ИТ Блог. Администрирование серверов на основе ядра Linux
Широко используемые библиотеки программного обеспечения с открытым исходным кодом являются одной из наиболее важных частей современной разработки программного обеспечения. Они позволяют разработчикам по всему миру ускорить доставку программного обеспечения при меньших затратах. В среднем 80-90% типичного программного приложения содержат программные компоненты с открытым исходным кодом, и эта тенденция будет только усиливаться по мере их использования в автомобилях, IoT, мобильных телефонах и многих других инфраструктурах.
Однако использование компонентов с открытым исходным кодом сопряжено с различными скрытыми уязвимостями в системе безопасности, которые в случае использования могут нанести ущерб репутации и финансам организации. Без надлежащего обслуживания и инвестиций библиотеки программного обеспечения с открытым исходным кодом могут легко стать обузой для организации.
В этой статье мы обсудим скрытые угрозы безопасности, существующие в библиотеках программного обеспечения с открытым исходным кодом, а также различные методы и тактики, которые вы можете реализовать для их устранения.
Открытый исходный код является общедоступным, что делает его уязвимым. Это может существенно повлиять на уровень безопасности организации, подвергая ее программное обеспечение кибератакам.
Когда разработчики обнаруживают уязвимости в библиотеках или приложениях с открытым исходным кодом, они обычно сообщают о них на общедоступном форуме. Это дает хакерам возможность злоупотреблять организациями, зависящими от этих библиотек и приложений. Злоумышленники также используют передовые технологии для постоянного добавления вновь обнаруженных уязвимостей с открытым исходным кодом в свободно доступные хакерские наборы инструментов. Это помогает хакерам легко и быстро обнаруживать некорректные приложения и легко использовать их.
К сожалению, поскольку не каждый разработчик в организации может свободно изменять код с открытым исходным кодом из-за ограниченных разрешений, им может быть сложно исправить обнаруженные уязвимости и обезопасить системы своей компании от таких злоумышленников.
Библиотеки с открытым исходным кодом часто зависят от других библиотек с открытым исходным кодом, а эти библиотеки, в свою очередь, могут зависеть от другого набора библиотек. В результате получается сложное дерево зависимостей, которое затрудняет отслеживание уязвимостей и проблем безопасности.
Для примера возьмем библиотеку Pandas с открытым исходным кодом для анализа данных. Чтобы проверить уязвимости безопасности в ней, вам необходимо выполнить проверку качества библиотеки NumPy, а также других библиотек, от которых зависит Pandas. Затем вам также необходимо выполнить ту же проверку на наличие уязвимостей в библиотеках, от которых зависит NumPy, и так далее. Результирующим деревом зависимостей быстро становится все труднее управлять.
Пакеты и библиотеки с открытым исходным кодом бесплатны для использования; однако вы не можете использовать их, не соблюдая лицензии на их использование. Некоторые библиотеки с открытым исходным кодом предлагают разрешительные лицензии, позволяющие разработчикам свободно изменять исходный код и развертывать его клиентам в качестве корпоративных приложений. Другое программное обеспечение с открытым исходным кодом предлагает ограничительные лицензии, которые требуют, чтобы любая производная работа, то есть любая модификация исходного кода с открытым исходным кодом, лицензировалась только как с открытым исходным кодом.
Риски возникают, когда приложение организации содержит компоненты с открытым исходным кодом, лицензия которых оказывается несовместимой с лицензией приложения в целом или с лицензией некоторых компонентов приложения. Для выявления таких конфликтов лицензий доступно множество автоматизированных инструментов, аналогичных инструментам, доступным для обнаружения уязвимостей.
Когда библиотеки с открытым исходным кодом не обновляются регулярно, они становятся все более уязвимыми для атак. Во многих случаях устаревшие компоненты с открытым исходным кодом с известными уязвимостями все еще используются и остаются в производственной среде.
Разработчики обычно используют более старые версии этих библиотек, чтобы избежать сбоев в коде, вызванных внедрением более новых версий. Однако это подвергает организацию высокому риску угроз безопасности, утечек данных и сбоев в обслуживании, поскольку хакеры могут легко воспользоваться известными уязвимостями.
Открытый исходный код подвергается многочисленным обновлениям через многочисленных соавторов, в ходе которых некоторые разработчики могут неосознанно внедрять уязвимости, неправильно заботясь о безопасности. В дальнейшем эти уязвимости могут быть упущены во время тестирования, что приведет к развертыванию ненадлежащим образом защищенных приложений для общего использования.
Разработчики также часто заимствуют неисправный код с открытым исходным кодом для создания своих приложений, даже не проверяя его происхождение и документацию. Документация, которую разработчики иногда пропускают при копировании кода, может содержать информацию для безопасного внедрения исходного кода. Таким образом, трудно гарантировать, что разработчики следовали лучшим практикам для безопасного управления используемым ими открытым исходным кодом.
Организации должны принимать меры предосторожности при использовании библиотек с открытым исходным кодом. Ниже мы рассмотрим способы обработки или снижения рисков, связанных с открытым исходным кодом.
Регулярные аудиты безопасности являются хорошим способом выявления любых новых или существующих рисков в библиотеках с открытым исходным кодом. Различные сканеры уязвимостей, доступные на рынке, наряду с тестированием на проникновение, могут использоваться для аудита кода и выявления любых потенциальных слабых мест. В идеале это должен быть автоматизированный процесс, интегрированный в конвейер непрерывной интеграции и непрерывной доставки (CI/CD) для отслеживания изменений или новых уязвимостей в программном обеспечении.
Рекомендуется выполнять проверки непрерывно в процессе производства. Это становится особенно важным для известных уязвимостей, которые все еще не устранены.
Одним из наиболее важных шагов в создании устойчивого и безопасного программного обеспечения является налаживание эффективного сотрудничества между командами DevOps и SecOps, также известными как DevSecOps. Цель состоит в том, чтобы обеспечить более безопасное программное обеспечение, сделав безопасность ключевой частью каждого этапа жизненного цикла разработки программного обеспечения.
Такой подход позволяет организациям выявлять проблемы безопасности на ранней стадии и немедленно устранять их. Организации, как правило, внедряют автоматизированные инструменты безопасности, анализ кода и непрерывное тестирование для этой цели. Они помогают снизить вероятность использования бреши в системе безопасности, а также помогают создавать более безопасное программное обеспечение в условиях меняющегося ландшафта угроз.
Ниже приведены некоторые из лучших инструментов с открытым исходным кодом, доступных для автоматизации обеспечения безопасности.
OpenSCAP – это набор инструментов с открытым исходным кодом для организаций, стремящихся внедрить стандарты безопасности и придерживаться их. Он обеспечивает сканирование уязвимостей, управление конфигурацией и проверки соответствия стандартам SCAP.
Wazuh – это инструмент управления информацией о безопасности и событиями (SIEM) с открытым исходным кодом. Он включает возможности обнаружения вторжений, обнаружения уязвимостей и поведенческого мониторинга. Wazuh может автоматизировать реагирование на события безопасности.
OSQuery позволяет запрашивать вашу операционную систему так же, как вы обращались бы к базе данных. Он предоставляет SQL-подобные запросы для сбора информации о состоянии ваших систем, что делает его полезным для мониторинга безопасности, соответствия требованиям и реагирования на инциденты.
TheHive – это платформа реагирования на инциденты с открытым исходным кодом для совместной работы, разработанная для того, чтобы командам кибербезопасности было проще управлять инцидентами безопасности и смягчать их последствия. Она интегрируется с различными инструментами безопасности и поддерживает управление обращениями и анализ.
MISP Threat Sharing представляет собой платформу анализа угроз с открытым исходным кодом, основной целью которой является улучшение обмена организованной информацией об угрозах. Эта платформа позволяет организациям сотрудничать в обмене, хранении и сопоставлении показателей, связанных с компромиссами и потенциальными угрозами.
Еще одним важным шагом в устранении рисков, связанных с открытым исходным кодом, является автоматизация повторяющихся и тривиальных задач. Это помогает организациям высвободить возможности своих групп безопасности, чтобы сосредоточиться на более важных и сложных проблемах. Автоматизация помогает снизить вероятность ошибок, обеспечивает быстрое обнаружение инцидентов и реагирование на них, а также поддерживает согласованный процесс обеспечения безопасности.
Задачи безопасности, которые можно автоматизировать, включают сканирование уязвимостей, тестирование безопасности, анализ кода, реагирование на инциденты, контроль доступа и мониторинг соответствия требованиям.
Основной проблемой библиотек программного обеспечения с открытым исходным кодом является лицензирование. Инструменты анализа состава программного обеспечения (SCA) помогают командам отслеживать эти библиотеки и решать любые существующие в них проблемы с лицензированием или безопасностью / соответствием требованиям.
Для обеспечения надежной стратегии безопасности организации должны сосредоточиться на идентификации, мониторинге и управлении компонентами приложений с открытым исходным кодом и сторонних производителей с использованием решений SCA. Эти инструменты приносят огромную пользу организациям, экономя время и функциональность, а также обнаруживая любые скрытые уязвимости в программном обеспечении, которыми могут воспользоваться хакеры.
SCA позволяет вашей команде разработчиков использовать потенциал библиотек программного обеспечения с открытым исходным кодом, одновременно управляя рисками, которые они представляют для вашей организации.
Ниже приведены некоторые из лучших инструментов SCA, широко используемых сегодня в организациях:
Компаниям необходимо найти библиотеку программного обеспечения с открытым исходным кодом, которая хорошо известна и которой доверяют, с надежным послужным списком. Это помогает снизить вероятность внедрения уязвимого кода.
Хорошей отправной точкой является определение даты последнего обновления менеджера пакетов, количества загрузок и участников. Даже в этом случае важно сканировать библиотеки для выявления любых существующих в них уязвимостей. Существуют различные доступные плагины, которые помогут вам контролировать работу менеджера пакетов.
После того, как вы определились с библиотеками, которые будете использовать, важно отслеживать их зависимости, чтобы убедиться, что они актуальны и безопасны. Это значительно снизит риск использования хакерами любых необнаруженных уязвимостей в зависимостях.
На каждом этапе жизненного цикла разработки программного обеспечения вы должны использовать автоматизацию для активного мониторинга зависимостей всех используемых библиотек. В идеале это должно включать оповещения, чтобы вы немедленно уведомлялись о любых обнаруженных проблемах.
В сфере современной разработки программного обеспечения библиотеки программного обеспечения с открытым исходным кодом играют ключевую роль, способствуя ускорению доставки и снижению затрат для разработчиков по всему миру. По мере того, как эти библиотеки становятся все более неотъемлемой частью различных инфраструктур, таких как автомобили, устройства интернета вещей и мобильные телефоны, ожидается рост их распространенности.
Хотя библиотеки программного обеспечения с открытым исходным кодом предлагают огромные преимущества с точки зрения функциональности и эффективности, организации должны применять упреждающий и комплексный подход к устранению уязвимостей.
Реализуя стратегии, изложенные в этом посте, разработчики и службы безопасности могут найти баланс, используя преимущества библиотек с открытым исходным кодом, одновременно защищая свои организации от потенциальных угроз безопасности.
(1 оценок, среднее: 5,00 из 5)
Загрузка...
