Kua whakaekehia ano: Ko nga tohu Hohenga GitHub whanui e whakararu ana i nga mea ngaro

Kai te whakaekea ano: Ka horahia e nga Hohenga GitHub nga tohu nga mea ngaro

Ko te haumarutanga o te mekameka tuku rorohiko he rite noa ki tana hononga ngoikore. Mo nga roopu whanaketanga maha, kua noho taua hononga hei taputapu e whakawhirinaki ana ratou ki te rapu whakaraeraetanga. I roto i nga ahuatanga e pa ana, ko Trivy, he matawai whakaraerae-a-tuwhera rongonui e mau tonu ana e Aqua Security, i kitea ko ia i te pokapū o te whakaekenga. Ko nga kaiwhakaari kino i whakararu i tetahi tohu putanga motuhake (`v0.48.0`) i roto i tana putunga Hohenga GitHub, ka werohia te waehere i hangaia hei tahae i nga mea ngaro mai i nga rerenga mahi i whakamahia. He tino maumaharatanga tenei maiki, i roto i o tatou punaha rauwiringa kaiao honohono, me manatoko tonu te whakawhirinaki, kaua e whakaaro.

Anatomy of the Tag Compromise Attack

Ehara tenei i te takahi i te waehere tono matua a Trivy, engari he whakahuri mohio o tana mahi aunoa CI/CD. I whaaia e nga kaiwhaiwhai te putunga a GitHub Actions, i hanga he putanga kino o te konae `action.yml` mo te tohu `v0.48.0`. Ina tohutoro te rerengamahi a te kaiwhakawhanake i tenei tohu motuhake, ka mahia e te hohenga he tuhinga kino i mua i te whakahaere i te karapa Trivy tika. I hangaia tenei tuhinga hei tango i nga mea ngaro—pēnei i nga tohu penapena, tohu tohu kaiwhakarato kapua, me nga taviri API—ki tetahi tūmau mamao e whakahaeretia ana e te kaipatu. Ko te ahua nanakia o tenei whakaeke kei roto i tona motuhake; Ko nga kaiwhakawhanake e whakamahi ana i nga tohu haumaru ake `@v0.48`, `@main` ranei, kaore i pa ki a ratou, engari ko te hunga i titi i te tohu taupatupatu i te kore mohio i tukuna he whakaraeraetanga nui ki roto i to raatau paipa.

He aha tenei aitua e haruru ana puta noa i te ao DevOps

He mea nui te whakararu Trivy mo etahi take. Tuatahi, ko Trivy he taputapu haumarutanga turanga e whakamahia ana e te miriona ki te matawai mo nga whakaraeraetanga i roto i nga ipu me te waehere. Ko te whakaeke i tetahi taputapu haumaru ka whakakore i te whakawhirinaki taketake e hiahiatia ana mo te whakawhanaketanga haumaru. Tuarua, e whakaatu ana i te tipu haere o te hunga whakaeke e neke ana "whakarunga," e aro ana ki nga taputapu me nga whakawhirinakitanga e hangaia ana e etahi atu rorohiko. Ma te paihana i tetahi waahanga e whakamahia nuitia ana, ka taea e ratou te uru atu ki te kupenga nui o nga kaupapa me nga whakahaere o raro. Ko tenei maiki he rangahau take nui mo te haumarutanga o nga mekameka tuku, e whakaatu ana kaore he taputapu, ahakoa te rongonui, kaore e taea te whakamahi hei vector whakaeke.

"Ko tenei whakaeke e whakaatu ana i te tino mohio ki te whanonga kaiwhakawhanake me nga miihini CI / CD. Ko te pine ki tetahi tohu putanga motuhake ka kiia he mahi pai mo te pumau, engari ko tenei ahuatanga e whakaatu ana ka taea hoki te whakauru i te tupono mena ka taupatupatuhia taua putanga motuhake.

Nga Tikanga Inamata ki te Haumaru i o Hohenga GitHub

I muri mai i tenei aitua, me kaha nga kaiwhakawhanake me nga roopu haumaru ki te whakapakeke i a raatau rerengamahi Hohenga GitHub. Ko te noho humarie te hoariri o te haumarutanga. Anei nga tino mahi hei whakatinana wawe:

• Whakamahia te titi commit SHA hei utu mo nga tūtohu: I nga wa katoa, tohutoro nga hohenga ma o ratou tino commit hash (hei tauira, `actions/checkout@a81bbbf8298c0fa03ea29cdc473d45769f953675`). Koinei anake te huarahi ki te kii kei te whakamahi koe i tetahi putanga koretake o te hohenga.
• Tirotirohia o rerengamahi o naianei: Tirotirohia to whaiaronga `.github/workflows`. Tautuhia nga hohenga kua titi ki nga tohu ka huri ki te tuku SHA, ina koa mo nga taputapu haumarutanga tino nui.
• Whakamahia nga ahuatanga haumarutanga a GitHub: Whakahohehia nga arowhai mana me te arotake i te tautuhinga `workflow_permissions`, me te tautuhi ki te panui-anake ma te taunoa hei whakaiti i te kino ka puta mai i tetahi mahi kua taupatupatuhia.
• Aroturuki mo nga mahi rereke: Whakaotia te takiuru me te aro turuki mo o paipa CI/CD kia kitea nga hononga whatunga puta ohorere, ngana uru kore mana ranei ma te whakamahi i o mea ngaro.

Te hanga i te turanga pakari me Mewayz

Ahakoa he mea nui te whakamarumaru i nga taputapu takitahi, ka ahu mai te manahau pono i te huarahi katoa ki o mahi pakihi. Ko nga aitua penei i te whakaraerae Trivy e whakaatu ana i nga uaua huna me nga tupono kei roto i nga mekameka taputapu hou. Ko te tüäpapa pënei i a Mewayz e körero ana i tënei ma te whakarato i te OS pakihi whakakotahitanga e whakaiti ana i te ti'aturi me te whakawhäiti i te mana whakahaere. Engari ki te tarai i nga ratonga rereke tatini-ia ia me tana ake tauira haumarutanga me te huringa whakahou-ka whakauru a Mewayz i nga mahi matua penei i te whakahaere kaupapa, CRM, me te whakahaere tuhinga ki te taiao kotahi, haumaru. Ko tenei whakatōpūtanga ka whakaiti i te mata whakaeke me te whakangawari i te mana whakahaere haumarutanga, ka taea e nga kapa te aro ki te hanga i nga ahuatanga, kaua ki te whakaraerae i nga whakaraeraetanga i roto i te puranga raupaparorohiko kua pakaru. I roto i te ao ka taea e te tohu whakatararu kotahi te pakaru nui, ko te haumarutanga whakauru me nga mahi ngawari e tukuna ana e Mewayz e whakarato ana i te turanga whakahaere ake, ka taea te tirotiro mo te tipu.