Cyber Security Academy · درس

تحليل تكوين البرمجيات (SCA)

افحص التبعيات بحثًا عن CVEs معروفة باستخدام OWASP Dependency-Check أوSnyk أوGitHub Dependabot

تحليل تكوين البرمجيات (SCA) درس مجاني في Cyber Security Academy على CoddyKit. هذا هو الدرس 2 من أصل 4. يمكنك قراءة الدرس كاملاً أدناه مجاناً — ثم تمرن عليه مباشرة في المتصفح باستخدام محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7. هذا الدرس جزء من مسار التعلم في Cyber Security Academy، وتقدمك يتزامن عبر الويب وتطبيق CoddyKit. تتضمن دورة Cyber Security Academy 4 دروس في المجموع.

ما المقصود بـ SCA؟

يحدد تحليل مكونات البرمجيات (SCA) التبعيات مفتوحة المصدر في مشروعك، ويفحصها مقابل قواعد بيانات الثغرات (NVD وCVE وGitHub Advisory). كما يكتشف مشكلات الامتثال للتراخيص.

لماذا تشكّل التبعيات التابعة لجهات خارجية خطرًا؟

تستخدم التطبيقات الحديثة مئات المكتبات مفتوحة المصدر. ويمكن لمكتبة واحدة تحتوي على ثغرة أن تعرّض التطبيق بأكمله للخطر. أثّرت ثغرة Log4Shell لعام 2021 (CVE-2021-44228) في ملايين تطبيقات Java بسبب مكتبة تسجيل واحدة واسعة الاستخدام.

أدوات SCA

أدوات SCA الشائعة:

# npm audit (Node.js):
npm audit
npm audit fix

# pip-audit (Python):
pip-audit

# OWASP Dependency-Check:
dependency-check.sh --project myapp --scan ./

# Snyk:
snyk test
snyk monitor

Dependabot وRenovate

أدوات تحديث التبعيات تلقائيًا:

Dependabot (GitHub) — يفتح تلقائيًا طلبات سحب لتحديث التبعيات التي تحتوي على ثغرات
Renovate — أكثر قابلية للتهيئة ويدعم المزيد من السجلات

فعّل هذه الأدوات في كل مستودع — فهي تقلل العبء اليدوي لتتبع تحديثات التبعيات.

فهم خطورة CVE

ليست كل ثغرة في تبعية قابلة للاستغلال في سياقك. قيّم ما يلي:

هل يمكن الوصول إلى مسار الشيفرة المتأثر في طريقة استخدامك؟
هل يتيح تطبيقك الوظيفة المعنية؟
هل يخفف WAF أو أي عنصر تحكم آخر من أثرها؟

تُعد درجة CVSS نقطة بداية، لكن السياق هو الذي يحدد مستوى الخطورة الفعلي.

التبعيات غير المباشرة

للتبعيات المباشرة تبعياتها الخاصة (التبعيات غير المباشرة). وقد تؤثر فيك ثغرة في مكتبة لم تسمع بها من قبل. ترسم أدوات SCA خريطة شجرة التبعيات بالكامل. شغّل npm ls أو pip show -r requirements.txt لفحص الشجرة.

npm ls --all | grep "vulnerable-pkg"
pip show requests | grep Requires

قائمة مكونات البرمجيات (SBOM)

إن SBOM جرد رسمي لجميع المكونات الموجودة في منتج برمجي. ويفرض الأمر التنفيذي 14028 (في الولايات المتحدة) توفير قوائم SBOM للبرمجيات المباعة إلى الحكومة الأمريكية. ومن تنسيقاتها: SPDX وCycloneDX.

# Generate SBOM with syft:
syft . -o cyclonedx-json > sbom.json
# Scan SBOM for vulnerabilities:
grype sbom:./sbom.json

الامتثال للتراخيص

يفحص SCA التراخيص أيضًا. وقد تتطلب التبعيات المرخصة بموجب GPL في البرمجيات التجارية إتاحة شيفرتك المصدرية. وتُعد LGPL وMIT وApache 2.0 تراخيص متساهلة عمومًا. تحتاج الفرق القانونية إلى معرفة تراخيص التبعيات، ويوفر SCA هذه المعلومات تلقائيًا.

هجمات سلسلة توريد البرمجيات

يحقن المهاجمون شيفرة خبيثة في الحزم مفتوحة المصدر الشائعة:

الاستيلاء على أسماء الحزم المتشابهة: reqeusts بدلًا من requests
اختراق حسابات مسؤولي الصيانة (على نمط SolarWinds)
التبعية المربكة: تسرب أسماء الحزم الخاصة إلى سجل عام

يقلل SCA مع التحقق من السلامة (المجاميع الاختبارية وملفات القفل) من هذا الخطر.

ملفات القفل

تثبت ملفات القفل (package-lock.json وPipfile.lock) الإصدارات الدقيقة وتتحقق من المجاميع الاختبارية. أودع ملفات القفل في نظام التحكم بالمصدر. لا تستخدم npm install --legacy-peer-deps مطلقًا لتجاوز فحوصات ملفات القفل في عمليات إنشاء إصدارات الإنتاج.

SCA في مسار CI/CD

ادمج SCA بوصفه بوابة إلزامية في CI:

# GitHub Actions example:
- name: Run npm audit
  run: npm audit --audit-level=high
# Fail build on HIGH/CRITICAL findings
# Use --audit-level=moderate for stricter posture

تحقق سريع: SCA

ما الغرض الأساسي من تحليل مكونات البرمجيات (SCA)؟

مراجعة الدرس

يفحص SCA تبعيات المشروع بحثًا عن CVEs معروفة، ومشكلات التراخيص، ومخاطر سلسلة التوريد. وتكمن أهميته خصوصًا في التبعيات غير المباشرة، إذ إن وجود ثغرة في مكتبة تعتمد عليها مكتبة أخرى لا يزال يؤثر فيك. فعّل Dependabot أو Renovate لإجراء التحديثات تلقائيًا. أنشئ قوائم SBOM (بصيغة SPDX أو CycloneDX) لتحقيق رؤية واضحة لسلسلة التوريد. تثبت ملفات القفل الإصدارات وتتحقق من المجاميع الاختبارية. ادمج SCA بوصفه بوابة في CI مع تحديد عتبات لمستويات الخطورة.

الأسئلة الشائعة

هل درس «تحليل تكوين البرمجيات (SCA)» مجاني؟

نعم — نص درس «تحليل تكوين البرمجيات (SCA)» كامل متاح مجاناً هنا على الويب. لتمرينه بشكل تفاعلي (محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7) وفتح باقي دورة Cyber Security Academy، انتقل إلى CoddyKit PRO. تتضمن دورة Cyber Security Academy 4 دروس في المجموع.

ماذا ستتعلم في «تحليل تكوين البرمجيات (SCA)»؟

افحص التبعيات بحثًا عن CVEs معروفة باستخدام OWASP Dependency-Check أوSnyk أوGitHub Dependabot تتمرن على Cyber Security Academy مع أكواد عملية تشغلها مباشرة في المتصفح، ومدرس ذكاء اصطناعي متاح 24/7 يجيب على أسئلتك أثناء عملك.

هل أحتاج إلى خبرة سابقة لأبدأ Cyber Security Academy؟

لا تُشترط خبرة سابقة. Cyber Security Academy على CoddyKit منظم للمبتدئين حتى المتقدمين، لذا يمكنك البدء من هنا أو من البداية والتقدم بسرعتك الخاصة. هذا هو الدرس 2 من أصل 4.

كم من الوقت يستغرق درس «تحليل تكوين البرمجيات (SCA)»؟

معظم دروس CoddyKit تستغرق حوالي 5–10 دقائق. كل منها موجز وتفاعلي، لذا تحرز تقدماً مستمراً وتستأنف من حيث توقفت عبر الويب والتطبيق.

هل يمكنني كتابة وتشغيل أكواد في درس Cyber Security Academy هذا؟

نعم. كل درس في Cyber Security Academy يتضمن محرر أكواد مدمج، لذا تكتب وتشغل أكواداً حقيقية مباشرة في متصفحك وتحصل على تعليقات فورية من الذكاء الاصطناعي — بدون إعداد محلي.

جميع الدروس في هذه الدورة

← العودة إلى Cyber Security Academy