Дахин халдлагад өртөж байна: Өргөн тархсан GitHub үйлдлүүд нь нууцыг эвддэг
Сэтгэгдэл
Mewayz Team
Editorial Team
Учирхалтай зүйл дахин халдлагад өртөж байна: Өргөн тархсан GitHub Үйлдлүүд нь нууцыг эвдэх нууцууд
Програм хангамжийн хангамжийн сүлжээний аюулгүй байдал нь түүний хамгийн сул холбоос шиг л хүчтэй байдаг. Тоо томшгүй олон тооны хөгжүүлэлтийн багуудын хувьд энэ холбоос нь тэдний эмзэг байдлыг олох хэрэгсэл болсон. Үйл явдлын эргэн тойронд Aqua Security-ээс ажилладаг алдартай нээлттэй эх сурвалжийн эмзэг байдлын сканнер болох Trivy нь нарийн довтолгооны төвд оров. Хорлонтой этгээдүүд GitHub Actions репозитор доторх тодорхой хувилбарын шошгыг (`v0.48.0`) эвдэж, түүнийг ашигласан аливаа ажлын урсгалаас эмзэг нууцыг хулгайлах зорилготой кодыг нэвтрүүлсэн. Энэхүү үйл явдал нь бидний харилцан уялдаатай хөгжлийн экосистемд итгэлцэл нь таамаглал биш, тасралтгүй баталгаажуулах ёстой гэдгийг хатуу сануулж байна.
Таг буулгах халдлагын анатоми
Энэ нь Trivy-ийн үндсэн хэрэглээний кодыг зөрчсөн хэрэг биш, харин түүний CI/CD автоматжуулалтыг ухаалгаар устгасан явдал байв. Халдагчид GitHub Actions репозиторыг онилж, `v0.48.0` шошгонд `action.yml` файлын хортой хувилбарыг үүсгэсэн. Хөгжүүлэгчийн ажлын урсгал нь энэ тусгай шошгыг иш татсан үед хууль ёсны Trivy скан хийхээс өмнө үйлдэл нь хортой скриптийг гүйцэтгэх болно. Энэ скриптийг халдагчийн удирддаг алсын сервер рүү хадгалах токен, үүл үйлчилгээ үзүүлэгчийн итгэмжлэл, API түлхүүр зэрэг нууцыг задлах зорилгоор бүтээгдсэн. Энэхүү халдлагын нууцлаг шинж чанар нь түүний өвөрмөц байдалд оршдог; Аюулгүй `@v0.48` эсвэл `@main` шошгуудыг ашигладаг хөгжүүлэгчид өртөөгүй ч яг эвдэрсэн шошгыг хавсаргасан хүмүүс өөрийн мэдэлгүй чухал эмзэг байдлыг өөрсдийн шугаманд нэвтрүүлсэн.
Яагаад энэ хэрэг явдал DevOps ертөнц даяар цуурайтаж байна вэ
Триви буулт нь хэд хэдэн шалтгааны улмаас чухал ач холбогдолтой юм. Нэгдүгээрт, Trivy бол олон сая хүмүүсийн контейнер болон кодын эмзэг байдлыг хайхад ашигладаг аюулгүй байдлын суурь хэрэгсэл юм. Аюулгүй байдлын хэрэгсэл рүү халдлага нь аюулгүй хөгжилд шаардлагатай суурь итгэлийг алдагдуулдаг. Хоёрдугаарт, энэ нь халдагчид "дээд урсгал" руу шилжиж, бусад программ хангамж дээр суурилсан хэрэгсэл, хамаарал руу чиглэх хандлага нэмэгдэж байгааг онцолж байна. Өргөн хэрэглэгддэг нэг бүрэлдэхүүн хэсгийг хордуулснаар тэд доод урсгалын төсөл, байгууллагуудын өргөн сүлжээнд нэвтрэх боломжтой болно. Энэ үйл явдал нь нийлүүлэлтийн сүлжээний аюулгүй байдлын чухал жишээ судалгаа болж, ямар ч хэрэгсэл хичнээн нэр хүндтэй байсан ч халдлагын вектор болгон ашиглагдахгүй гэдгийг харуулж байна.
"Энэ халдлага нь хөгжүүлэгчийн зан байдал болон CI/CD механикийн талаар нарийн ойлголтыг харуулж байна. Тодорхой хувилбарын шошго дээр бэхлэх нь тогтвортой байдлын хамгийн сайн туршлага гэж тооцогддог боловч энэ үйл явдал нь тухайн хувилбарт эвдэрсэн тохиолдолд эрсдэл дагуулж болохыг харуулж байна. Сургамж нь аюулгүй байдал нь нэг удаагийн тохиргоо биш, тасралтгүй үйл явц юм."
Өөрийн GitHub үйлдлүүдийг хамгаалах нэн даруй хийх алхамууд
Энэ явдлын дараа хөгжүүлэгчид болон аюулгүй байдлын багууд өөрсдийн GitHub Үйлдлүүдийн ажлын урсгалыг хатууруулахын тулд идэвхтэй арга хэмжээ авах ёстой. Тайван байдал бол аюулгүй байдлын дайсан юм. Нэн даруй хэрэгжүүлэх зайлшгүй шаардлагатай алхмууд энд байна:
- Тагуудын оронд SHA тогтоохыг ашиглана уу: Үйлдлүүдийг үргэлж бүрэн гүйцэтгэсэн хэшээр нь лавлана уу (жишээ нь, `action/checkout@a81bbbf8298c0fa03ea29cdc473d45769f953675`). Энэ нь таныг үйлдлийн хувиршгүй хувилбарыг ашиглаж байгаа гэдгээ батлах цорын ганц арга зам юм.
- Өөрийн одоогийн ажлын урсгалд аудит хийх: Өөрийн `.github/workflows` лавлахыг сайтар шалгана уу. Шошго дээр бэхлэгдсэн аливаа үйлдлийг тодорхойлж, SHA-г гүйцэтгэх, ялангуяа аюулгүй байдлын чухал хэрэгслүүдэд шилжүүлээрэй.
- GitHub-ийн аюулгүй байдлын боломжуудыг ашигла: Шаардлагатай төлөвийн шалгалтыг идэвхжүүлж, алдагдсан үйлдлээс учирч болзошгүй хохирлыг багасгахын тулд анхдагчаар зөвхөн уншигдахуйцаар тохируулж, `ажлын_зөвшөөрөл` тохиргоог шалгаарай.
- Ер бусын үйл ажиллагааг хянах: Таны нууцыг ашиглан гэнэтийн гадагш чиглэсэн сүлжээний холболт эсвэл зөвшөөрөлгүй нэвтрэх оролдлогыг илрүүлэхийн тулд өөрийн CI/CD дамжуулах хоолойн бүртгэл, хяналтыг хэрэгжүүлээрэй.
Mewayz-ийн тусламжтайгаар уян хатан суурийг бий болгох нь
Хэдийгээр тус тусын хэрэгслийг хамгаалах нь маш чухал боловч жинхэнэ уян хатан байдал нь таны бизнесийн үйл ажиллагаанд нэгдмэл байдлаар ханддаг. Trivy conpromis гэх мэт тохиолдлууд нь орчин үеийн хэрэгслийн гинжэнд агуулагдах далд нарийн төвөгтэй байдал, эрсдлийг илчилдэг. Mewayz шиг платформ нь хараат байдлын тархалтыг бууруулж, хяналтыг төвлөрүүлдэг нэгдсэн, модульчлагдсан бизнесийн үйлдлийн системээр хангаснаар үүнийг шийддэг. Mewayz нь тус бүр өөрийн гэсэн аюулгүй байдлын загвар, шинэчлэлтийн мөчлөгтэй хэдэн арван өөр үйлчилгээг жонглахын оронд төслийн менежмент, CRM, баримт бичиг боловсруулах зэрэг үндсэн функцуудыг нэг, аюулгүй орчинд нэгтгэдэг. Энэхүү нэгдэл нь халдлагын гадаргууг багасгаж, аюулгүй байдлын засаглалыг хялбаршуулж, багуудад хуваагдсан програм хангамжийн стек дэх эмзэг байдлыг байнга засварлахын оронд онцлог шинж чанаруудыг бий болгоход анхаарлаа төвлөрүүлэх боломжийг олгодог. Ганцхан эвдэрсэн шошго нь томоохон зөрчилд хүргэж болзошгүй энэ ертөнцөд Mewayz-ийн санал болгож буй нэгдсэн хамгаалалт, оновчтой ажиллагаа нь өсөлтийн илүү хяналттай, аудитын үндэс болж өгдөг.
💡 DID YOU KNOW?
Mewayz replaces 8+ business tools in one platform
CRM · Invoicing · HR · Projects · Booking · eCommerce · POS · Analytics. Free forever plan available.
Start Free →