7 החוליות החלשות של ימינו Software שרשראות אספקה

דבר חשוב אחד הוא ההבדל בין SBOM ל-SCA ( Software (ניתוח הרכב). SBOM הוא המלאי, או רשימה של רכיבים. SCA מעריך האם מי מהרכיבים הללו פגיע, מיושן או מסוכן. יחד, הם נותנים לארגונים את התובנה הדרושה כדי לקבל החלטות מושכלות, להגיב מהר יותר לבעיות אבטחה ולחזק את ניהול הסיכונים הכולל.

מהירות הפיתוח המודרני, יחד עם הסתמכות רבה על קוד חיצוני וקוד קוד פתוח, יצרה פגיעויות חמורות. גורמי האיום מנצלים שבע חוליות תורפה עיקריות:

כאשר מפתחים נותנים עדיפות למהירות, הם משתמשים לעתים קרובות בספריות קוד פתוח גדולות ללא סקירת קוד מלאה. רכיב בודד עלול להכניס תלויות טרנזיטיביות נוספות. אם תנטרו רק את הרמה העליונה, אתם עלולים לפספס קוד זדוני המוזרק לתוך אותן תלויות טרנזיטיביות נסתרות.

דפוס זה הוא דבר שאנו ממשיכים לראות במערכות אקולוגיות של קוד פתוח. חבילה אחת שנפגעה יכולה לעבור דרך שרשראות תלות ולהגיע למיליוני הורדות לפני שמישהו שם לב. מתקפת שרשרת אספקה ​​​​של npm שנערכה לאחרונה, שכללה תוכנות זדוניות קריפטו, מדגישה בדיוק כיצד זה קורה בפועל.

שיטות עבודה מומלצות:

• סרוק את כל חבילות הקוד הפתוח ואת שרשראות התלות המלאות שלהן כדי לזהות פגיעויות, רכיבים מיושנים או תוכנות זדוניות נסתרות לפני שהן מגיעות לבסיס הקוד שלך.
• יש לנטר באופן רציף תלויות לאורך זמן, מכיוון שרכיבים בטוחים עלולים להפוך למסוכנים ככל שמופיעים CVEs חדשים או עדכונים זדוניים.
• השתמשו ברישומים מהימנים וודאו את שלמות החבילות כדי לוודא שהחבילות שהורדתם לא טופלו.
• החל מדיניות שמסמנת או חוסמת רישיונות מסוכנים כדי שלא יחליקו תנאי רישיון לא תואמים או ויראליים לבניות שלך.
• דחו את השימוש בחבילות שפורסמו לאחרונה עד שיעברו בדיקה, ובכך הפחיתו את הסיכוי למשיכת גרסאות שלא נבדקו או זדוניות לסביבה שלכם.

בעיות רישוי משפיעות כיום על הנדסה לא פחות מאשר על משפט. רישיונות ויראליים, כמו ה-GPL, יכולים לאלץ את האפליקציה שתתקבל להתפרסם תחת אותו רישיון, מה שעלול לגרום לחברה שלך לאבד את הקניין הרוחני (IP) שלה. ניטור מתמשך הוא הכרחי מכיוון שתנאי הרישיון יכולים להשתנות, אפילו עבור גרסאות ישנות יותר, שתאימו בעבר את הדרישות.

שיטות עבודה מומלצות:

• השתמשו בכלי אוטומטי לזיהוי רישיונות כדי לסמן רישיונות בסיכון גבוה או לא תואמים בשלב מוקדם של הפיתוח. הסבר מעמיק יותר מדוע זה חשוב מתואר כאן: התפקיד המכריע של זיהוי רישיונות באבטחת קוד פתוח .
• מעקב רציף אחר שינויים ברישיון כדי לזהות שינויים שעשויים להשפיע על תאימות או חשיפה לקניין רוחני.
• חסום או בדוק רכיבים עם רישיונות מגבילים או ויראליים לפני שהם נכנסים לבסיס הקוד.
• שמור/י רשימה ברורה של כל הרישיונות הנמצאים בשימוש כדי לפשט ביקורות והערכות סיכונים.

בעוד שהתקנות מחייבות שיתוף של SBOMs, רשימה ברמה גבוהה אינה מספיקה. נקודות נתונים מפורטות, כולל המחבר, התורמים, תדירות השחרור ומצב התחזוקה, נדרשות לצורך הפחתה ומניעה יעילים.

שיטות עבודה מומלצות:

• שפר את דוחות SBOM על ידי סריקה מחדש של רכיבים כדי להעשיר אותם בנתוני רישיון מעודכנים, סטטוס פגיעויות ומטא-נתונים קריטיים אחרים. דוגמה מפורטת כיצד לעשות זאת מתוארת כאן תחת אימות והעשרה של דוחות SBOM של CycloneDX .
• לאמת ולהעשיר SBOMs באמצעות כלים אוטומטיים כדי להבטיח שהמידע שלם, מדויק וניתן לפעולה.
• דרוש מספקים לספק עומק SBOM מלא, כולל תלויות טרנזיטיביות וכל המטא-דאטה הרלוונטי.
• עדכון ומעקב שוטפים אחר מלאי SBOM ככל שרכיבים מתפתחים או צצות פגיעויות חדשות.

כל ספק שאתם סומכים עליו הופך לחלק משרשרת האספקה ​​שלכם. אם הוא שולח רכיבים מיושנים או פגומים, אתם יורשים את הסיכון הזה. SBOMs מלאים, כולל תלויות חולפות, מאפשרים להבין את החשיפה שלכם במהירות במקום לרדוף אחרי ספקים במהלך תקרית. פוסט שפורסם לאחרונה בנושא ניהול פגיעויות תלות Supply Chain ​​של Software שלכם בוחן כיצד צוותים יכולים לחזק חלק זה של התהליך.

עקב האימוץ המהיר של בינה מלאכותית, צוותים עוקפים לעתים קרובות מגבלות רגילות, מה שהופך אותה לווקטור התקפה עיקרי. תוקפים מזריקים קוד זדוני למודלים של למידת מכונה, קבצי PICO או ספריות קוד פתוח. טיפוסקווטינג נפוץ בסביבות כמו Pytorch, שם משתמשים עלולים למשוך את הספרייה הלא נכונה, מה שעלול לספק תוכנות זדוניות ולהוביל לביצוע קוד מרחוק מלא במחשב של מהנדס.

סריקת קונטיינרים חייבת להתפתח מעבר להתמקדות רק בפגיעויות. אבטחה מודרנית חייבת גם לסרוק אחר תוכנות זדוניות, כורי קריפטו ואיומים מהירי פעולה שפורסמו בתמונות קונטיינרים זמינות לציבור. ניתוח שנערך לאחרונה של ערכת הכלים של NVIDIA Container Toolkit CVE-2024-0132 מראה עד כמה קל להתעלם מבעיות אלו.