó dé ìṣàyẹ̀wò iṣẹ́-ṣíṣe. Ìrísí pípé gbọ́dọ̀ ní ààbò lórí àwọn àyípadà koodu orísun, àwọn ìpele ìkọ́lé àti àwọn ohun èlò, àkókò ìṣiṣẹ́ ìkùukùu, àti ìṣiṣẹ́ API.
17. Fi àwọn ohun tí a rí sí ipò àkọ́kọ́ nípa lílo àǹfààní, kìí ṣe lílo agbára nìkan
Awòrán oníṣẹ́dá tí ó ń ṣe àwárí 500 ní ọ̀sọ̀ọ̀sẹ̀ kan ń kọ́ àwọn ẹgbẹ́ láti fojú fo àwọn àwárí náà, títí kan àwọn pàtàkì. Ṣíṣe àfiyèsí ni ohun tí ó ya àwọn ètò ààbò tí ó ń ṣiṣẹ́ sọ́tọ̀ kúrò lára àwọn tí ó wà lórí ìwé.
Àpapọ̀ ìṣàfihàn pàtàkì tó gbéṣẹ́: àwọn ohun tó ṣeé dé (ṣé àwọn koodu tó ṣeé farapa ni a ṣe ní tòótọ́?), ìfarahàn (ṣé àwọn iṣẹ́ náà ń dojúkọ ìkànnì ayélujára?), àmì EPSS (bóyá ìlòkulò tó ń lọ lọ́wọ́), àti ipò ìṣòwò (ìṣẹ̀dá àti àyíká dev).
Xygeni ASPM mú gbogbo àwárí wá síta SAST, SCA, IaC, àwọn àṣírí, àti pipeline security sínú ojú ìwòye ewu kan náà, pẹ̀lú àfiyèsí àgbékalẹ̀ tí ó ń sọ fún ẹgbẹ́ rẹ ohun tí ó yẹ kí o kọ́kọ́ ṣe àtúnṣe. Ṣe ìforúkọsílẹ̀ àfihàn kan →
18. Ṣètò àwọn ìpìlẹ̀ ìwà àti ìkìlọ̀ lórí àwọn ìyàtọ̀
Àwọn àmì ìfọwọ́sowọ́pọ̀ búburú tí a mọ̀ máa ń mú àwọn ewu tí a mọ̀. Ṣíṣàwárí àwọn ohun tí kò ṣe pàtàkì nínú ìwà máa ń mú àwọn tí a kò mọ̀, àwọn ọjọ́ díẹ̀, àwọn àpẹẹrẹ ìkọlù tuntun, àti àwọn ewu inú.
Fun rẹ CI/CD ní pàtàkì, gbé àwọn ìpìlẹ̀ kalẹ̀ fún àkókò ìkọ́lé tí ó wọ́pọ̀, àwọn ìlànà ìfisílẹ̀ package déédé, àwọn ibi tí a retí láti dé nígbà ìkọ́lé, àti standard Àwọn ìlànà ìwọlé àṣírí. Àwọn ìyàtọ̀ láti inú àwọn ìpìlẹ̀ wọ̀nyí ni àmì ìkìlọ̀ àkọ́kọ́ rẹ, àti pé ọ̀pọ̀ àwọn ẹgbẹ́ kò ní ìrísí kankan nínú.
19. Ṣàlàyé Àwọn Ìṣẹ̀lẹ̀ Tó Pàtàkì Lórí Awọsanma
Àwọn ètò ìdáhùn ìṣẹ̀lẹ̀ gbogbogbòò kò ṣàlàyé àwọn ìṣẹ̀lẹ̀ pàtó lórí ìkùukùu: àpò tí a ti fi sórí ẹ̀rọ 40 tẹ́lẹ̀, olùṣiṣẹ́ CI kan pẹ̀lú àwọn ìwé ẹ̀rí tí a jí láti ọwọ́ ìwé ìkọ̀wé ìfi sori ẹ̀rọ búburú, ohun èlò ìkọ́lé kan tí ó ṣeé ṣe kí a ti yípadà ní wákàtí 72 tó kọjá.
Kọ awọn iwe-akọọlẹ kan pato fun: igbẹkẹle ti o ni ibajẹ, pipeline Olè ìjẹ́rìí, ìfìhàn dátà tí kò tọ́ tí a fi ń fa ìṣètò, àti ìfúnpọ̀ iṣẹ́ CI búburú. Ìwé ìwádìí kọ̀ọ̀kan yẹ kí ó ṣàlàyé ẹni tí ó ni ìdáhùn náà, ohun tí a fagilé lẹ́sẹ̀kẹsẹ̀, àti àwọn ìwádìí ìwádìí tí a nílò láti pinnu rédíò ìbúgbàù.
20. Ṣiṣe Tabletop Exercises, Lẹẹmeji ni ọdun kan o kere ju
Ìwé ìwádìí tí a kò tíì dán wò jẹ́ àbá kan.cisÓ máa ń fi àwọn àlàfo tó wà nínú ètò ìdáhùn rẹ hàn kí ẹni tó ń kọlù ú tó ṣe bẹ́ẹ̀. Ète rẹ̀ kì í ṣe láti tẹ̀lé ìwé ìṣeré náà dáadáa, ó jẹ́ láti ṣàwárí ohun tó sọnù.
Ṣiṣe o kere ju idaraya meji lọcises fún ọdún kan, tí ó ń ṣe àfarawé àwọn oríṣiríṣi ipò ìṣẹ̀lẹ̀: ìforígbárí pq ìpèsè, ìfọ́mọ́ra ìṣàkójọpọ̀ tí kò tọ́, olùṣiṣẹ́ CI tí ó ní ìṣòro. Fi àwọn ẹgbẹ́ tí yóò dáhùn, ààbò, DevOps, àti àwọn olùgbékalẹ̀ ìpè sí.
Àkójọ Àyẹ̀wò Àwọn Ìmọ̀ràn Ààbò Àwọsánmà: Ìtọ́kasí Kíákíá
| Layer | Awọn iṣakoso bọtini |
|---|---|
| Identity | MFA nibi gbogbo, awọn anfani ti o kere ju, awọn iwe-ẹri igba diẹ, iwọle JIT |
| data | Encrypt nígbà ìsinmi àti nígbà tí ó bá ń kọjá lọ, wíwo àṣírí àti yíyọkúrò-àdáni, ìpínsọrí data |
| amayederun | IaC wíwo lórí commit, ìlànà-gẹ́gẹ́ bí-kódì, CIS ìmúdájú ìpìlẹ̀, ìpínkiri nẹ́tíwọ́ọ̀kì |
| Sekeseke Akojo | SCA pẹlu wiwa ati wiwa malware, CI/CD líle, kọ́ ìwà títọ́ àti SLSA |
| erin | Àkọsílẹ̀ àárín, ìṣàfihàn EPSS tó dá lórí ìṣàfihàn àìlera ìwà |
| esi | Awọn iwe-ṣiṣe ti o ni pato lori awọsanma, adaṣe tabili tabilicises, àkọsílẹ̀ ìṣàyẹ̀wò blast-radius |
Báwo ni Xygeni ṣe ń ran àwọn ìmọ̀ràn ààbò àwọsánmà lọ́wọ́ ní gbogbo àkójọpọ̀ náà
Àwọn ìmọ̀ràn ààbò àwọsánmà nìkan ló máa ń ṣiṣẹ́ nígbà tí àwọn ẹgbẹ́ bá lè fipá mú wọn ṣiṣẹ́ ní gbogbo ìgbà tí wọ́n bá ń lo gbogbo ìṣiṣẹ́ sọ́fítíwè náà. Ọ̀pọ̀lọpọ̀ irinṣẹ́ ló bo ìpele kan: àkókò ìṣiṣẹ́, kódì, ìgbẹ́kẹ̀lé, àṣírí, tàbí CI/CDṢùgbọ́n àwọn ìkọlù gidi ń lọ káàkiri àwọn ìpele.
Xygeni so awọn fẹlẹfẹlẹ wọnyi pọ pẹlu wiwa ti a ṣe sinupọ, iṣiwaju, ati atunṣe lati inu push git akọkọ si iṣelọpọ.
| Layer | Agbara Xygeni | Ohun tí Ó Ń Dènà |
|---|---|---|
| Orisun orisun | SAST + Atunṣe AI | Abẹrẹ, awọn ikuna ifọwọsi, apẹrẹ ti ko ni aabo |
| Dependencies | SCA + Ṣíṣàwárí Malware + EPSS | Awọn adehun pq ipese, awọn idii ti o ni ipalara |
| asiri | Ààbò Àṣírí + Ìfàgilé Àìfọwọ́sowọ́pọ̀ | Ifihan iwe-ẹri, eewu ami-ami pipẹ |
| IaC & Ṣètò | IaC Security | Àṣìṣe ìṣètò kí wọ́n tó dé ìṣẹ̀dá |
| CI/CD Pipeline | CI/CD Ààbò + Ṣíṣàwárí Àìṣeéṣe | Pipeline abẹrẹ, adehun olusare |
| Kọ́ àwọn ohun ìṣẹ̀dá | Build Security + SLSA provenance | Àwọn ohun ìṣẹ̀dá tí ó ti bàjẹ́, àwọn ìtújáde tí kò fọwọ́ sí |
| Ipò ewu | ASPM | Ìwòye ìṣọ̀kan, ìfojúsùn àgbélébùú |
Àbájáde rẹ̀ ni pé: àwọn ẹgbẹ́ ààbò máa ń gba àmì dípò ariwo. Àwọn olùgbékalẹ̀ máa ń gba èsì níbi tí wọ́n bá ti ń ṣiṣẹ́, kì í ṣe ní ohun èlò mìíràn tí wọn kì í ṣí. Ààbò sì di ara ìlànà ìfijiṣẹ́, kì í ṣe ẹnu ọ̀nà tí ó máa ń dín ìṣiṣẹ́ rẹ̀ kù.
ik ero
Àwọn ìmọ̀ràn ààbò àwọsánmà rọrùn láti kọ sílẹ̀ ṣùgbọ́n ó ṣòro láti fipá mú wọn. Àwọn ẹgbẹ́ tí wọ́n dín ewu àwọsánmà gidi kù kò gbẹ́kẹ̀lé àtúnyẹ̀wò ọwọ́, àwọn irinṣẹ́ tí a fọ́nká, tàbí ìṣàfilọ́lẹ̀ pàtàkì-kan. Dípò bẹ́ẹ̀, wọ́n ń ṣe àtúnṣe àwọn ìṣàkóso ààbò nínú pipelines, ṣe àfikún sí ipò àkọ́kọ́ nípasẹ̀ agbára ìlò, kí o sì ṣe àfikún ẹ̀wọ̀n ìpèsè sọ́fítíwètì gbogbo gẹ́gẹ́ bí apá kan ojú ìkọlù àwọsánmà.
Iyẹn túmọ̀ sí dídáàbòbò ju ètò ìṣiṣẹ́ lọ. Ó túmọ̀ sí dídáàbòbò kódì orísun, àwọn ohun tí a lè gbẹ́kẹ̀lé, àwọn àṣírí, IaC, CI/CD àwọn iṣẹ́ ìṣiṣẹ́, kọ́ àwọn ohun èlò, àti ipò ewu ohun èlò papọ̀.
Tí àwọn irinṣẹ́ rẹ lọ́wọ́lọ́wọ́ bá fi àlàfo sílẹ̀ láàárín àwọn ìpele wọ̀nyẹn, Xygeni ń ran wọ́n lọ́wọ́ láti pa wọ́n mọ́ pẹ̀lú wíwá àfikún, ṣíṣe àfikún, àti àtúnṣe ní gbogbo ọ̀nà láti kódì sí ìkùukùu.
👉 Bẹrẹ iwadii ọfẹ ọfẹ ọjọ 7 rẹ , ko nilo kaadi kirẹditi, ṣayẹwo awọn abajade ni iṣẹju diẹ
👉 Iwe kan demo kí o sì wo bí Xygeni ṣe ń fi àwọsánmà pàtó rẹ hàn àti pipeline ṣeto
Nipa awọn Author
Àjọ-Oludasile & CTO
Fatima Said amọja ni akoonu akọkọ-olupilẹṣẹ fun AppSec, DevSecOps, ati software supply chain securityÓ yí àwọn àmì ààbò tó díjú sí ìtọ́sọ́nà tó ṣe kedere, tó ṣeé gbéṣẹ́, tó ń ran àwọn ẹgbẹ́ lọ́wọ́ láti ṣe àkóso ní kíákíá, dín ariwo kù, àti láti fi kódì tó ní ààbò ránṣẹ́.
