تهديدات سلسلة التوريد

يستهدف هجوم سلسلة توريد البرمجيات مؤسسةً ليس من خلال اختراقها مباشرة، بل عبر إفساد شيء تثق به وتستخدمه، مثل مكتبة أو أداة بناء أو صورة أساسية لحاوية أو خادم تحديثات.

نظرًا إلى أن البرمجيات الحديثة تُركَّب من مئات المكونات التابعة لجهات خارجية، فإن رابطًا واحدًا مسمومًا ينتقل إلى كل مستخدم لاحق. ويستثمر المهاجم مرة واحدة ليصل إلى عدد كبير من الضحايا.

• انعكاس الثقة — تنتقل حدود الأمان إلى خارج شيفرتك
• نطاق الضرر المتعدي — تنتقل حزمة واحدة سيئة إلى آلاف عمليات البناء

عندما تضيف تبعية مباشرة واحدة، فإنك غالبًا تسحب عشرات التبعيات الانتقالية التي لم تخترها قط. فعادةً ما يعلن تطبيق Node أو Python عن عدد قليل من الحزم، لكنه يحلّ تبعيات تصل إلى المئات.

اعرض شجرة التبعيات المحلولة بالكامل، لا ملف البيان وحده، لمعرفة ما تشحنه فعليًا:

ينشر المهاجمون حزمًا خبيثة بأسماء تشبه أسماء الحزم الشائعة، معتمدين على خطأ إملائي قاتل.

• التصيّد الإملائي — reqeusts بدلًا من requests
• محاكاة الاسم بإضافة بادئة أو لاحقة — python-requests لمحاكاة الاسم الحقيقي
• التباس التبعيات — نشر حزمة عامة تحمل الاسم نفسه لحزمتك الداخلية الخاصة، بحيث يجلب محلّل مُعدّ بطريقة خاطئة نسخة المهاجم

دافع عن نفسك بتثبيت سجل داخلي موثوق، واستخدام حزم خاصة ذات نطاقات أو مساحات أسماء.

قد تتحول حزمة شرعية تحظى بثقة واسعة إلى حزمة خبيثة إذا اختُرق حساب المشرف عليها أو حصل مساهم خبيث على صلاحية النشر.

تُظهر حوادث واقعية حديثة أن المهاجمين يصطادون بيانات اعتماد المشرفين، ثم يدفعون إصدار تصحيح مسمومًا يستخرج الرموز المميزة أثناء التثبيت.

• اشترط استخدام 2FA في جميع حسابات النشر
• فضّل الحزم التي تستخدم رموز نشر محددة النطاق وإصدارات محمية
• راقب ظهور مشرفين جدد غير متوقعين على التبعيات الحرجة

تشغّل العديد من الأنظمة البرمجية شيفرة وقت التثبيت، قبل أن يبدأ تطبيقك بالعمل أصلًا. إذ يمكن لأمر npm install تنفيذ خطاف postinstall يسرق متغيرات البيئة أو مفاتيح SSH.

عطّل نصوص التثبيت الاعتباطية في CI، وافحص أي حزمة تحتاج إليها:

تُعد بيئة البناء نفسها هدفًا عالي القيمة. فإذا لوّث مهاجم مترجمًا أو صورة مشغّل CI أو مكوّنًا إضافيًا للبناء، فستحتوي كل قطعة برمجية تنتجها تلك البيئة على باب خلفي، حتى عندما تكون شيفرتك المصدرية سليمة.

ومن الأمثلة الكلاسيكية آلية تحديث طُروادة توقّع البرمجيات الخبيثة باستخدام مفتاح شرعي لتوقيع الشيفرة، فيقبلها الضحايا باعتبارها أصلية.

• عامِل البنية التحتية للبناء باعتبارها بيئة إنتاج، وطبّق عليها التحصين الكامل
• استخدم مشغّلات بناء مؤقتة وقابلة لإعادة الإنتاج
• افصل مفاتيح التوقيع عن مضيف البناء

يثبّت ملف القفل الإصدارات الدقيقة وتجزئات المحتوى، ولذلك لا يمكن لعملية إعادة الحل أن تستبدل قطعة برمجية بأخرى بصمت. التزم دائمًا بإيداعه في المستودع، ودَع CI يتحقق منه بدلًا من إعادة الحل بحرية.

يخزن حقل السلامة تجزئة؛ فإذا لم يطابق أرشيف tarball الذي تم تنزيله هذه التجزئة، يفشل التثبيت.

تُعد الإصدارات المعروفة بوجود ثغرات فيها، والموثقة على شكل CVEs، أكثر نقاط ضعف سلسلة التوريد شيوعًا. وتطابق أدوات تحليل تركيب البرمجيات (SCA) تبعياتك المحلولة مع قواعد بيانات الثغرات.

شغّل عمليات الفحص في CI، وأفشل عمليات البناء عند اكتشاف نتائج حرجة:

تسمح نطاقات الإصدارات العائمة (^1.2.0) بدخول الإصدارات الجديدة تلقائيًا، وهو أمر مريح لكنه يعرّضك لتصحيح خبيث.

• ثبّت الإصدارات الدقيقة وراجع الترقيات عن قصد
• ثبّت باستخدام التجزئة لصور الحاويات، بدلًا من وسوم قابلة للتغيير مثل latest
• ضمّن محليًا التبعيات الحرجة في مستودعك أو مرآتك الخاصة، حتى لا يتسبب حذفها من المصدر الأعلى في تعطيلك أو إصابتك

تأمين سلسلة التوريد عملية مستمرة، وليس فحصًا يُجرى مرة واحدة. يجب أن تعرف ما الذي تشحنه، ومن أين أتى، ومتى يصبح عرضة للخطر.

• أنشئ SBOM لكل إصدار (في الدرس التالي)
• سجّل إثبات مصدر البناء حتى تتمكن من إثبات كيفية إنتاج قطعة برمجية
• اشترك في التنبيهات حتى يؤدي الكشف عن CVE جديدة إلى إعادة تقييم عمليات البناء التي شُحنت سابقًا

حدّد كل مرحلة يدخل فيها إدخال غير موثوق: أجهزة المطورين، والتحكم بالمصدر، وسجلات التبعيات، ونظام البناء، وتخزين القطع البرمجية، وقناة التحديث. فكل مرحلة منها قد تكون نقطة حقن محتملة.

اطرح في كل مرحلة الأسئلة التالية: من يستطيع الكتابة هنا، وما الذي يتيح لهم الاختراق فعله، وكيف سأكتشفه؟ وينتج عن ذلك قائمة أولويات لعناصر التحكم، بدلًا من قائمة تحقق عامة.

تعلمت لماذا تمثل التبعيات مسارات للهجوم وكيف تقلل تعرضك لها.

• يعني انعكاس الثقة أن أمانك يعتمد على جهات خارجية لا تتحكم فيها
• تشمل التهديدات الرئيسية: التصيّد الإملائي، والتباس التبعيات، والاستيلاء على حساب المشرف، ونصوص التثبيت الخبيثة، وأدوات البناء المخترقة
• تشمل وسائل الدفاع الأساسية: ملفات القفل مع تجزئات السلامة، وفحص SCA، والتثبيت الدقيق باستخدام التجزئة، وتفعيل 2FA للناشرين، والمراقبة المستمرة

ستجرد في الدرس التالي محتويات برنامجك بدقة باستخدام SBOM.