സുരക്ഷ പൈപ്പ്‌ലൈനിൽ തന്നെ, അതിനു ശേഷമല്ല

വളരെക്കാലം, സുരക്ഷാ സംവിധാനം ഇങ്ങനെ പ്രവർത്തിച്ചു: ടീം മാസങ്ങളോളം എന്തെങ്കിലും നിർമ്മിക്കുന്നു, പിന്നെ സുരക്ഷാ അവലോകനമോ നുഴഞ്ഞുകയറ്റ പരിശോധനയോ ലോഞ്ച് ചെയ്യുന്നതിന് തൊട്ടുമുമ്പ് നടക്കുന്നു, പ്രശ്നങ്ങളുടെ ഒരു ലിസ്റ്റ് കണ്ടെത്തുന്നു, എല്ലാവരും പരിഭ്രാന്തരാകുന്നു. അവസാനം കാര്യങ്ങൾ ശരിയാക്കുന്നത് വളരെ വേഗത കുറഞ്ഞതും ചെലവേറിയതും സമ്മർദ്ദകരവുമാണ്.

"ഇടത്തേക്ക് മാറുക" എന്നതിനർത്ഥം സുരക്ഷാ പരിശോധനകൾ നേരത്തെ ഡെവലപ്പറുടെ വർക്ക്ഫ്ലോയിലേക്കും ഐസി പൈപ്പ്ലൈനിലേക്കും മാറ്റുക എന്നാണ്. പ്രശ്നങ്ങൾ കണ്ടുപിടിക്കപ്പെടുന്നത് അവ അവതരിപ്പിച്ചതിന് ശേഷം മിനിറ്റുകൾക്കകം, അവ പരിഹരിക്കാന് ഏറ്റവും വിലകുറഞ്ഞ സമയത്ത്. അതാണു ഡെവ് സെക്കോപ്സിന്റെ ഹൃദയം.

സ്കാനര് തരം, ലളിതമായി

സുരക്ഷാ സ്കാനിങ്ങിന്റെ ഒരു അക്ഷരമാല സൂപ്പ് ഉണ്ട്. ഓരോരുത്തരും ചെയ്യുന്നതെന്തെന്ന് ഇതാ:

• SAST (സ്റ്റാറ്റിക് ആപ്ലിക്കേഷൻ സെക്യൂരിറ്റി ടെസ്റ്റിംഗ്): നിങ്ങളുടെ സോഴ്സ് കോഡ് വായിക്കുന്നു, സുരക്ഷിതമല്ലാത്ത പാറ്റേണുകൾക്കായി തിരയുന്നു. എസ്. ക്യു. എൽ. ഇഞ്ചക്ഷൻ, ഹാർഡ് കോഡ് ചെയ്ത രഹസ്യങ്ങൾ, സുരക്ഷിതമല്ലാത്ത പ്രവർത്തനങ്ങൾ.
• SCA (സോഫ്റ്റ് വെയര് ഘടന വിശകലനം): നിങ്ങളുടെ ആശ്രിതത്വങ്ങൾ അറിയപ്പെടുന്ന ദുർബലതകളും ലൈസൻസ് പ്രശ്നങ്ങളും പരിശോധിക്കുന്നു.
• രഹസ്യ സ്കാനിംഗ്: കോഡിലും ചരിത്രത്തിലും പാസ്വേഡുകൾ, API കീകൾ, ടോക്കണുകൾ എന്നിവ തിരയുന്നു.
• IaC സ്കാനിംഗ്: തെറ്റ് ക്രമീകരണത്തിനായി ടെറാഫോം, കുബർനെറ്റസ് മാനിഫെസ്റ്റുകൾ, ഹെൽം ചാർട്ടുകൾ, ഡോക്കർ ഫയലുകൾ എന്നിവ പരിശോധിക്കുന്നു.
• കണ്ടെയ്നർ ഇമേജ് സ്കാനിംഗ്: നിങ്ങളുടെ ചിത്രങ്ങളിലെ ദുർബലമായ പാക്കേജുകൾ കണ്ടെത്തുന്നു.
• DAST (ഡൈനാമിക് ആപ്ലിക്കേഷൻ സെക്യൂരിറ്റി ടെസ്റ്റിംഗ്): ഒരു (നല്ല) ഹാക്കർ ചെയ്യുന്നതുപോലെ പുറത്തുനിന്നുള്ള ഒരു ആപ്ലിക്കേഷനെ ആക്രമിക്കുന്നു.

ഞാന് ഉപയോഗിക്കുന്ന ഉപകരണങ്ങള്

തുടങ്ങാന് വിലയേറിയ ഉപകരണങ്ങള് ആവശ്യമില്ല. മികച്ച ഓപ്പൺ സോഴ്സ് ഓപ്ഷനുകൾ:

തരം	ഓപ്പൺ സോഴ്സ് ഉപകരണങ്ങൾ	കുറിപ്പുകൾ
സാന്റ്	സെംഗ്രെപ്, കോഡ് ക്യു എൽ	ഗിറ്റ്ഹബ്ബിലെ പൊതു റിപ്പോകൾക്കായി കോഡ് ക്യുഎൽ സൌജന്യമാണ്
എസ് സി എ	ട്രിവീ, ഗ്രൈപ്പ്, ഒഎസ്വി സ്കാനർ, ഡെപൻഡാബോട്ട്	ഡിപൻഡാബോട്ട് ഗിറ്റ്ഹബിൽ നിർമ്മിച്ചതാണ്
രഹസ്യങ്ങൾ	ഗിറ്റ്ലീക്ക്, ട്രഫിൾഹോഗ്, ഗിറ്റ്ഹബ് പുഷ് പരിരക്ഷണം	ഒരു തവണ ചരിത്രം സ്കാൻ ചെയ്യുക, പിന്നെ ഓരോ പ്രേരണയും
ഐ. എ. സി	ചെക്കോവ്, ട്രിവി, കിസ്	ട്രിവിയ് ഒരു ഉപകരണത്തില് ചിത്രങ്ങള് , ഡിപ്സ്, ഐഎസി എന്നിവ ഉൾക്കൊള്ളുന്നു
ചിത്രങ്ങൾ	ട്രിവീ, ഗ്രൈപ്പ്	CI യിലും റെജിസ്റ്ററില് തുടര് ച്ചയായി സ്കാൻ ചെയ്യുക
ഡാസ്റ്റ്	ഒ. എ. എ. എസ്. പി. സാപ്	സ്റ്റേജിംഗ് അല്ലെങ്കിൽ പ്രിവ്യൂ പരിതസ്ഥിതികളുമായി പ്രവർത്തിപ്പിക്കുക

വാണിജ്യ പ്ലാറ്റ്ഫോമുകൾ (സ്നൈക്ക്, ഗിറ്റ്ഹബ് അഡ്വാൻസ്ഡ് സെക്യൂരിറ്റി, ഗിട്ലാബ് അൾട്ടിമേറ്റ്, വിസ്, ഐക്കിഡോ തുടങ്ങിയവ) ഡാഷ്ബോർഡുകൾ, മുൻഗണനകൾ, പരിഹാര നിർദ്ദേശങ്ങൾ എന്നിവയുമായി ഇവയെ കൂട്ടിച്ചേർക്കുന്നു.

സുരക്ഷാ സംവിധാനങ്ങളുള്ള ഒരു പൈപ്പ് ലൈൻ

ഒരു യുക്തിസഹമായ ലേഔട്ട്:

1. മുൻകൂർ പ്രതിജ്ഞാബദ്ധത രഹസ്യ സ്കാനിംഗ്, വേഗത്തിലുള്ള ലീനിംഗ്. അത് നിർബന്ധിക്കപ്പെടുന്നതിനു മുമ്പേ തന്നെ വ്യക്തമായ കാര്യം മനസിലാക്കുക.
2. പിൻവലിക്കൽ അഭ്യർത്ഥന: SAST, SCA, IaC സ്കാനിംഗ്, ഫലങ്ങൾ PR- യുടെ അഭിപ്രായങ്ങളുമായി.
3. നിർമ്മിക്കുക: ഇമേജ് സ്കാനിംഗ്, എസ്. ബി. ഒ. എം. ജനറേഷൻ, ഒപ്പ്.
4. പ്രിവ്യൂ / പ്രിവ്യൂ: DAST പ്രവർത്തിക്കുന്ന ആപ്ലിക്കേഷനെതിരെ.
5. തുടർച്ചയായി: പുതുതായി കണ്ടെത്തിയ ദുർബലതകൾക്കായി വീണ്ടും സ്കാൻ ചെയ്ത ചിത്രങ്ങളും SBOM കളും ഉല്പാദിപ്പിക്കുന്നു.

ട്രിവിയെ മാത്രം പരിഗണിച്ച് ഒരു അത്ഭുതകരമായ തുക കവർ ചെയ്യുന്നു:

trivy fs --scanners vuln,secret,misconfig .
trivy image --severity HIGH,CRITICAL --ignore-unfixed registry.example.com/shop-api:1.4.2

സുരക്ഷാ കണ്ടെത്തലുകൾ ബഗ് പോലെയാണ്. എത്രയും വേഗം കണ്ടുപിടിച്ചാലും വില കുറയും, ആരും പേടിക്കാതിരിക്കുകയും ചെയ്യും.

തെറ്റായ അലാറം കൈകാര്യം ചെയ്യൽ

ഇവിടെയാണ് മിക്ക ഡെവ് സെക്കോപ് ശ്രമങ്ങളും പരാജയപ്പെടുന്നത്. സ്ഥിരസ്ഥിതി ക്രമീകരണങ്ങളുള്ള അഞ്ച് സ്കാനറുകൾ ഓണാക്കിയാൽ ഡവലപ്പർമാർ നൂറുകണക്കിന് കണ്ടെത്തലുകളിൽ മുങ്ങിമരിക്കും. അവയില് പലതും അപകടസാധ്യത കുറഞ്ഞവയും, എത്താന് കഴിയാത്തവയും, തെറ്റായ പോസിറ്റീവുകളുമാണ്. ഒരാഴ്ച കഴിഞ്ഞാല് , എല്ലാവരും അവഗണിക്കും.

സഹായിക്കുന്നവ

• ഉയർന്നതും നിർണായകവുമായ കണ്ടെത്തലുകളില് നിന്ന് മാത്രം തുടങ്ങുക. പിന്നീട് വിശാലമാക്കുക.
• പരിഹരിക്കാനാവാത്ത ദുർബലതകളെ അവഗണിക്കുക ഇപ്പൊ (ഇതുവരെ ഒരു പാച്ച് ഇല്ല), പക്ഷെ അവരെ ട്രാക്ക് ചെയ്യുക.
• ഉപയോഗം ലഭ്യമാക്കുക ഉപകരണങ്ങൾ പിന്തുണയ്ക്കുന്നിടത്ത്: ദുർബലമായ ഫംഗ്ഷൻ യഥാർത്ഥത്തിൽ വിളിക്കപ്പെടുന്നുണ്ടോ?
• ട്യൂൺ നിയമങ്ങൾ തെറ്റായ പോസിറ്റീവുകളെ ഒരു രേഖാമൂലമുള്ള കാരണത്താൽ അടിച്ചമർത്തുകയും ചെയ്യുന്നു. .trivyignore അല്ലെങ്കിൽ ഇൻലൈൻ അഭിപ്രായങ്ങൾ).
• പിൻ അഭ്യർത്ഥനകളിൽ പുതിയ കണ്ടെത്തലുകൾ മാത്രം കാണിക്കുക, മുഴുവൻ ബാക്കപ്പും അല്ല. ബാക്കപ്പ് വേറിട്ട് ശരിയാക്കുക.
• ഫലങ്ങള് ക്കുള്ള ഒരു സ്ഥലം: ഗിറ്റ്ഹബ് കോഡ് സ്കാനിംഗ്, ഗിറ്റ്ലാബിന്റെ സുരക്ഷാ ഡാഷ്ബോർഡ്, അല്ലെങ്കിൽ ഡീഫക്ട്ഡോജോ, അഞ്ച് വ്യത്യസ്ത റിപ്പോർട്ടുകൾക്ക് പകരം.

തടയണോ അതോ റിപ്പോർട്ട് ചെയ്യണോ?

സുരക്ഷാ കണ്ടെത്തലുകൾ പൈപ്പ് ലൈനില് പരാജയപ്പെടുമോ?

എന്റെ സമീപനം:

• ബ്ലോക്ക് ചെയ്യുക വ്യക്തമായി വ്യക്തമാക്കിയതും പരിഹരിക്കാവുന്നതുമായ കാര്യങ്ങളെ കുറിച്ചാണ്. രഹസ്യങ്ങൾ, പരിഹാരം ലഭ്യമായ ഗുരുതരമായ ദോഷകൃത്യങ്ങൾ, പൊതു ബക്കറ്റുകൾ, പ്രത്യേക അവകാശങ്ങൾ ഉള്ള കണ്ടെയ്നറുകൾ തുടങ്ങിയ ഗുരുതര തെറ്റായ ക്രമീകരണങ്ങൾ.
• റിപ്പോർട്ട് മറ്റെല്ലാം, ദൃശ്യപരതയും, പരിഹരിക്കാനുള്ള സമയപരിധിയും.
• റിപ്പോർട്ട് മാത്രം മോഡിൽ ആരംഭിക്കുക പുതിയ സ്കാനറുകള് ക്ക്, അവയെ ട്യൂൺ ചെയ്യുക, പിന്നെ ഏറ്റവും പ്രധാനപ്പെട്ട നിയമങ്ങള് ക്ക് ബ്ലോക്കിംഗിലേക്ക് മാറുക.

ഒരു കാരണവും കാലഹരണ തീയതിയും നൽകി ഒരു റിസ്ക് താല്ക്കാലികമായി സ്വീകരിക്കാനുള്ള ഒരു മാർഗ്ഗം ഡെവലപ്പർമാരെ നൽകുക. രക്ഷപ്പെടാനില്ലാത്ത ഒരു ഹാർഡ് ബ്ലോക്ക് സ്കാനർ പ്രവർത്തനരഹിതമാക്കുന്നതിലേക്ക് നയിക്കും.

അത് ഒരു ടീം ശീലമാക്കൂ

ഉപകരണങ്ങള് പകുതി കഥയാണ്. മറ്റേ പകുതി:

• സുരക്ഷാ ചാമ്പ്യന്മാർ ഓരോ ടീമിലും കുറച്ചുകൂടി ശ്രദ്ധിക്കുകയും മറ്റുള്ളവരെ സഹായിക്കുകയും ചെയ്യുന്നവരാണുള്ളത്.
• പരിഹാര നിർദ്ദേശങ്ങൾ ഈ ആപ്ലിക്കേഷന് ഒരു പിൾ അഭ്യർത്ഥനയിൽ ഉണ്ടാകും, അങ്ങനെ ഡെവലപ്പര് മാര് ക്ക് അറിയും എന്താണ് ചെയ്യേണ്ടതെന്ന്.
• പരിഹാരങ്ങൾ ആഘോഷിക്കുക, വെറും കണക്കുകൂട്ടലല്ല.

എവിടെ നിന്നാണ് ഞാൻ തുടങ്ങേണ്ടത്?

പുഷ് പരിരക്ഷയുള്ള രഹസ്യ സ്കാനിംഗ്, ആശ്രിതത്വങ്ങൾക്കും ചിത്രങ്ങൾക്കും ട്രിവി, കോഡിനായി സെംഗ്രെപ് അല്ലെങ്കിൽ കോഡ് ക്യുഎൽ എന്നിവ ചേർക്കുക. ആദ്യം ഉയർന്നതും നിർണായകവുമായ പ്രശ്നങ്ങൾ മാത്രം റിപ്പോർട്ട് ചെയ്യുക. ശബ്ദം നിയന്ത്രണവിധേയമായാല് , ഏറ്റവും പ്രധാനപ്പെട്ടവയെ തടയുക.

എന്റെ അഭിപ്രായം: സുരക്ഷ ഏറ്റവും നന്നായി പ്രവർത്തിക്കുന്നത് അത് ഒരു പരിശോധനയുടെ ഭാഗമായിരിക്കുമ്പോഴാണ്, പരാജയപ്പെട്ട ഒരു പരിശോധന പോലെ സാധാരണവും, പരിഹരിക്കാൻ അത്രയും വേഗവുമാണ്.

ഡെസ്ലി