目錄
簡介 Build Security ，詳見 SDLC
安全軟體開發生命週期（SDLC這體現了一種整體方法，將安全實踐和原則融入軟體創建和部署的各個階段。其中，建置階段尤為關鍵。在這個階段，原始程式碼被轉換為二進位程式碼，為執行做好準備。此階段對於將安全性嵌入軟體至關重要，包括嚴格的程式碼漏洞檢查、安全策略的執行，以及確保安全考量是基礎性的，而非事後補救。
的意義 Build Security 軟體開發
Build security 對於建立安全軟體、主動防禦潛在漏洞以及確保合規性至關重要。 standards. 開發過程的這一階段對程式碼的完整性和機密性構成最大風險。 任何疏忽都可能導致受感染軟體廣泛傳播，因此必須保障此階段的安全，以保護最終使用者並維護信任和合規性。此外，建置階段對於降低軟體供應鏈相關風險至關重要，因為任何環節的漏洞都可能造成廣泛的影響。強調 build security 為未來的創新奠定基礎，使組織能夠安全地改善其開發實踐。
強調現實世界的後果
穩健性的重要性 build security SolarWinds Orion 安全漏洞、Codecov Bash Uploader 安全漏洞、Event-Stream 事件、Equifax 資料外洩事件，以及 Ledger 攻擊等事件，都生動地說明了安全措施的重要性。這些案例鮮明地提醒我們，在建置階段疏忽安全會造成多麼深遠的影響，從助長供應鏈攻擊到大規模洩露敏感數據，無所不包。
帳簿攻擊
Ledger攻擊事件展現了對軟體供應鏈漏洞的複雜利用，是網路安全領域的重大事件。攻擊者透過針對Ledger前員工NPM帳戶的魚叉式網路釣魚攻擊，成功發布了Ledger軟體連接工具包的惡意版本。這次攻擊導致用戶硬體錢包損失至少600,000萬美元。與直接攻擊建構流程不同，此事件利用了使用者對第三方依賴項和軟體供應鏈的信任，凸顯了現代軟體開發面臨的複雜威脅。這次事件不僅暴露了保護軟體依賴項的重要性，也強調了嚴格的存取控制、憑證管理以及對第三方元件進行主動監控的必要性。 Ledger事件警告我們，忽略軟體供應鏈安全可能造成的嚴重後果，以及採取全面安全措施防範直接和間接攻擊的重要性。
SolarWinds Orion漏洞
近年來影響範圍最廣、手段最複雜的網路攻擊之一，便是SolarWinds Orion漏洞事件。攻擊者試圖利用SolarWinds軟體建置過程中的漏洞。他們在軟體更新過程中，透過建置系統植入惡意程式碼，並將其發送給了包括大型政府機構和企業在內的18,000家客戶。這次事件凸顯了此類針對供應鏈的攻擊可能造成的危害和影響範圍之廣。
Codecov Bash 上傳腳本洩露
Codecov 是一款用於測試程式碼覆蓋率的應用程序，但其安全漏洞已被攻破。攻擊者篡改了其 Bash 上傳腳本，並成功從數千個客戶端環境中竊取了資料。此次事件凸顯了建置工具的潛在風險，並證明必須確保建置腳本和工具的完整性。
事件流事件
在 Event-Stream 事件中，一個廣受歡迎的 NPM 套件遭到入侵。該包的原始維護者將控制權移交給了偽裝成積極維護者的攻擊者。隨後，攻擊者向該包中註入了惡意負載，該負載針對某個特定的加密貨幣平台。這是一個絕佳的案例研究，它展現了依賴項漏洞的風險狀況，以及公司在審查第三方包及其維護者時應採取的切實有效的措施。
Equifax 資料外洩事件
Equifax 資料外洩事件雖然並非嚴格意義上的建置階段漏洞，但由於未能及時更新本應更新且有漏洞的第三方函式庫（在本例中為 Apache Struts），導致情況急劇惡化。這次事件影響了高達 147 億人。從各方面來看，Equifax 資料外洩事件都是依賴管理方面的一個警示案例。
新興威脅 Build Security快照
在現代軟體開發的複雜網路中，建置階段至關重要，它負責將原始程式碼轉換為可執行軟體。此階段不僅涉及編譯，還關乎最終產品的安全性和完整性。因此，識別該階段面臨的常見威脅對於維護軟體的穩健性至關重要。 software supply chain security為了更深入了解這些威脅和全面的緩解策略，請考慮探索以下方面的詳細資訊： 建置階段的軟體供應鏈威脅.
- 通過傳遞 CI/CD Pipelines規避以下保障措施 CI/CD 流程允許攻擊者直接將惡意程式碼注入到建置流程中，繞過必要的安全性檢查。
- 原始碼控制後的程式碼修改： 在其之後對原始程式碼的修改 commit向原始碼控制系統提交的更改可能會引入未經授權的更改，從而破壞軟體完整性。
- 損害建置過程直接操縱建置過程可能會導致惡意程式碼的插入、建置來源的竄改，或完全破壞建置流程。
- 破壞工件儲存庫： 未經授權存取或篡改工件儲存庫可能會擾亂部署過程，並將受感染的軟體引入供應鏈。
中毒 Pipeline 執行（PPE）：更深層的威脅
中毒 Pipeline 執行（PPE）漏洞是指攻擊者透過篡改建置流程（例如更改建置腳本）來操縱建置流程時產生的漏洞。 CI/CD pipeline 可以直接配置（直接 PPE，或 D-PPE），也可以透過修改檔案進行設定。 pipeline 參考（間接 PPE，或 I-PPE）。此類攻擊會嚴重損害軟體的完整性，因此早期偵測和保護機制至關重要。
了解個人防護裝備的種類
- 直接個人防護裝備（D-PPE） 當攻擊者更改 CI 設定檔以在建置環境中執行惡意命令時，就會發生這種情況，從而繞過安全機制。 standard 安全協議。
- 間接個人防護裝備（I-PPE） 透過修改外部文件展開 pipeline 配置（例如腳本），使攻擊者能夠間接注入惡意程式碼。
實施有效 Build Security 措施
為了應對建構階段的這些威脅和漏洞，應正確使用框架並遵守 NIST 等權威機構概述的最佳實踐。以上所有內容都可以透過應用程式和合規性來改進。 NIST 的安全軟體開發框架 (SSDF)除了其他資源外，還可以透過以下方式改善您的姿勢。
Essential Build Security 最佳做法：
- 安全編碼： 在整個開發過程中貫徹最佳編碼安全實務。盡可能在建置過程的早期階段使用靜態程式碼分析工具來識別潛在漏洞。
- 軟體成分分析（SCA)： 整合 SCA 工具與你的 CI/CD pipeline 發現軟體中使用的存在已知漏洞的開源依賴項，並保持更新 軟體物料清單（SBOM).
- 安全建置環境： 使用最嚴格的存取控制措施，以限制未經授權的入口點進入建置伺服器和儲存庫。
- 持續監控工具 本質上，這將指向發現建置環境中發生的任何可疑活動。這些資訊將被驗證並安全地傳輸下去。 pipeline 透過數位簽名進行簽名。部署前必須建立各種驗證機制以確保工件的真實性。
的力量 Build Attestations
良好的最佳實踐，例如安全編碼和安全的建置環境，至關重要，但是… Xygeni Build Security 解決方案正是如此。我們的解決方案與您的工作流程集成，提供了一種全面的方法… build security 這其中包括證明權。
可以將建置證明視為一份簽名文檔，它確保建置的真實性和完整性。建構證明正是如此——它是一組經過加密簽署的元資料集合，記錄了建置過程的詳細資訊。這些證明就像是建造過程的守護者，並帶來以下許多好處。
- 提高透明度： 建置認證確保使用者能夠清楚地了解建置環境、工具、配置以及建置過程中使用的依賴項，從而增強信任。這種透明的環境有助於建立信任，並可能促進協作。
- 貫穿整個驗證過程 Pipeline: 認證確保在所有階段都有效 CI/CD pipeline從原始碼到最終構建產物，都可以驗證其真實性。它會檢查建置過程中是否發生了任何未經授權的變更。
- 更強大的監測和審計基礎： 證明文件中的詳細數據為開發生命週期中的持續安全分析奠定了基礎，使人們能夠主動檢測任何可能的漏洞並加以緩解。
Xygeni Build Security 槓桿證明
這是哪裡 Build Security 解決方案採用了以下概念： Build Attestations 在實現自動化方面又向前邁進了一步，而 Xygeni 則透過更廣泛的方法又向前邁出了一大步。
- 證明產生自動化： Xygeni 要求自動生成證明，以便在無需人工幹預的情況下創建防篡改證明，並以在所有構建中提供一致證明的方式生成證明。
- 安全收集和儲存證據： Xygeni 為證據的收集和儲存提供安全保障。它從建造過程的每個環節都細緻入微地收集證據，並將收集到的證據儲存在我們安全的儲存基礎設施中，從而確保證據的真實性和完整性。
- 細粒度驗證控制： 我們的解決方案控制驗證過程，該過程遵循單調遞增規律。它提供了一系列可配置的策略；可以在過程中包含或省略檢查，並根據需要進行微調。
- 深入的即時威脅偵測： Xygeni 全面的報告功能遠不止於簡單的通過/失敗通知。我們的系統能為您的建置流程提供可操作的洞察，幫助您提前發現並修復潛在漏洞。
Xygeni 的優點：值得信賴的好處
通過利用 Xygeni Build Security您將獲得諸多好處：
- 提高信任度和透明度： 建構認證確保所有利害關係人都能清楚了解建置流程，在此過程中，信任和協作也會增加。
- 最大限度降低出錯和漏洞風險： 自動化的認證產生和驗證將錯誤和漏洞風險降至人為可能最低的水平，從而在整個建置過程中始終如一地提供安全性。 pipeline.
- 提升軟體品質： 獲得更豐富的威脅情報和深入的洞察，以確保您能夠交付更高品質、更安全的軟體產品。
- 簡化合規性： Xygeni 與 NIST SP 800-204D 建議保持一致，簡化了合規工作。
準備了解更多？ 立即聯絡 Xygeni，了解我們的產品和服務 Build Security 此解決方案可以增強您的開發團隊的能力。
觀看我們的影片示範
