ซอฟต์แวร์สมัยใหม่: มีอะไรอยู่ข้างใน?

เมื่ออุตสาหกรรมความปลอดภัยทางไซเบอร์เข้าใกล้ฤดูกาลประชุม เป็นเรื่องเหลือเชื่อที่สมาชิกในชุมชนกระตือรือร้นที่จะแบ่งปันประสบการณ์ของพวกเขา อาจมีผู้โต้แย้งว่ากระบวนการเรียกร้องให้มีการพูดคุยเสนอภาพรวมเชิงลึกและกว้างของสิ่งที่อยู่ในความคิดร่วมกันของระบบนิเวศความปลอดภัยทางไซเบอร์ทั้งหมด หนึ่งในหัวข้อสนทนาที่น่าสนใจที่สุดที่สังเกตได้จาก “RSAC 2023 เรียกร้องให้ส่งรายงานแนวโน้ม” อยู่ในและรอบๆ โอเพ่นซอร์ส ซึ่งแพร่หลายมากขึ้นและถูกเก็บงำน้อยกว่าที่สังเกตก่อนหน้านี้ ซอฟต์แวร์สมัยใหม่มีการเปลี่ยนแปลง และมาพร้อมกับคำมั่นสัญญาและอันตราย

มีใครเขียนซอฟต์แวร์ของตัวเองอีกไหม?

ไม่น่าแปลกใจที่ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ใช้เวลาส่วนใหญ่พูดคุยเกี่ยวกับซอฟต์แวร์ — วิธีการประกอบ ทดสอบ ปรับใช้ และแพตช์ ซอฟต์แวร์มีผลกระทบอย่างมากต่อทุกธุรกิจ โดยไม่คำนึงถึงขนาดหรือภาคส่วน ตแนวทางและแนวปฏิบัติมีการพัฒนาตามขนาดและความซับซ้อนที่เพิ่มขึ้น ผลที่ตามมาคือ “ซอฟต์แวร์สมัยใหม่กำลังถูกรวบรวมมากกว่าที่กำลังเขียน” Jennifer Czaplewski ผู้อำนวยการอาวุโสของ Target ซึ่งเธอเป็นผู้นำด้าน DevSecOps และการรักษาความปลอดภัยปลายทางกล่าว เธอยังเป็นสมาชิกคณะกรรมการโครงการ RSA Conference นั่นไม่ใช่แค่ความคิดเห็นเท่านั้น การประมาณจำนวนซอฟต์แวร์ในอุตสาหกรรมที่มีส่วนประกอบโอเพ่นซอร์ส — โค้ดที่มีเป้าหมายโดยตรงในการโจมตีทั้งขนาดเล็กและขนาดใหญ่ — ตั้งแต่ 70% ถึงเกือบ 100%สร้างพื้นผิวการโจมตีขนาดใหญ่ที่ปรับเปลี่ยนได้เพื่อปกป้อง และเป็นพื้นที่สำคัญสำหรับห่วงโซ่อุปทานของทุกคน

การประกอบรหัสทำให้เกิดการพึ่งพาที่แพร่หลายและการพึ่งพาสกรรมกริยาเป็นสิ่งประดิษฐ์ตามธรรมชาติ การขึ้นต่อกันเหล่านี้ลึกกว่าโค้ดจริง และทีมที่รวมเอาการขึ้นต่อกันจำเป็นต้องเข้าใจกระบวนการที่ใช้ในการเรียกใช้ ทดสอบ และบำรุงรักษาให้ดียิ่งขึ้น

เกือบทุกองค์กรในปัจจุบันพึ่งพาโค้ดโอเพ่นซอร์สอย่างหลีกเลี่ยงไม่ได้ ซึ่งขับเคลื่อนความต้องการวิธีการที่ดีกว่าในการประเมินความเสี่ยง การใช้แคตตาล็อก ติดตามผลกระทบ และตัดสินใจอย่างรอบรู้ก่อน ระหว่าง และหลังการรวมส่วนประกอบโอเพ่นซอร์สเข้ากับชุดซอฟต์แวร์

สร้างความไว้วางใจและองค์ประกอบสู่ความสำเร็จ

โอเพ่นซอร์สไม่ได้เป็นเพียงปัญหาด้านเทคโนโลยีเท่านั้น หรือปัญหากระบวนการ หรือปัญหาเรื่องคน มันครอบคลุมทุกอย่างจริงๆ และนักพัฒนา หัวหน้าเจ้าหน้าที่รักษาความปลอดภัยข้อมูล (CISO) และผู้กำหนดนโยบายต่างมีบทบาท ความโปร่งใส การทำงานร่วมกัน และการสื่อสารในกลุ่มเหล่านี้ทั้งหมดเป็นกุญแจสำคัญในการสร้างความไว้วางใจที่สำคัญ

จุดโฟกัสหนึ่งสำหรับการสร้างความไว้วางใจคือซอฟต์แวร์รายการวัสดุ (SBOM) ซึ่งได้รับความนิยมเพิ่มขึ้นหลังจากนั้น คำสั่งฝ่ายบริหารเดือนพฤษภาคม 2021 ของประธานาธิบดีไบเดน. เราเริ่มเห็นข้อสังเกตที่จับต้องได้ของประโยชน์เชิงปริมาณจากการนำไปใช้ รวมถึงการควบคุมและการมองเห็นสินทรัพย์ เวลาในการตอบสนองต่อช่องโหว่ที่รวดเร็วขึ้น และการจัดการวงจรชีวิตของซอฟต์แวร์โดยรวมที่ดีขึ้น แรงฉุดของ SBOM ดูเหมือนว่าจะสร้าง BOM เพิ่มเติม ซึ่งในบรรดา DBOM (data), HBOM (ฮาร์ดแวร์), PBOM (ไปป์ไลน์) และ CBOM (ความปลอดภัยทางไซเบอร์) เวลาจะบอกได้ว่าผลประโยชน์นั้นมีค่ามากกว่าภาระหน้าที่อันหนักหน่วงในการดูแลนักพัฒนาหรือไม่ แต่หลายคนก็หวังว่าการเคลื่อนไหวของ BOM จะนำไปสู่วิธีการคิดและแก้ไขปัญหาที่เหมือนกัน

นโยบายและความร่วมมือเพิ่มเติม ได้แก่ พ.ร.บ. ซอฟต์แวร์โอเพ่นซอร์สที่ปลอดภัย, ระดับห่วงโซ่อุปทานสำหรับกรอบงาน Software Artifacts (SLSA)และ กรอบการพัฒนาซอฟต์แวร์ที่ปลอดภัย (SSDF) ของ NISTดูเหมือนจะสนับสนุนแนวทางปฏิบัติที่ทำให้โอเพ่นซอร์สเป็นที่แพร่หลาย - ชุมชนส่วนรวมที่ทำงานร่วมกันโดยมีเป้าหมายเพื่อให้แน่ใจว่าห่วงโซ่อุปทานซอฟต์แวร์ที่ปลอดภัยโดยค่าเริ่มต้น

การมุ่งเน้นที่ "ข้อเสีย" ของโอเพ่นซอร์สอย่างโจ่งแจ้งและการจัดการ การโจมตี และการกำหนดเป้าหมายของมันได้ก่อให้เกิดความพยายามใหม่ ๆ ในการลดความเสี่ยงที่เกี่ยวข้อง ทั้งกับกระบวนการพัฒนาและรายงาน ตลอดจนเทคโนโลยี มีการลงทุนเพื่อหลีกเลี่ยงการกลืนกินส่วนประกอบที่เป็นอันตรายตั้งแต่แรก การใคร่ครวญและการเรียนรู้ในชีวิตจริงเกี่ยวกับการพัฒนาซอฟต์แวร์ วงจรชีวิตการพัฒนาซอฟต์แวร์ (SDLC) และห่วงโซ่อุปทานโดยรวมมีประโยชน์อย่างมากต่อชุมชนในขั้นตอนนี้

ในความเป็นจริงโอเพ่นซอร์สมีประโยชน์อย่างมาก ... โอเพ่นซอร์ส! นักพัฒนาพึ่งพาเครื่องมือโอเพ่นซอร์สเพื่อรวมการควบคุมความปลอดภัยที่สำคัญซึ่งเป็นส่วนหนึ่งของ การผสานรวมอย่างต่อเนื่อง/การส่งมอบอย่างต่อเนื่อง (ไปป์ไลน์ CI/CD) พยายามอย่างต่อเนื่องในการจัดหาทรัพยากรเช่น บัตรคะแนน OpenSSFด้วยสัญญาของการให้คะแนนอัตโนมัติและ ซอฟต์แวร์โอเพ่นซอร์ส (OSS) Secure Supply Chain (SSC) Frameworkซึ่งเป็นเฟรมเวิร์กที่มุ่งเน้นการบริโภคที่ออกแบบมาเพื่อปกป้องนักพัฒนาจากภัยคุกคามห่วงโซ่อุปทาน OSS ในโลกแห่งความเป็นจริง เป็นเพียงสองตัวอย่างกิจกรรมที่มีแนวโน้มว่าจะสนับสนุนทีมในขณะที่ประกอบซอฟต์แวร์

แข็งแกร่งขึ้นด้วยกัน

โอเพ่นซอร์สมีและจะดำเนินต่อไป เปลี่ยนเกมซอฟต์แวร์. มันส่งผลกระทบต่อวิธีที่โลกสร้างซอฟต์แวร์ ได้ช่วยเร่งเวลาในการออกสู่ตลาด ได้กระตุ้นนวัตกรรมและลดต้นทุนการพัฒนา อาจมีผลกระทบเชิงบวกต่อความปลอดภัย แต่งานยังคงต้องทำต่อไป และการสร้างโลกที่ปลอดภัยยิ่งขึ้นต้องใช้หมู่บ้านมารวมกันเพื่อแบ่งปันแนวคิดและแนวทางปฏิบัติที่ดีที่สุดกับชุมชนที่ใหญ่กว่า

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• เพลโตบล็อคเชน Web3 Metaverse ข่าวกรอง ขยายความรู้. เข้าถึงได้ที่นี่.
• ที่มา: https://www.darkreading.com/vulnerabilities-threats/modern-software-what-s-really-inside-