إدارة التبعيات بأمان

تستورد التطبيقات الحديثة مئات الحزم التابعة لجهات خارجية. فكل تبعية — وتبعياتها الانتقالية — توسّع سطح الهجوم لديك. وقد تؤدي ثغرة في مكتبة شائعة (مثل Log4Shell في Log4j) إلى تعريض آلاف التطبيقات للخطر في الوقت نفسه.

تثبت ملفات القفل (package-lock.json وyarn.lock وPipfile.lock) كل تبعية على إصدار محدد، بما في ذلك التبعيات الانتقالية. أودع ملفات القفل في نظام التحكم في الإصدارات. فهذا يضمن عمليات بناء قابلة لإعادة الإنتاج ويمنع ترقيات الإصدارات غير المقصودة التي قد تُدخل ثغرات.

تفحص أدوات SCA أشجار التبعيات بمقارنتها بقواعد بيانات CVE لتحديد الحزم الضعيفة. وتكتشف OWASP Dependency-Check وSnyk وGitHub Dependabot الثغرات المعروفة تلقائيًا، وتقترح إصدارات مصححة مع إرشادات المعالجة.

ينشئ Dependabot وRenovate Bot طلبات سحب تلقائيًا عند توفر إصدارات جديدة غير كاسرة للتوافق. ويعطيان الأولوية للتحديثات الأمنية. اضبط الدمج التلقائي لتحديثات التصحيح التي تنجح معها CI، للحفاظ على حداثة التبعيات بأقل جهد يدوي.

قبل إضافة تبعية: تحقّقوا من عدد التنزيلات، ونشاط الإيداعات الحديثة، وعدد المشكلات المفتوحة، وتوافق الترخيص، وسجل CVE المعروف. فضّلوا الحزم التي تتم صيانتها جيدًا وتملك عمليات استجابة أمنية نشطة على البدائل غير المُصانة.

تجلب تبعياتكم المباشرة تبعياتها الخاصة. في حادثة event-stream، تمكّن المهاجمون من السيطرة على تبعية متعدية كانت تستخدمها ملايين الحزم. دقّقوا في شجرة التبعيات كاملةً، وليس التبعيات المباشرة فقط.

تتضمن هجمات التبعية المربكة نشر حزم ضارة في مستودعات عامة تحمل الاسم نفسه لحزم داخلية. خفّفوا المخاطر باستخدام أسماء حزم ذات نطاقات، ومصادقة المستودع الخاص، وإضافة المستودعات المعتمدة إلى قائمة السماح في .npmrc أو pip.conf.

قائمة مكونات البرمجيات (SBOM) هي جرد قابل للقراءة آليًا لجميع مكونات برمجياتكم. أنشئوا SBOM باستخدام Syft أو CycloneDX. تتيح SBOM إجراء تقييم سريع لتأثير الثغرات عند نشر CVE جديدة — إذ يمكن تحديد الإصدارات المتأثرة خلال دقائق.

تفرض تراخيص OSS التزامات معينة. قد يتطلب GPL الكشف عن الشيفرة المصدرية. أما MIT وApache 2.0 فهما ترخيصان متساهلان. يساعد FOSSA وTLDR-Legal في تقييم توافق التراخيص. أدرجوا فحص التراخيص ضمن CI لمنع تسرّب GPL غير المقصود إلى المنتجات التجارية.

يستخدم تكامل الموارد الفرعية (SRI) للبرامج النصية المستضافة على CDN تجزئة تشفيرية في السمة integrity. يتضمن npm package.json حقلًا باسم integrity. تحقّقوا من المجاميع الاختبارية عند تنزيل الحزم في CI لاكتشاف العبث بسلسلة التوريد.

طبّقوا تصحيحات الأمان خلال 24-48 ساعة من نشر CVE للثغرات الحرجة. استخدموا درجات CVSS وبيانات قابلية الاستغلال لتحديد الأولويات. فالتبعية المصححة التي تُدخل تغييرًا غير متوافق أفضل من ثغرة قابلة للاستغلال في بيئة الإنتاج.

ما هجوم التبعية المربكة؟

تتطلب الإدارة الآمنة للتبعيات تثبيت الإصدارات في ملفات القفل، وتشغيل فحص SCA في CI/CD، وأتمتة تحديثات التصحيحات، وإنشاء SBOM لتقييم التأثير، وتقييم الوضع الأمني للتبعيات الجديدة قبل اعتمادها.