استكشاف التحقق المستمر من الأمان

مكتمل

يستخدم المطورون الحديثون بشكل روتيني المكونات المتوفرة في مصادر الحزم العامة مثل npm و NuGet و PyPI و Maven Central و RubyGems. أصبحت هذه الممارسة قياسية في جميع أنحاء صناعة البرمجيات حيث تتبنى المؤسسات مكونات البرامج مفتوحة المصدر (OSS) لتسليم أسرع وإنتاجية أفضل.

السيف ذو الحدين لمكونات الطرف الثالث

فوائد مكونات الطرف الثالث:

• تطوير أسرع: لا يحتاج المطورون إلى إنشاء وظائف مشتركة من البداية.
• حلول مثبتة: تم اختبار الحزم الشائعة من قبل الآلاف من المستخدمين.
• دعم المجتمع: توفر المجتمعات النشطة الوثائق والتحديثات والمساعدة.
• توفير التكاليف: تقلل مكونات OSS المجانية من تكاليف التطوير بشكل كبير.
• تسريع الابتكار: يمكن للفرق التركيز على منطق الأعمال الفريد بدلا من إعادة اختراع الوظائف القياسية.

تزايد مخاطر الأمان والامتثال: ومع ذلك، مع زيادة الاعتماد على مكونات برمجيات المصدر المفتوح التابعة لجهات خارجية، تزداد المخاطر أيضا:

الثغرات الأمنية:

• قد تحتوي حزم الجهات الخارجية على ثغرات أمنية معروفة يمكن للمهاجمين استغلالها.
• يتم اكتشاف الثغرات الأمنية بشكل مستمر في الحزم الموجودة.
• تقدم التبعيات الانتقالية (تبعيات التبعيات الخاصة بك) ثغرات أمنية قد لا تكون على دراية بها.
• تستهدف هجمات سلسلة التوريد الحزم الشائعة لاختراق العديد من التطبيقات النهائية.

مشكلات امتثال الترخيص:

• يمكن أن تؤدي متطلبات الترخيص المخفية إلى إنشاء التزامات قانونية.
• تتطلب منك بعض تراخيص OSS فتح المصدر للتعليمات البرمجية الخاصة بك إذا كنت تستخدم مكوناتها.
• يمكن أن تؤدي انتهاكات الترخيص إلى دعاوى قضائية وعقوبات مالية وإصدارات قسرية للكود.
• قد تكون التراخيص المختلفة غير متوافقة مع بعضها البعض، مما يؤدي إلى تعارضات في الامتثال.

أهمية الأعمال: بالنسبة للأعمال التجارية ، هذه القضايا حاسمة. يمكن أن تتسبب المشكلات المتعلقة بالامتثال والمسؤوليات والبيانات الشخصية للعميل في حدوث مخاوف خطيرة تتعلق بالخصوصية والأمان:

• المسؤولية القانونية: انتهاكات الترخيص تعرض المنظمات لإجراءات قانونية.
• خروقات البيانات: يمكن أن تؤدي المكونات المعرضة للخطر إلى خروقات البيانات التي تؤثر على البيانات الشخصية للعملاء.
• الامتثال التنظيمي: يمكن أن تؤدي انتهاكات اللوائح مثل اللائحة العامة لحماية البيانات أو CCPA أو HIPAA إلى غرامات كبيرة.
• الضرر الذي يلحق بالسمعة: تضر الحوادث الأمنية وانتهاكات الترخيص بثقة العملاء وسمعة العلامة التجارية.
• عقود العملاء: غالبا ما يحتاج عملاء المؤسسات إلى ضمانات الأمان والتوافق التي تنتهك المكونات المعرضة للخطر.

قيمة الكشف المبكر

تحذير متقدم: يوفر تحديد مشكلات الأمان والتوافق في وقت مبكر من دورة الإصدار تحذيرا متقدما ووقتا كافيا لإصلاح المشكلات قبل وصولها إلى الإنتاج.

تكلفة المعالجة: تكون تكلفة تصحيح المشكلات أقل بشكل كبير كلما تم اكتشاف المشكلة في وقت مبكر من المشروع:

• أثناء التطوير: يكلف تغيير التبعية ساعات من وقت المطور.
• أثناء الاختبار: يتطلب إصلاح المشكلات إعادة اختبار التطبيق بأكمله.
• في الإنتاج: تتطلب المعالجة تصحيح الطوارئ والاستجابة للحوادث الأمنية وإشعارات العملاء والتقارير التنظيمية المحتملة.

الأثر الاقتصادي: تشير الدراسات إلى أن المشكلات الأمنية الموجودة في الإنتاج تكلف إصلاحها 10-100 مرة أكثر من تلك التي تم العثور عليها أثناء التطوير.

التحقق من أمان التكامل المستمر

بمجرد دمج التعليمات البرمجية في الفرع الرئيسي ، يجب تنفيذ التحقق من صحة الأمان الشامل كجزء من عملية إنشاء التكامل المستمر (CI).

CI build مقابل PR-CI build

طلب سحب CI (PR-CI): يتم تشغيله أثناء التحقق من صحة طلب السحب قبل دمج التعليمات البرمجية. يوفر ملاحظات سريعة لمنع التعليمات البرمجية الضعيفة من الدخول إلى قاعدة التعليمات البرمجية.

بناء CI الكامل: يتم تشغيله بعد دمج التعليمات البرمجية في الفرع الرئيسي. يتضمن فحوصات أكثر شمولا ويعد القطع الأثرية للنشر.

الاختلافات النموذجية: يتمثل الاختلاف الأساسي بين تصميمات CI PR-CI والكاملة في أن PR-CI لا يحتاج إلى تغليف أو عرض القطع الأثرية التي ينتجها بناء CI الكامل. هذا يحافظ على PR-CI بسرعة مع الحفاظ على التحقق من صحة الأمان.

يجب أن يتضمن كلاهما فحوصات أمنية: يجب أن يقوم كلا النوعين من الإصدارات بتشغيل عمليات التحقق من صحة الأمان الأساسية، ولكن قد تتضمن إصدارات CI الكاملة فحوصات إضافية تستغرق وقتا طويلا.

تحليل التعليمات البرمجية الثابتة في بنيات CI

قصد: يجب أن تقوم إصدارات CI بتشغيل اختبارات تحليل التعليمات البرمجية الثابتة للتأكد من أن التعليمات البرمجية تتبع جميع القواعد لكل من قابلية الصيانة والأمان.

أدوات التحليل الثابت الشائعة:

سونار كيوب:

• منصة شاملة لجودة التعليمات البرمجية والأمان.
• يكتشف الأخطاء وروائح التعليمات البرمجية والثغرات الأمنية.
• يتتبع مقاييس جودة التعليمات البرمجية بمرور الوقت.
• يدمج بوابات الجودة التي تفشل في البناء عند عدم استيفاء حدود الجودة.
• يدعم لغات برمجة متعددة.

تحليل التعليمات البرمجية Visual Studio ومحللات أمان Roslyn:

• تحليل مدمج لتطبيقات .NET.
• تكتشف محللات الأمان من Roslyn الثغرات الأمنية في التعليمات البرمجية C#‎.
• يتم تشغيله أثناء التجميع لتقديم ملاحظات فورية.
• لا توجد بنية تحتية إضافية مطلوبة لمشاريع .NET.

شيكماركس:

• أداة اختبار أمان التطبيقات الثابتة (SAST).
• تحليل أمني عميق للتعليمات البرمجية المصدر.
• يحدد الثغرات الأمنية مثل حقن SQL و XSS ومشكلات المصادقة.
• يوفر إرشادات معالجة مفصلة.
• يدعم العديد من لغات وأطر البرمجة.

بن سكيم:

• أداة التحليل الثابت الثنائي من Microsoft.
• يوفر نتائج الأمان والصحة للملفات التنفيذية المحمولة التي تعمل بنظام التشغيل Windows (ملفات PE).
• يحلل الثنائيات المجمعة بدلا من شفرة المصدر.
• يحدد مشكلات الأمان في إعدادات التحويل البرمجي والبنية الثنائية.
• مفيد لتحليل المكونات المجمعة من جهات خارجية.

أدوات إضافية:

• ESLint مع مكونات الأمان الإضافية: تحليل أمان JavaScript/TypeScript.
• قطاع الطرق: تحليل أمان بايثون.
• رجل الفرامل: الماسح الضوئي الأمني Ruby on Rails.
• جوسيك: اذهب مدقق الأمان.

تكامل Azure Pipelines: تتكامل العديد من أدوات الأمان بسلاسة في Azure Pipelines وأنظمة CI/CD الأخرى. يوفر Visual Studio Marketplace ملحقات لأدوات الأمان المختلفة ، مما يجعل التكامل مباشرا:

• تظهر الأدوات كمهام خط أنابيب يمكنك إضافتها إلى تعريف البنية الأساسية لبرنامج ربط العمليات التجارية.
• يتم عرض النتائج في سجلات المسارات ويمكن أن تفشل في عمليات الإنشاء عند اكتشاف المشكلات.
• تتكامل نتائج الأمان مع تعقب عنصر عمل Azure DevOps.

فحص الثغرات الأمنية للحزمة التابعة لجهات خارجية

حرجة ولكن غالبا ما يتم تجاهلها: بالإضافة إلى التحقق من جودة التعليمات البرمجية ، غالبا ما يتم تجاهل عمليتين حاسمتين أخريين أو يتم إجراؤهما بشكل غير كاف:

1. فحص حزم الجهات الخارجية بحثا عن الثغرات الأمنية المعروفة.
2. التحقق من امتثال ترخيص OSS.

الاستجابة التنظيمية المشتركة: عند سؤالها عن نقاط الضعف والتراخيص الخاصة بحزمة الجهات الخارجية ، تستجيب العديد من المؤسسات بالخوف أو عدم اليقين. ليس لديهم عمليات واضحة لإدارة هذه المخاطر.

مشاكل العملية اليدوية: غالبا ما توضح المؤسسات التي تحاول إدارة الثغرات الأمنية في حزم الجهات الخارجية أو تراخيص OSS أن عمليتها مملة ويدوية:

• يبحث المطورون يدويا في قواعد بيانات الثغرات الأمنية.
• تحتفظ فرق الأمان بجداول بيانات للحزم المعتمدة.
• تتطلب مراجعات الترخيص مشاركة الفريق القانوني لكل حزمة.
• يتم تعقب التحديثات يدويا، مما يؤدي إلى معلومات تبعية قديمة.
• تستغرق العملية أسابيع ، مما يؤدي إلى إبطاء التطور بشكل كبير.

الحلول الآلية: تعمل أدوات تحليل تكوين البرامج الحديثة (SCA) على أتمتة عملية تحديد الهوية هذه ، مما يجعلها فورية تقريبا:

Mend (WhiteSource سابقا):

• يكتشف تلقائيا جميع مكونات OSS في تطبيقاتك.
• يحدد الثغرات الأمنية المعروفة في التبعيات.
• يتحقق من امتثال الترخيص مقابل السياسات التنظيمية.
• يوفر إرشادات المعالجة بما في ذلك الإصدارات الثابتة المتاحة.
• يراقب باستمرار الثغرات الأمنية الجديدة في الحزم المستخدمة.

GitHub Dependabot:

• يفحص التبعيات تلقائيا بحثا عن الثغرات الأمنية المعروفة.
• إنشاء طلبات سحب لتحديث التبعيات المعرضة للخطر.
• يدعم العديد من النظم البيئية للحزم (npm ، Maven ، pip ، إلخ).
• مجاني لمستودعات GitHub العامة والخاصة.

سنيك:

• أداة أمان للمطور أولا للعثور على الثغرات الأمنية وإصلاحها.
• يفحص التبعيات وصور الحاوية والبنية الأساسية كتعليمات برمجية.
• يقدم نصائح المعالجة وطلبات السحب الآلي.
• يتكامل مع IDEs والتحكم في المصدر ومسارات CI/CD.

مصادر Azure Artifacts في الخادم:

• يمكن تكوينها لفحص الحزم من مصادر الخادم.
• يحظر الحزم التي تحتوي على ثغرات أمنية معروفة.
• يوفر رؤية لجميع الحزم المستخدمة عبر المؤسسة.

فوائد تحليل تكوين البرمجيات

رؤية شاملة: توفر أدوات SCA رؤية كاملة لسلسلة توريد البرامج الخاصة بك:

• جرد جميع التبعيات المباشرة والعابرة.
• تتبع الإصدارات وحالة التحديث.
• تحديد المكونات التي لم تعد قيد الصيانة.
• تعيين التبعيات لتطبيقات وفرق محددة.

تحديد أولويات المخاطر: ليست كل نقاط الضعف حرجة بنفس القدر. تساعد أدوات SCA في تحديد الأولويات:

• درجات الخطورة (تصنيفات CVSS) تشير إلى خطورة الثغرة الأمنية.
• تصنيفات قابلية الاستغلال توضح ما إذا كان من المعروف وجود الهجمات.
• تحليل إمكانية الوصول يحدد ما إذا كان التعليمات البرمجية الضعيفة مستخدمة بالفعل في تطبيقك.
• سياق العمل حول التطبيقات الأكثر أهمية.

المراقبة المستمرة: يتم اكتشاف الثغرات الأمنية باستمرار. توفر أدوات SCA مراقبة مستمرة:

• تنبيهات عند اكتشاف ثغرات أمنية جديدة في الحزم التي تستخدمها.
• تقارير منتظمة عن اتجاهات الوضع الأمني.
• التكامل مع أنظمة تتبع المشكلات لإدارة أعمال المعالجة.

وثائق الامتثال: تقوم أدوات هيئة الأوراق المالية والسلع بإنشاء تقارير الامتثال:

• التزامات الترخيص لجميع المكونات المستخدمة.
• متطلبات الإحالة التي يجب الوفاء بها.
• دليل على إجراء مراجعات أمنية.
• مسارات التدقيق للامتثال التنظيمي.

التكامل في مسار

يتكامل التحقق المستمر من صحة الأمان في مسار CI/CD الخاص بك كمهام تلقائية:

1. دمج الكود: تمت الموافقة على طلب السحب ودمج الكود في الفرع الرئيسي.
2. مشغلات بناء CI: يؤدي الدمج تلقائيا إلى تشغيل بناء CI الكامل.
3. عمليات تشغيل التحليل الثابت: تقوم أدوات SAST بتحليل التعليمات البرمجية المصدر بحثا عن الثغرات الأمنية.
4. فحص التبعية: تقوم أدوات SCA بفحص جميع التبعيات بحثا عن الثغرات الأمنية ومشكلات الترخيص.
5. بوابات الجودة: فشل الإنشاء إذا تجاوزت مشكلات الأمان الحدود المقبولة.
6. النتائج المتاحة: نتائج الأمان متاحة للمطورين وفرق الأمان.
7. إنشاء القطع الأثرية: في حالة اجتياز فحوصات الأمان، يتم إنشاء عناصر البناء للنشر.

في الوحدات النمطية اللاحقة، سنناقش دمج العديد من أدوات الأمان والتوافق المفيدة والشائعة الاستخدام في تكوين البنية الأساسية لخط الأنابيب المحدد.