ความปลอดภัยของทรัพยากรพึ่งพาและห่วงโซ่อุปทาน (SCA)

แอปพลิเคชันสมัยใหม่สร้างขึ้นจาก การพึ่งพาจากบุคคลที่สาม เป็นส่วนใหญ่ แพ็กเกจที่มีช่องโหว่เพียงรายการเดียวซึ่งอยู่ลึกในโครงสร้างการพึ่งพา อาจทำให้แอปทั้งหมดถูกโจมตีได้

นี่คือความเสี่ยงของ ห่วงโซ่อุปทานซอฟต์แวร์ และการรักษาความปลอดภัยให้ห่วงโซ่นี้เป็นส่วนสำคัญของ DevSecOps

การวิเคราะห์องค์ประกอบซอฟต์แวร์ (SCA) จะสแกนการพึ่งพาของโครงการและเปรียบเทียบกับฐานข้อมูลช่องโหว่ที่ทราบ (CVE)

SAST ตรวจสอบโค้ดของคุณ แต่ SCA มุ่งเน้นที่ไลบรารีที่คุณนำเข้า

• ตรวจจับเวอร์ชันที่มีช่องโหว่ที่ทราบ
• แจ้งใบอนุญาตที่มีความเสี่ยงหรือเข้ากันไม่ได้
• แนะนำเวอร์ชันที่ปลอดภัยสำหรับการอัปเกรด

GitHub มี Dependabot ซึ่งจะสแกนไฟล์แมนนิเฟสต์ของคุณอย่างต่อเนื่อง และแจ้งเตือนเมื่อการพึ่งพารายการใดมีช่องโหว่ที่ทราบ

คุณเปิดใช้งานได้ที่ การตั้งค่า > ความปลอดภัยของโค้ดและการวิเคราะห์ การแจ้งเตือนจะแสดงในแท็บความปลอดภัยพร้อมระดับความรุนแรง

Dependabot ยังสามารถเปิดคำขอดึงเพื่อปรับเพิ่มเวอร์ชันของการพึ่งพาที่มีช่องโหว่โดยอัตโนมัติได้อีกด้วย ให้กำหนดค่าด้วยไฟล์ dependabot.yml

dependency-review-action จะทำงานกับคำขอดึง และบล็อกการผสานหาก PR นั้นเพิ่มการพึ่งพาที่มีช่องโหว่ที่ทราบ

วิธีนี้ทำให้ตรวจสอบความปลอดภัยได้ตั้งแต่เนิ่น ๆ โดยตรวจจับแพ็กเกจที่มีความเสี่ยงก่อนจะไปถึงสาขาหลัก

แอ็กชันที่คุณเรียกใช้ในเวิร์กโฟลว์ก็เป็นการพึ่งพาเช่นกัน การอ้างอิง @v4 หมายถึงการไว้วางใจผู้ที่ควบคุมแท็กนั้น

เพื่อความปลอดภัยสูงสุด ให้ตรึงแอ็กชันไว้กับ ค่า SHA ของคอมมิต แบบเต็ม ซึ่งไม่สามารถเปลี่ยนแปลงได้

ไฟล์ล็อก เช่น package-lock.json หรือ poetry.lock จะตรึงเวอร์ชันและค่าแฮชของการพึ่งพาไว้แบบเจาะจง

ใน CI ให้ใช้คำสั่งติดตั้งแบบกำหนดผลแน่นอน เพื่อให้บิลด์สร้างซ้ำได้เหมือนเดิมและไม่สามารถดึงเวอร์ชันที่ถูกแก้ไขโดยมิชอบมาใช้อย่างเงียบ ๆ

บัญชีรายการวัสดุซอฟต์แวร์ (SBOM) คือรายการส่วนประกอบทุกอย่างที่อยู่ในบิลด์ของคุณอย่างครบถ้วน และเป็นสิ่งที่ข้อกำหนดด้านการปฏิบัติตามกฎระเบียบต้องการมากขึ้นเรื่อย ๆ

GitHub สามารถส่งออก SBOM ในรูปแบบ SPDX ได้ และเครื่องมืออย่าง Syft ก็สามารถสร้างรายการดังกล่าวภายใน CI ได้

SCA ยังครอบคลุม ความเสี่ยงด้านใบอนุญาต ด้วย การนำไลบรารีที่ได้รับอนุญาตภายใต้ GPL มาใช้ในผลิตภัณฑ์กรรมสิทธิ์อาจก่อให้เกิดภาระผูกพันทางกฎหมาย

กำหนดค่าเครื่องมือสแกนให้แจ้งหรือปฏิเสธใบอนุญาตที่ไม่อนุญาต เพื่อให้ปัญหาปรากฏใน CI แทนที่จะเกิดขึ้นระหว่างการตรวจสอบ

การตรวจจับจะมีประโยชน์ก็ต่อเมื่อสามารถหยุดโค้ดที่ไม่ปลอดภัยได้ กำหนดเกณฑ์ SCA ให้ ทำให้ไปป์ไลน์ล้มเหลว เมื่อพบช่องโหว่ระดับวิกฤต

กำหนดเกณฑ์ระดับความรุนแรง เพื่อให้ผลการตรวจพบที่มีความเสี่ยงต่ำแสดงคำเตือน ส่วนผลการตรวจพบระดับวิกฤตจะบล็อกการผสานหรือการปรับใช้

มีการเปิดเผยช่องโหว่ใหม่ทุกวัน ดังนั้นการสแกนเพียงครั้งเดียวจึงไม่เพียงพอ ให้เรียกใช้ SCA ตามกำหนดเวลาและทุกครั้งที่มี PR

วิธีนี้จะตรวจจับแพ็กเกจที่ปลอดภัยในเวลาผสาน แต่กลายเป็นมีช่องโหว่ในภายหลัง

คุณได้เรียนรู้การรักษาความปลอดภัยให้กับ ห่วงโซ่อุปทานซอฟต์แวร์

• SCA สแกนการพึ่งพาเพื่อค้นหาช่องโหว่ที่ทราบ
• Dependabot แจ้งเตือนและอัปเดตแพ็กเกจที่มีความเสี่ยงโดยอัตโนมัติ
• การตรวจสอบการพึ่งพา บล็อก PR ที่มีความเสี่ยง
• ตรึงแอ็กชันไว้กับค่า SHA ใช้ไฟล์ล็อก และสร้าง SBOM

เมื่อทำงานร่วมกับ SAST และการจัดการความลับ องค์ประกอบเหล่านี้จะช่วยให้ไปป์ไลน์มีความปลอดภัยครบถ้วนยิ่งขึ้น