نرم افزار مدرن: واقعا در داخل چیست؟

از آنجایی که صنعت امنیت سایبری به فصل کنفرانس نزدیک می شود، دیدن اعضای جامعه که مشتاق به اشتراک گذاری تجربیات خود هستند، باورنکردنی است. ممکن است کسی استدلال کند که فرآیند فراخوانی برای سخنرانان تصویری عمیق و گسترده از آنچه در ذهن جمعی کل اکوسیستم امنیت سایبری وجود دارد ارائه می دهد. یکی از جذاب‌ترین موضوعات مورد بحث در سال جاریگزارش روند روند فراخوان RSAC 2023” در داخل و اطراف منبع باز بود، که در همه جا فراگیرتر شده و کمتر از آنچه قبلا مشاهده شده بود، محو شده است. نرم افزارهای مدرن تغییر کرده اند و به همراه آن نویدها و خطراتی را به همراه دارند.

آیا کسی دیگر نرم افزار خود را می نویسد؟

جای تعجب نیست که متخصصان امنیت سایبری زمان زیادی را صرف صحبت در مورد نرم افزار می کنند – نحوه مونتاژ، آزمایش، استقرار و وصله آن. نرم افزار بدون در نظر گرفتن اندازه یا بخش، تأثیر قابل توجهی بر هر کسب و کاری دارد. تیگروه ها و شیوه ها با افزایش مقیاس و پیچیدگی تکامل یافته اند. جنیفر چاپلوسکی، مدیر ارشد Target، جایی که او DevSecOps و امنیت نقطه پایانی را رهبری می‌کند، می‌گوید: در نتیجه، «نرم‌افزار مدرن بیش از آنکه نوشته شود، مونتاژ می‌شود». او همچنین یکی از اعضای کمیته برنامه کنفرانس RSA است. این صرفا یک نظر نیست. تخمین میزان نرم افزار در صنعت شامل اجزای منبع باز - کدهایی که مستقیماً در حملات کوچک و بزرگ هدف قرار می گیرند - از 70% تا نزدیک به 100%، ایجاد یک سطح حمله بزرگ و متحول برای محافظت و یک منطقه مهم تمرکز برای زنجیره تامین همه است.

مونتاژ کد وابستگی های گسترده - و وابستگی های گذرا - به عنوان مصنوعات طبیعی ایجاد می کند. این وابستگی‌ها بسیار عمیق‌تر از کد واقعی هستند و تیم‌هایی که آن را ترکیب می‌کنند نیز باید فرآیندهای مورد استفاده برای اجرا، آزمایش و نگهداری آن را بهتر درک کنند.

امروزه تقریباً هر سازمانی اتکای اجتناب‌ناپذیری به کد منبع باز دارد، که تقاضا برای روش‌های بهتر برای ارزیابی ریسک، استفاده از فهرست، ردیابی تأثیر، و تصمیم‌گیری آگاهانه قبل، در حین، و پس از گنجاندن اجزای منبع باز در پشته‌های نرم‌افزار را برانگیخته است.

ایجاد اعتماد و مؤلفه هایی برای موفقیت

منبع باز فقط یک مسئله فناوری نیست. یا یک مشکل فرآیند. یا یک مسئله مردمی واقعاً همه چیز را شامل می شود و توسعه دهندگان، افسران ارشد امنیت اطلاعات (CISO) و سیاست گذاران همگی نقش دارند. شفافیت، همکاری و ارتباطات در میان همه این گروه ها کلید ایجاد اعتماد انتقادی است.

یکی از نقاط کانونی برای اعتمادسازی، صورتحساب مواد نرم افزاری (SBOM) است که پس از آن محبوبیت بیشتری پیدا کرد فرمان اجرایی پرزیدنت بایدن در می 2021. ما در حال مشاهده مشاهدات ملموس از مزایای قابل سنجش از پیاده سازی آن هستیم، از جمله کنترل و مشاهده دارایی ها، زمان پاسخگویی سریع تر به آسیب پذیری ها، و به طور کلی مدیریت چرخه عمر نرم افزار بهتر. به نظر می رسد کشش SBOM باعث ایجاد BOM های اضافی، از جمله DBOM (داده ها، HBOM (سخت افزار)، PBOM (خط لوله) و CBOM (امنیت سایبری). زمان نشان خواهد داد که آیا مزایا بر وظیفه سنگین مراقبتی که بر دوش توسعه دهندگان گذاشته می شود، بیشتر است یا خیر، اما بسیاری امیدوارند که جنبش BOM بتواند به یک روش فکری و نزدیک شدن به یک مشکل منجر شود.

سیاست ها و همکاری های اضافی، از جمله قانون امنیت نرم افزار منبع باز, چارچوب سطوح زنجیره تامین برای مصنوعات نرم افزاری (SLSA).و چارچوب توسعه نرم افزار ایمن NIST (SSDF)، به نظر می رسد اقداماتی را تشویق می کند که منبع باز را بسیار فراگیر کرده است - جامعه جمعی با هدف تضمین یک زنجیره تامین نرم افزار ایمن به صورت پیش فرض با یکدیگر همکاری می کنند.

تمرکز آشکار بر روی "معایب" در مورد کد منبع باز و دستکاری، حملات و هدف قرار دادن آن، تلاش های جدیدی را برای کاهش خطرات مرتبط با فرآیندها و گزارش ها و همچنین فناوری ایجاد کرده است. سرمایه گذاری هایی انجام می شود تا در وهله اول از بلعیدن اجزای مخرب جلوگیری شود. این درون نگری و یادگیری های واقعی در مورد توسعه نرم افزار، چرخه عمر توسعه نرم افزار (SDLC) و زنجیره تامین به طور کلی در این مرحله برای جامعه بسیار مفید است.

در واقع، منبع باز می تواند سود زیادی برای ... منبع باز! توسعه دهندگان برای ادغام کنترل های امنیتی حیاتی به عنوان بخشی از ابزارهای منبع باز متکی هستند ادغام مداوم/تحویل مستمر (خط لوله CI/CD). تلاش مستمر برای تامین منابع، مانند کارت امتیازی OpenSSF، با وعده امتیاز دهی خودکار، و چارچوب زنجیره تامین امن (SSC) نرم افزار منبع باز (OSS).یک چارچوب متمرکز بر مصرف که برای محافظت از توسعه‌دهندگان در برابر تهدیدات زنجیره تامین OSS در دنیای واقعی طراحی شده است، تنها دو نمونه از فعالیت‌های امیدوارکننده هستند که تیم‌ها را هنگام مونتاژ نرم‌افزار پشتیبانی می‌کنند.

با هم قویتر

منبع باز دارد و ادامه خواهد داشت بازی نرم افزاری را تغییر دهید. این بر نحوه ساخت نرم افزار در جهان تأثیر گذاشته است. این به سرعت بخشیدن به زمان به بازار کمک کرده است. این امر باعث تحریک نوآوری و کاهش هزینه های توسعه شده است. مسلماً تأثیر مثبتی بر امنیت داشته است، اما هنوز کار باید انجام شود. و ساختن دنیای امن‌تر مستلزم گرد هم آمدن یک روستا برای به اشتراک گذاشتن ایده‌ها و بهترین شیوه‌ها با جامعه بزرگتر است.

• محتوای مبتنی بر SEO و توزیع روابط عمومی. امروز تقویت شوید.
• پلاتوبلاک چین. Web3 Metaverse Intelligence. دانش تقویت شده دسترسی به اینجا.
• منبع: https://www.darkreading.com/vulnerabilities-threats/modern-software-what-s-really-inside-