आधुनिक सॉफ्टवेयर: वास्तव में अंदर क्या है?

जैसे-जैसे साइबर सुरक्षा उद्योग सम्मेलन के मौसम में आ रहा है, समुदाय के सदस्यों को अपने अनुभव साझा करने के लिए उत्सुक देखना अविश्वसनीय है। कोई यह तर्क दे सकता है कि कॉल-फॉर-स्पीकर प्रक्रिया संपूर्ण साइबर सुरक्षा पारिस्थितिकी तंत्र के सामूहिक दिमाग पर क्या है, इसका एक गहरा और व्यापक स्नैपशॉट प्रदान करती है। इस वर्ष के "में देखे गए चर्चा के सबसे पेचीदा विषयों में से एक"आरएसएसी 2023 सबमिशन ट्रेंड रिपोर्ट के लिए कॉल करें” खुले स्रोत में और उसके आसपास था, जो पहले देखे गए की तुलना में अधिक सर्वव्यापी और कम मौन हो गया है। आधुनिक सॉफ्टवेयर बदल गया है, और इसके साथ वादा और जोखिम आता है।

क्या अब कोई अपना खुद का सॉफ्टवेयर लिखता है?

आश्चर्य की बात नहीं है, साइबर सुरक्षा पेशेवर सॉफ़्टवेयर के बारे में बात करने में बहुत समय व्यतीत करते हैं - यह कैसे इकट्ठा, परीक्षण, तैनात और पैच किया जाता है। आकार या क्षेत्र की परवाह किए बिना सॉफ्टवेयर का हर व्यवसाय पर महत्वपूर्ण प्रभाव पड़ता है। टीजैसे-जैसे पैमाने और जटिलता बढ़ी है, उद्देश्य और अभ्यास विकसित हुए हैं। परिणामस्वरूप, "आधुनिक सॉफ़्टवेयर को जितना लिखा जा रहा है, उससे कहीं अधिक इकट्ठा किया जा रहा है," टार्गेट के वरिष्ठ निदेशक, जहां वह DevSecOps और समापन बिंदु सुरक्षा का नेतृत्व करती हैं, जेनिफर Czaplewski कहती हैं; वह RSA सम्मेलन कार्यक्रम समिति की सदस्य भी हैं। यह केवल एक राय नहीं है। अनुमान है कि पूरे उद्योग में कितने सॉफ़्टवेयर में ओपन सोर्स घटक शामिल हैं - कोड जो छोटे और बड़े हमलों में सीधे लक्षित होते हैं - 70% से लेकर लगभग 100% तक, सुरक्षा के लिए एक विशाल, शिफ्टिंग अटैक सरफेस बनाना, और हर किसी की आपूर्ति श्रृंखला के लिए फोकस का एक महत्वपूर्ण क्षेत्र।

कोड की असेंबली व्यापक निर्भरता - और सकर्मक निर्भरता - प्राकृतिक कलाकृतियों के रूप में बनाती है। ये निर्भरताएँ वास्तविक कोड से कहीं अधिक गहरी हैं, और इसे शामिल करने वाली टीमों को इसे चलाने, परीक्षण करने और बनाए रखने के लिए उपयोग की जाने वाली प्रक्रियाओं को बेहतर ढंग से समझने की भी आवश्यकता है।

आज लगभग हर संगठन का ओपन सोर्स कोड पर एक अपरिहार्य निर्भरता है, जिसने जोखिम, कैटलॉग उपयोग, ट्रैक प्रभाव का आकलन करने और सॉफ्टवेयर स्टैक में ओपन सोर्स घटकों को शामिल करने से पहले, दौरान और बाद में सूचित निर्णय लेने के बेहतर तरीकों की मांग को प्रेरित किया है।

सफलता के लिए विश्वास और घटकों का निर्माण

ओपन सोर्स सिर्फ एक तकनीकी समस्या नहीं है। या एक प्रक्रिया मुद्दा। या जनता का मुद्दा। यह वास्तव में हर चीज में फैला हुआ है, और डेवलपर्स, मुख्य सूचना सुरक्षा अधिकारी (सीआईएसओ), और नीति निर्माता सभी एक भूमिका निभाते हैं। इन सभी समूहों में पारदर्शिता, सहयोग और संचार महत्वपूर्ण विश्वास बनाने के लिए महत्वपूर्ण हैं।

विश्वास निर्माण के लिए एक केंद्र बिंदु सामग्री का सॉफ्टवेयर बिल (एसबीओएम) है, जो बाद में लोकप्रियता में वृद्धि हुई राष्ट्रपति बाइडेन का मई 2021 का कार्यकारी आदेश. हम इसके कार्यान्वयन से मात्रात्मक लाभों की ठोस टिप्पणियों को देखना शुरू कर रहे हैं, जिसमें संपत्ति का नियंत्रण और दृश्यता, कमजोरियों के लिए अधिक तीव्र प्रतिक्रिया समय और समग्र रूप से बेहतर सॉफ्टवेयर जीवन-चक्र प्रबंधन शामिल हैं। ऐसा लगता है कि एसबीओएम के कर्षण ने अतिरिक्त बीओएम उत्पन्न किए हैं, उनमें डीबीओएम (डेटा), HBOM (हार्डवेयर), PBOM (पाइपलाइन), और CBOM (साइबर सुरक्षा)। समय बताएगा कि क्या लाभ डेवलपर्स पर देखभाल के भारी कर्तव्य से आगे निकल जाते हैं, लेकिन कई लोग उम्मीद कर रहे हैं कि बीओएम आंदोलन एक समस्या के बारे में सोचने और उससे संपर्क करने का एक समान तरीका हो सकता है।

अतिरिक्त नीतियां और सहयोग, सहित सिक्योरिंग ओपन सोर्स सॉफ्टवेयर एक्ट, सॉफ्टवेयर आर्टिफैक्ट्स (एसएलएसए) ढांचे के लिए आपूर्ति श्रृंखला स्तर, तथा NIST का सिक्योर सॉफ्टवेयर डेवलपमेंट फ्रेमवर्क (SSDF), उन प्रथाओं को प्रोत्साहित करते प्रतीत होते हैं जिन्होंने खुले स्रोत को इतना सर्वव्यापी बना दिया है - सामूहिक समुदाय डिफ़ॉल्ट रूप से सुरक्षित सॉफ़्टवेयर आपूर्ति श्रृंखला सुनिश्चित करने के लक्ष्य के साथ मिलकर काम कर रहा है।

खुले स्रोत कोड और हेरफेर, हमलों, और इसके लक्ष्यीकरण के आसपास "विपक्ष" पर अधिक ध्यान देने से विकास प्रक्रियाओं और रिपोर्टों के साथ-साथ प्रौद्योगिकी के साथ जुड़े जोखिम को कम करने के नए प्रयासों को जन्म दिया है। सबसे पहले दुर्भावनापूर्ण घटकों के अंतर्ग्रहण से बचने के लिए निवेश किए जा रहे हैं। सॉफ्टवेयर विकास, सॉफ्टवेयर विकास जीवन चक्र (एसडीएलसी), और संपूर्ण रूप से आपूर्ति श्रृंखला के आसपास यह आत्मनिरीक्षण और वास्तविक जीवन की सीख इस स्तर पर समुदाय के लिए अविश्वसनीय रूप से फायदेमंद है।

वास्तव में, ओपन सोर्स बहुत फायदा कर सकता है ... ओपन सोर्स! डेवलपर्स महत्वपूर्ण सुरक्षा नियंत्रणों को एकीकृत करने के लिए ओपन सोर्स टूल्स पर भरोसा करते हैं निरंतर एकीकरण/निरंतर वितरण (सीआई/सीडी) पाइपलाइन। जैसे संसाधन उपलब्ध कराने का प्रयास जारी है ओपनएसएसएफ स्कोरकार्ड, स्वचालित स्कोरिंग के अपने वादे के साथ, और ओपन सोर्स सॉफ्टवेयर (OSS) सिक्योर सप्लाई चेन (SSC) फ्रेमवर्क, वास्तविक दुनिया के OSS आपूर्ति श्रृंखला के खतरों से डेवलपर्स को बचाने के लिए डिज़ाइन किया गया एक खपत-केंद्रित ढांचा, आशाजनक गतिविधियों के केवल दो उदाहरण हैं जो टीमों को सॉफ़्टवेयर इकट्ठा करने में सहायता करेंगे।

एक साथ मजबूत

ओपन सोर्स है और आगे भी रहेगा सॉफ्टवेयर गेम बदलें. इसने दुनिया के सॉफ्टवेयर बनाने के तरीके को प्रभावित किया है। इसने बाजार में गति के समय में मदद की है। इसने नवाचार को प्रोत्साहित किया है और विकास लागत को कम किया है। यकीनन, इसका सुरक्षा पर सकारात्मक प्रभाव पड़ा है, लेकिन काम अभी बाकी है। और एक अधिक सुरक्षित दुनिया का निर्माण करने के लिए एक गांव को एक साथ आने की आवश्यकता होती है ताकि अधिक से अधिक समुदाय के साथ विचारों और सर्वोत्तम प्रथाओं को साझा किया जा सके।

• एसईओ संचालित सामग्री और पीआर वितरण। आज ही प्रवर्धित हो जाओ।
• प्लेटोब्लॉकचैन। Web3 मेटावर्स इंटेलिजेंस। ज्ञान प्रवर्धित। यहां पहुंचें।
• स्रोत: https://www.darkreading.com/vulnerabilities-threats/modern-software-what-s-really-inside-