Ua toe osofa'ia fo'i: Fa'asalalau GitHub Fa'ailoga e fa'afefe ai mea lilo

Trivy i lalo o le toe osofaʻia: Faʻasalalau GitHub Actions tag faʻafefe mea lilo

O le puipuiga o le sapalai polokalame e na'o le malosi e pei o lona sootaga vaivai. Mo 'au atina'e le mafaitaulia, o lena so'oga ua avea ma meafaigaluega latou te fa'amoemoe i ai e su'e ai fa'aletonu. I se fa'alavelave fa'afuase'i o mea na tutupu, o Trivy, o se tagata su'esu'e fa'aletonu matala matala na tausia e le Aqua Security, na i ai o ia i le ogatotonu o se osofa'iga fa'apitoa. Ua fetuutuuna'i e le au fai mea leaga se fa'ailoga fa'apitoa (`v0.48.0`) i totonu o lona faleteuoloa GitHub Actions, tui fa'ailoga ua fuafuaina e gaoi ai mealilo ma'ale'ale mai so'o se galuega na fa'aaogaina. O lenei fa'alavelave o se fa'amanatuga e fa'apea, i totonu o tatou atina'e feso'ota'iga fa'anatura, e tatau ona fa'aauau pea ona fa'amaonia le fa'atuatuaga, ae le o le manatu.

Anatomy o le Tag Compromise Attack

E le o se soliga lea o le tulafono autu o talosaga a Trivy, ae o se suiga atamai o lana masini CI/CD. Na taulaʻi e le au osofaʻi le faleteuoloa GitHub Actions, faia se faʻamatalaga leaga o le faila `action.yml` mo le `v0.48.0` tag. Pe a fa'asino e le fa'atupuina o galuega lenei fa'ailoga patino, o le a fa'atino e le gaioiga se fa'amatalaga leaga a'o le'i fa'agasolo le Trivy scan talafeagai. O lenei tusitusiga na fa'ainisinia e fa'amama ai mealilo-e pei o fa'ailoga fa'aputuga, fa'ailoga e tu'uina atu ao, ma ki API-i se 'au'aunaga mamao e pulea e le tagata osofa'i. O le uiga taufaasese o lenei osofaʻiga o loʻo taoto i lona faʻapitoa; e le'i a'afia ai tagata atia'e o lo'o fa'aogaina fa'ailoga `@v0.48` po'o `@main` sili atu le saogalemu, ae o i latou na fa'amauina le pine fa'aletonu ma le le iloa na fa'ailoa mai ai se fa'alavelave mata'utia i totonu o latou paipa.

Aisea ua Fa'alogoina ai Lenei Fa'alavelave i le Lalolagi DevOps

E taua tele le fetuutuuna'i Trivy mo le tele o mafua'aga. Muamua, o le Trivy o se meafaigaluega faʻavae saogalemu e faʻaaogaina e le faitau miliona e suʻesuʻe ai faʻafitauli i totonu o pusa ma code. O se osofa'iga i se meafaigaluega saogalemu e tafiesea ai le fa'alagolago fa'avae e mana'omia mo le atina'e saogalemu. Lona lua, o loʻo faʻaalia ai le tuputupu aʻe o tagata osofaʻi o loʻo agai i luga "i luga," faʻatatau i meafaigaluega ma faʻalagolago o loʻo fausia ai isi polokalama. E ala i le fa'a'onaina o se tasi vaega e fa'aaogaina lautele, e mafai ona latou maua le avanoa i se feso'ota'iga tele o poloketi ma fa'alapotopotoga i lalo ifo. O lenei mea na tupu e avea o se suʻesuʻega faʻapitoa i le saogalemu o filifili sapalai, e faʻaalia ai e leai se meafaigaluega, tusa lava po o le a le taʻutaʻua, e puipuia mai le faʻaaogaina e avea o se osofaʻiga.

"O lenei osofaʻiga o loʻo faʻaalia ai se malamalamaga faʻapitoa o le atinaʻeina o amioga ma le CI / CD mechanics. O le faʻapipiʻiina i se faʻailoga faʻapitoa e masani ona manatu o se faiga sili ona lelei mo le mautu, ae o lenei faʻalavelave e faʻaalia ai e mafai foi ona faʻaalia le lamatiaga pe a faʻafefeina lena faʻamatalaga patino.

Laasaga Fa'anatinati e Puipuia Au Gaioiga GitHub

I le mae'a ai o lenei fa'alavelave, e tatau i tagata atia'e ma 'au fa'asaogalemu ona faia ni faiga fa'amalosi e fa'ama'a'a ai a latou galuega a le GitHub Actions. O le faamalieina o le fili o le saogalemu. O laasaga taua nei e fa'atino vave:

• Fa'aoga le commit SHA pine nai lo fa'ailoga: Fa'asino i taimi uma gaioiga e ala ile latou commit hash (fa'ata'ita'iga, `actions/checkout@a81bbbf8298c0fa03ea29cdc473d45769f953675`). E na'o le pau lea o le auala e fa'amautinoa ai o lo'o e fa'aogaina se fa'aoga e le mafai ona suia.
• Su'e au fa'asologa o galuega o iai nei: Su'esu'e lau '.github/workflows` directory. Fa'ailoa so'o se gaioiga e fa'apipi'i i fa'ailoga ma fesuia'i e fa'atino SHA, aemaise lava mo mea faigaluega taua mo le puipuiga.
• Fa'aoga le puipuiga a le GitHub: Fa'agaoioi le siakiina o tulaga mana'omia ma toe iloilo le fa'atulagaina o le `workflow_permissions`, fa'atulaga i le faitau-na'o le fa'aletonu e fa'aitiitia ai le fa'aleagaina mai se gaioiga fa'aletonu.
• Vaava'ai mo gaioiga e le masani ai: Fa'atino le fa'amauina ma le mata'ituina o au paipa CI/CD e iloa ai feso'ota'iga feso'ota'iga fa'afuase'i i fafo po'o taumafaiga fa'atosina avanoa e fa'aoga ai au mealilo.

Fausia se Fa'avae Malosi ma Mewayz

A'o fa'amautu mea faigaluega ta'ito'atasi e taua tele, ae o le maufetuuna'i moni e sau mai se faiga fa'apitoa i au fa'agaioiga pisinisi. O fa'alavelave e pei o le Trivy compromise e fa'aalia ai le lavelave o lo'o natia ma tulaga lamatia o lo'o fa'apipi'iina i filifili meafaigaluega fa'aonaponei. O se faʻavae e pei o Mewayz o loʻo faʻamatalaina lenei mea e ala i le tuʻuina atu o se OS faʻapitoa, faʻapitoa pisinisi e faʻaitiitia ai le faʻalagolago ma faʻatumauina le pulea. Nai lo le taufetuli o le tele o auaunaga eseese-taʻitasi ma lana lava faʻataʻitaʻiga saogalemu ma faʻafouga faʻafouga-Mewayz tuʻufaʻatasia galuega autu e pei o le faʻatinoina o galuega, CRM, ma le tagofiaina o pepa i totonu o se siosiomaga e tasi, saogalemu. O lenei tu'ufa'atasiga e fa'aitiitia ai le osofa'iga ma fa'afaigofie le pulega o le puipuiga, e mafai ai e 'au ona taula'i atu i foliga faufale nai lo le fa'apipi'i pea o fa'aletonu i totonu o se fa'aputuga fa'apolokalame vaevae. I se lalolagi lea e mafai ai e se pine fetuutuunai se tasi ona oo atu i se soliga tele, o le saogalemu tu'ufa'atasia ma fa'agaioiga fa'agaioiga o lo'o ofoina mai e Mewayz e maua ai se fa'avae sili atu ona pulea ma su'eina mo le tuputupu a'e.