目录
简介 Build Security ，在 SDLC
安全软件开发生命周期（SDLC) 体现了一种整体方法，将安全实践和原则融入软件创建和部署的所有阶段。其中，构建阶段尤为重要。源代码在此阶段转换为二进制代码，为执行奠定基础。此阶段对于将安全性嵌入软件至关重要，包括严格检查代码以查找漏洞、实施安全策略，以及确保安全考虑是基础性的，而不是回顾性的想法。
的意义 Build Security 软件开发
Build security 对于编写安全软件、主动防御潜在漏洞以及确保遵守 standards. 开发过程的这个阶段对代码的完整性和机密性构成最大的风险。 一个失误就可能使受感染的软件广泛传播，因此必须保护这一阶段，以保护最终用户并保持信任和合规性。此外，构建阶段对于降低与软件供应链相关的风险至关重要，因为任何部分的漏洞都可能产生广泛的影响。强调 build security 为未来的创新奠定了基础，使组织能够安全地发展其开发实践。
强调现实世界的后果
稳健性的关键性 build security SolarWinds Orion 漏洞、Codecov Bash Uploader 漏洞、Event-Stream 事件、Equifax 数据泄露以及 Ledger 攻击等事件生动地说明了安全措施的重要性。这些例子清楚地提醒我们，在构建阶段，安全疏忽会产生深远的影响，从助长供应链攻击到大规模泄露敏感数据。
账本攻击
Ledger 攻击表明软件供应链漏洞被巧妙利用，标志着网络安全领域的重大事件。攻击者通过针对前 Ledger 员工 NPM 帐户的鱼叉式网络钓鱼攻击，成功发布 Ledger 软件 connect-kit 工具的恶意版本。此次入侵导致用户硬件钱包损失至少 600,000 万美元。与直接攻击构建过程不同，此次事件利用了对第三方依赖项和软件供应链的信任，凸显了现代软件开发面临的细微威胁。此次入侵不仅暴露了确保软件依赖项安全的重要性，还凸显了严格访问控制、凭证管理和主动监控第三方组件的必要性。Ledger 事件提醒我们，忽视软件供应链安全可能带来后果，采取全面安全措施防范直接和间接攻击的重要性。
SolarWinds Orion 漏洞
SolarWinds Orion 漏洞是近年来影响最深远、最复杂的攻击之一，它试图利用 SolarWinds 软件构建过程中的漏洞。攻击者在软件更新过程中通过构建系统植入恶意代码，并将其发送给 18,000 个客户，其中包括主要政府机构和企业。它凸显了此类供应链攻击的危害性和广泛性。
Codecov Bash 上传脚本入侵
Codecov 是一款用于测试代码覆盖率测量的应用程序，但该应用程序已被攻破。攻击者能够修改其 Bash Uploader 脚本，并成功从数千个客户端环境中窃取数据。因此，此次入侵凸显了构建工具可能存在的潜在风险，并证明了必须确保构建脚本和工具的完整性。
事件流事件
在 Event-Stream 事件中，一个非常受欢迎的 NPM 软件包遭到了攻击。在这个软件包中，原始维护者将控制权移交给了假装是积极维护者的攻击者。后来，攻击者将一个具有恶意的负载注入到软件包中，针对一个特定的加密货币平台。这是一个完美的案例研究示例，展示了依赖性漏洞的风险状况以及公司应该对第三方软件包和维护者执行的现实审查水平。
Equifax 数据泄露
Equifax 数据泄露事件虽然严格来说不是构建阶段的漏洞，但由于未能更新本应更新且存在漏洞的第三方库（在本例中为 Apache Struts），情况变得更加糟糕。这影响了 147 亿人。从各方面来看，Equifax 数据泄露事件都是关于依赖管理的警示故事。
新兴威胁 Build Security：快照
在错综复杂的现代软件开发网络中，构建阶段是源代码转化为可执行软件的关键点。此阶段不仅涉及编译，还涉及确保最终产品的安全性和完整性。认识到此阶段面临的常见威胁对于保持稳健的软件开发至关重要。 software supply chain security。为了更深入地了解这些威胁和全面的缓解策略，请考虑探索以下方面的详细见解 构建阶段的软件供应链威胁.
- 通过传递 CI/CD Pipelines：规避安全措施 CI/CD 进程允许攻击者将恶意代码直接注入到构建中，从而绕过必要的安全检查。
- 修改代码后源控制： 源代码修改后 commit对源代码控制的修改可能会引入未经授权的更改，从而破坏软件的完整性。
- 破坏构建过程：直接操纵构建过程可能会导致插入恶意代码、篡改构建的来源或完全破坏整个过程。
- 破坏工件存储库： 未经授权访问或操纵工件存储库可能会破坏部署过程并将受损软件引入供应链。
中毒 Pipeline 执行（PPE）：更深层的威胁
中毒 Pipeline 执行（PPE）漏洞是指攻击者通过修改 CI/CD pipeline 直接配置（直接 PPE 或 D-PPE）或通过修改文件 pipeline 引用（间接 PPE，或 I-PPE）。此类攻击会严重损害软件的完整性，因此早期检测和保护机制至关重要。
了解 PPE 变体
- 直接个人防护装备 (D-PPE) 当攻击者更改 CI 配置文件以在构建环境中运行恶意命令时，就会发生这种情况，从而绕过 standard 安全协议。
- 间接个人防护装备 (I-PPE) 通过修改外部文件展开 pipeline 配置，例如脚本，使攻击者能够间接注入恶意代码。
实施有效 Build Security 措施
为了在构建阶段应对这些威胁和漏洞，应正确使用框架并遵守 NIST 等权威机构概述的最佳实践。以上所有措施都可以通过应用和遵守以下标准来改进： NIST 的安全软件开发框架 (SSDF) 以及其他资源，通过以下方式改善您的姿势。
Essential Build Security 最佳实践：
- 安全编码： 在整个开发过程中实施最佳编码安全实践。在构建过程中尽可能提前使用静态代码分析工具来识别潜在漏洞。
- 软件组成分析（SCA)： 整合 SCA 工具与你的 CI/CD pipeline 发现已知漏洞的软件中使用的开源依赖项，并保持最新状态 软件物料清单（SBOM).
- 安全构建环境： 使用最强大的访问控制，可以限制进入构建服务器和存储库的未经授权的入口点。
- 持续监控工具 本质上是指发现构建环境中发生的任何形式的可疑活动。这将得到验证并安全地传输到 pipeline 通过数字签名进行签名。在部署之前，必须建立各种验证机制来确保工件的真实性。
的力量 Build Attestations
安全编码和安全构建环境等最佳实践至关重要，但 Xygeni Build Security 解决方案，他们就是这样做的。我们的解决方案与您的工作流程集成，为您提供全面的方式 build security 其中包括证明力。
可以将构建证明视为一份签名文档，以确保构建的真实性和完整性。构建证明就是一份经过加密签名的元数据集合，记录构建过程的详细信息。这些是构建过程的保护措施，可带来以下诸多好处。
- 提高透明度： 构建认证确保了构建环境、工具、配置和构建构建所用的依赖项具有清晰的可视性，从而确保了信心。这种透明的环境将激发信任，甚至可能促进合作。
- 验证整个 Pipeline: 证明确保在 CI/CD pipeline，从源代码到最终构建的工件，真实性都可以得到验证。它检查构建过程中是否发生任何未经授权的更改。
- 更加坚实的监测和审计基础： 证明中的详细数据为开发生命周期中持续的安全分析奠定了基础，使人们能够主动检测任何应该缓解的可能的漏洞。
创新中心 Xygeni Build Security 利用证明
这是哪里 Build Security 解决方案采用以下概念 Build Attestations 通过实现自动化，Xygeni 又向前迈进了一步，采用了更广泛的方法。
- 证明生成自动化： Xygeni，其中证明生成必须自动化，以创建防篡改证明而无需人工干预，并以在所有构建中提供一致证明的方式。
- 安全证据收集和存储： Xygeni 为证据的收集和存储方式提供安全保障。它从构建过程的每个角落小心翼翼地收集证据。它将收集到的证据存储在我们安全的存储基础设施中，保证证明的完整性。
- 精细验证控制： 我们的解决方案控制验证，验证过程单调进行。它提供了一组可配置的策略；可以在流程中包含或省略检查，根据个人需求对流程进行微调。
- 富有洞察力的实时威胁检测： Xygeni 提供的详尽报告功能不仅限于简单的通过/失败通知。我们的系统可在您的构建过程中提供可操作的见解，帮助您提前了解并修复潜在漏洞。
Xygeni 优势：您可以信赖的优势
通过杠杆化 Xygeni Build Security，您将获得诸多好处：
- 提高信任度和透明度： 构建证明可确保向所有利益相关者提供清晰的构建过程图，并且在此过程中增加信任和协作。
- 最大限度地降低错误和漏洞的风险： 自动生成和验证证明可将错误和漏洞风险降至最低，从而在整个构建过程中始终提供安全性 pipeline.
- 提高软件质量： 获得丰富的威胁情报和深刻见解，确保您能够提供更高质量、更安全的软件产品。
- 简化合规性： Xygeni 符合 NIST SP 800-204D 建议，简化了合规工作。
观看我们的视频演示
