Keamanan Dependensi dan Analisis Komposisi Perangkat Lunak

Aplikasi modern sebagian besar tersusun atas pustaka dan kerangka kerja open source pihak ketiga. Aplikasi Node.js biasa mungkin memiliki lebih dari 1.000 dependency transitif; proyek Java mungkin menarik ratusan artefak Maven. Setiap dependency merupakan potensi permukaan serangan. kerentanan Log4Shell (CVE-2021-44228) dalam pustaka Log4j menunjukkan bahwa satu dependency dapat membuat jutaan aplikasi di seluruh dunia langsung rentan dieksploitasi dalam hitungan hari setelah pengungkapannya.

Alat Software Composition Analysis (SCA) secara otomatis menginventarisasi semua komponen open source dalam aplikasi — termasuk dependency transitif (dependency dari dependency Anda) — dan terus-menerus memeriksanya terhadap basis data kerentanan untuk mencari CVE yang diketahui. SCA menghasilkan Software Bill of Materials (SBOM) yang mencantumkan setiap komponen dan versinya, sehingga memungkinkan identifikasi cepat terhadap sistem yang terdampak ketika kerentanan baru diumumkan.

Dependency transitif adalah pustaka yang menjadi dependency dari dependency langsung Anda, tetapi tidak Anda pilih secara eksplisit. Anda mungkin bergantung langsung pada Package A, yang bergantung pada Package B (versi 1.2), yang bergantung pada Package C (versi 3.0 — versi yang rentan). Anda tidak mengetahui Package C, tetapi aplikasi Anda menjalankannya. Alat SCA menelusuri seluruh pohon dependency untuk mengungkap kerentanan tersembunyi yang tidak dapat dilihat langsung oleh pengembang.

Software Bill of Materials (SBOM) adalah inventaris formal yang dapat dibaca mesin dari semua komponen dalam suatu produk perangkat lunak — mirip daftar bahan makanan. Format SBOM mencakup SPDX (Linux Foundation) dan CycloneDX (OWASP). Perintah Eksekutif US 14028 (2021) mewajibkan SBOM untuk perangkat lunak yang dijual kepada pemerintah federal. Dengan SBOM, tim keamanan dapat segera menanyakan: 'produk kita yang mana yang berisi Log4j?' dan memperoleh jawabannya dalam hitungan menit, bukan berhari-hari pencarian manual.

Pemakuan dependency menetapkan versi dependency yang tepat, bukan rentang yang fleksibel (^1.2.3 atau *). File lock (package-lock.json, yarn.lock, Pipfile.lock, Gemfile.lock) mencatat versi tepat yang telah diselesaikan dari setiap dependency saat instalasi. File-file ini harus di-commit ke kendali sumber untuk memastikan setiap anggota tim dan pipeline CI/CD menggunakan versi dependency yang sama, sehingga mencegah serangan rantai pasokan yang meracuni versi paket di antara proses instalasi.

Serangan rantai pasokan menargetkan ekosistem dependency. Typosquatting melibatkan penerbitan paket berbahaya dengan nama yang mirip dengan paket populer (misalnya, lodahs alih-alih lodash) dengan harapan pengembang salah mengetik nama tersebut. Serangan confusion dependency mengeksploitasi urutan pencarian registry oleh pengelola paket — penyerang menerbitkan paket berbahaya dengan nama yang sama seperti paket privat internal, tetapi dengan nomor versi lebih tinggi, sehingga pengelola paket memasang versi publik berbahaya tersebut.

Beberapa alat SCA banyak digunakan di industri. Snyk menyediakan pemindaian dependency yang ramah pengembang dengan PR perbaikan otomatis. OWASP Dependency-Check adalah alat gratis yang banyak digunakan untuk Java, .NET, Python, dan Ruby. GitHub Dependabot secara otomatis membuka pull request untuk memperbarui dependency yang rentan di repositori GitHub. JFrog Xray dan Sonatype Nexus IQ mengintegrasikan SCA ke dalam repositori artefak untuk memblokir build yang rentan agar tidak mencapai produksi.

SCA paling efektif jika diintegrasikan sebagai gerbang kualitas dalam pipeline CI/CD. Pada setiap pull request dan build, pipeline menjalankan alat SCA dan menggagalkan build jika ditemukan CVE dengan tingkat keparahan kritis atau tinggi dalam dependency. Pendekatan 'shift left' ini menemukan dependency rentan sebelum mencapai produksi — bukan berbulan-bulan kemudian saat tinjauan keamanan manual atau setelah terjadi kebocoran. Tim harus menetapkan ambang tingkat keparahan kerentanan yang jelas untuk membedakan kerentanan yang memblokir deployment dan yang hanya menghasilkan peringatan.

Sebelum menambahkan dependency, evaluasi postur keamanannya menggunakan beberapa sinyal. Aktivitas pemeliharaan: apakah proyek tersebut masih dipelihara secara aktif? Kapan commit dan rilis terakhirnya? Riwayat kerentanan yang diketahui: berapa banyak CVE yang pernah dimilikinya, dan seberapa cepat kerentanan tersebut ditambal? Jumlah unduhan: paket yang banyak digunakan mendapat lebih banyak pengawasan keamanan. Jumlah dependency: paket dengan lebih sedikit dependency menimbulkan risiko transitif yang lebih rendah. OpenSSF Scorecard menyediakan penilaian otomatis terhadap praktik keamanan proyek open source.

Saat SCA mengidentifikasi dependency yang rentan, tersedia beberapa strategi remediasi. Lakukan upgrade ke versi yang telah ditambal — pilihan yang diutamakan jika tersedia. Pemakuan virtual melalui aturan WAF dapat mengurangi jalur eksploitasi yang diketahui sementara upgrade disiapkan. Hapus dependency jika sudah tidak diperlukan. Terima risikonya dengan justifikasi terdokumentasi jika kerentanan tersebut tidak dapat dieksploitasi dalam konteks penggunaan tertentu (misalnya, kerentanan sisi server dalam pustaka sisi klien). Jangan pernah membiarkan kerentanan kritis tanpa penanganan atau penerimaan yang terdokumentasi.

Alat SCA memiliki dua tujuan: mengidentifikasi kerentanan keamanan dan menandai masalah kepatuhan lisensi dalam dependency open source. Lisensi bermasalah yang umum mencakup GPL v2/v3 (copyleft — mengharuskan produk Anda juga dijadikan open source jika didistribusikan), AGPL (memperluas GPL ke layanan jaringan), dan SSPL. Menggunakan pustaka berlisensi GPL dalam perangkat lunak komersial berpemilik tanpa lisensi komersial dapat menimbulkan tanggung jawab hukum yang serius. Alat SCA seperti FOSSA, Black Duck, dan WhiteSource mengotomatiskan pemindaian lisensi bersama dengan pendeteksian kerentanan untuk memastikan kepatuhan terhadap kewajiban open source.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: alat SCA memindai seluruh pohon dependency, termasuk dependency transitif, untuk mencari CVE yang diketahui, SBOM menyediakan inventaris yang dapat dibaca mesin sehingga memungkinkan respons cepat saat kerentanan baru diumumkan, dan mengintegrasikan SCA sebagai gerbang kualitas CI/CD menemukan dependency rentan sebelum mencapai produksi. Berikutnya kita membahas DevSecOps dan cara menggeser kontrol keamanan ke tahap lebih awal dalam seluruh pipeline CI/CD.