קוד המקור מהווה את אבני הבניין הבסיסיות של כל יישום או מוצר תוכנה. זהו עמוד השדרה של כל ארגון המתמקד בטכנולוגיה. קוד המקור מכיל מידע קנייני על הקניין הרוחני של החברה שלך ומגן על הנתונים ששומרים על פעילות החברה שלך.
שילוב רכיבי קוד פתוח של צד שלישי מאפשר לצוותי תוכנה להשתמש בקלות בקוד שכבר זמין, מבלי שיהיה צורך לפתח מאפס. למרבה הצער, החיסרון של נוחות כזו כרוך בסיכונים המכוונים לספקי צד שלישי, וגורמים להתקפות בשרשרת האספקה. במהלך מתקפת שרשרת אספקה, פושעי סייבר יכולים להחדיר תוכנות זדוניות לקוד של צד שלישי או לבנות מערכות, ובכך להעביר תוכנות זדוניות לארגון וללקוחות הקשורים אליו.
בבלוג זה אדגים כיצד למנוע תוכנות זדוניות בקוד המקור באמצעות MetaDefender תוסף ג'נקינס.
Secure באמצעות MetaDefender ל-Jenkins
התוסף MetaDefender עבור Jenkins סורק את גרסאות Jenkins לאיתור תוכנות זדוניות ובודק את קוד המקור והארטיפקטים שלך לאיתור איומים. תוכנות זדוניות מתקדמות יכולות לעקוף בקלות מנוע אנטי-וירוס (AV) יחיד, ולסכן את קוד המקור. תוצאה חיובית כוזבת בזיהוי תוכנות זדוניות היא גם תופעת לוואי נפוצה ברוב פתרונות ה-AV המובילה לבזבוז מאמצי תיקון, זמן ומשאבים. MetaDefender עבור Jenkins משתמשת Metascan - טכנולוגיית סריקה מרובת-תוכנות - כדי להגדיל את שיעורי הגילוי ולהקצר את זמני גילוי ההתפרצויות עבור בניית התוכנה שלך.
הנה שני תרחישים המראים כיצד תוכנות זדוניות יכולות לחדור: לקוד המקור ובמהלך תהליך הבנייה.
תרחיש 1: תוכנה זדונית בקוד המקור
קוד המקור במקרה זה יכול להיות קוד המקור שלך (ממכונה פרוצה של מפתח) או מספרייה של צד שלישי. בתרחיש הראשון, רציתי לבדוק מאגר ספרייה של צד שלישי ב-GitHub. כדי לוודא שהמאגר נקי מאיומים, הוספתי שלב בנייה לסריקה עם ה- MetaDefender תוסף עבור ג'נקינס.
רציתי גם שהבנייה תחזור כ"נכשלה" אם יהיו איומים בקוד המקור.
לאחר ניסיון להריץ את הבנייה, התוצאה סומנה כ"נכשלה" עקב הקבצים הנגועים שנתפסו על ידי MetaDefender תוסף ג'נקינס.
תרחיש 2: תוכנה זדונית שהוכנסה בתהליך הבנייה
אם אתם חושבים שסריקת המאגר שלכם מספיקה כדי להגן על קוד המקור שלכם, ייתכן שזה לא תמיד נכון. תוכנות זדוניות מסוימות אינן קיימות במאגר קוד המקור המקורי אך יכולות להיכנס אליה בעת הורדת רכיבים כגון תלויות או ספריות. בסרטון השני הזה, הדגמתי דוגמה לתרחיש השני וכיצד למנוע זאת באמצעות... MetaDefender תוסף ג'נקינס.
כפי שאתם רואים, לא נמצאו בעיות לאחר שסרקתי את קוד המקור בהפעלה הראשונה.
לאחר מכן, הוספתי שלב בנייה חדש לתהליך באמצעות קובץ build.bat והתחלתי את הבנייה מחדש.
למטרות הדגמה, השתמשתי ב-npm כדי להוריד חבילת בדיקה של EICAR כדי לדמות את פעולת התקנת תוכנה זדונית בתרחיש אמיתי. במקרה זה, למרות שלא היו איומים בקוד המקור המקורי, חבילת npm הזדונית הופיעה בסקריפט במהלך הבנייה. MetaDefender תוסף Jenkins זיהה את האיום, וסימן את הבנייה ככושלת.
תוצאות הסריקה המפורטות מוצגות ב MetaDefender Core .
אוֹדוֹת OPSWAT MetaDefender עבור ג'נקינס
OPSWAT MetaDefender Jenkins בודק את ה-builds שלכם לאיתור תוכנות זדוניות ומידע סודי לפני שחרור היישום לציבור. הפתרון מתבסס על מלוא היכולות של MetaDefender — כולל יותר מ-30 מנועי אנטי-וירוס מובילים, טכנולוגיית Deep CDR™, ו Proactive DLP— MetaDefender ל-Jenkins יסרוק ביסודיות את קוד המקור ואת הארטפקטים שלכם לאיתור איומים כלשהם. תקבלו התראות על בעיות פוטנציאליות באמצעות מנגנוני אבטחה מובנים המסייעים למנוע התפרצויות של תוכנות זדוניות ודליפת נתונים רגישים. למדו עוד על MetaDefender ועל כליםOPSWAT נוספים OPSWAT .
למידע נוסף, אנא צרו קשר עם מומחי אבטחת הסייבר שלנו .
