பாதுகாப்பு மற்றும் இரகசிய மேலாண்மை: DevSecOps மற்றும் செயற்கை நுண்ணறிவு

ஆதாயங்கள்:

• DevSecOps மற்றும் இரகசிய நிர்வாகத்தின் தங்க விதிகளைப் புரிந்து கொள்ளும் திறன் (குறியீட்டை உள்ளிடாது, பெட்டகத்தில் வைக்கப்படுகிறது, இயக்க நேரத்தில் செலுத்தப்படுகிறது, திரும்பப் பெறப்படுகிறது, குறைந்தபட்ச சலுகைகள்)
• பாதுகாப்பு ஸ்கேன் வெளியீடுகள் (SCA, SAST, படம், IaC, ரகசியம்) மற்றும் தற்காப்பு நோக்கங்களுக்காக தணிக்கை குறியீடு ஆகியவற்றிற்கு முன்னுரிமை அளிக்க செயற்கை நுண்ணறிவைப் பயன்படுத்தும் திறன்
• ரகசிய கசிவின் முதல் படி ரத்து/தலைமாற்றம் மற்றும் செயற்கை நுண்ணறிவை அங்கீகரிக்கப்பட்ட அமைப்புகளில், பாதுகாப்பு நோக்கங்களுக்காக, சட்ட வரம்புகளுக்குள் மட்டுமே பயன்படுத்த வேண்டும்.

ஒரு அமைப்பு எவ்வளவு விரைவாகப் பயன்படுத்தப்படுகிறது என்பது அது சமரசம் செய்யப்பட்ட நாளில் எதையும் குறிக்காது. DevOps வேகத்தில் கவனம் செலுத்தும் போது, ​​​​பாதுகாப்பு சில சமயங்களில் இறுதிவரை விடப்படும் - மேலும் இறுதிவரை இருக்கும் பாதுகாப்பு பெரும்பாலும் வராது. DevSecOps என்பது DevOps ஓட்டத்தின் தொடக்கத்திலும் ஒவ்வொரு அடியிலும் பாதுகாப்பை வைக்கும் அணுகுமுறையாகும்: "பாதுகாப்பை இடதுபுறமாக மாற்றுதல்" - அதாவது, குறியீட்டை எழுதும் போது, ​​தயாரிப்பில் இல்லாமல், பைப்லைனில் பாதிப்பைப் பிடிப்பது. DevSecOps நிபுணரைப் பொறுத்தவரை, பாதுகாப்பு என்பது ஒரு தனிக் குழுவின் வேலை அல்ல, ஆனால் ஒவ்வொரு உறுதிப்பாட்டின் ஒரு பகுதியாகும், ஒவ்வொரு படத்திலும், ஒவ்வொரு மேனிஃபெஸ்ட்டிலும் உள்ளது.

இந்த அலகில் இரண்டு முக்கிய அச்சுகள் உள்ளன. முதலாவது இரகசிய மேலாண்மை: பாதுகாப்பான உருவாக்கம், சேமிப்பு, விநியோகம் மற்றும் கடவுச்சொற்கள், விசைகள், சான்றிதழ்கள் போன்ற ரகசியத் தகவல்களைச் சுழற்றுதல். இரண்டாவது பாதுகாப்பு ஸ்கேனிங் மற்றும் கடினப்படுத்துதல்: சார்புகள், படங்கள், கட்டமைப்புகளில் பாதிப்புகளைக் கண்டறிதல். AI இரண்டிலும் ஒரு சக்திவாய்ந்த உதவியாளர் - இது பாதிப்புகளை வெளிப்படுத்துகிறது, ஸ்கேன் வெளியீடுகளுக்கு முன்னுரிமை அளிக்கிறது, திருத்தங்களை பரிந்துரைக்கிறது. ஆனால் மிக முக்கியமான எச்சரிக்கை இங்கே பொருந்தும்: AI என்பது பாதுகாப்பிற்கானது; வேறொருவரின் கணினியை அங்கீகரிக்கப்படாத அணுகல், அங்கீகரிக்கப்படாத ஸ்கேனிங் அல்லது தாக்குதல் கருவியை உருவாக்குவது சட்டவிரோதமானது மற்றும் இந்த தளத்தின் கடுமையான வரம்பு.

இரகசிய நிர்வாகத்தின் கோல்டன் விதிகள்

1. ரகசியம் அதை ஒருபோதும் மூலக் குறியீட்டில் சேர்க்காது. Dockerfile அல்ல, YAML அல்ல, ஸ்கிரிப்ட் அல்ல, Git அல்ல. Git-க்குள் நுழைந்தவுடன், அந்த ரகசியம் கடந்த காலத்தில் நீடிக்கிறது.
2. ரகசியங்கள் மத்திய பெட்டகத்தில் வைக்கப்பட்டுள்ளன. HashiCorp Vault, AWS சீக்ரெட்ஸ் மேனேஜர், Azure Key Vault, GCP Secret Manager — இந்த ஸ்டோர் ரகசியங்கள் குறியாக்கம் செய்யப்பட்டு, அணுகலைக் கட்டுப்படுத்தி, அவற்றைக் கண்காணிக்கும்.
3. அறுவை சிகிச்சையின் போது இது செலுத்தப்படுகிறது. பயன்பாடு இயங்கும் போது வால்ட் அல்லது சூழல் மாறியிலிருந்து ரகசியத்தை மீட்டெடுக்கிறது, வட்டில் இருந்து அல்ல.
4. இது தொடர்ந்து சுழலும். நீண்ட காலம் ஒரு இரகசிய வாழ்க்கை, கசிவு அதிக ஆபத்து. ஆட்டோ ஸ்பின் சிறந்தது.
5. குறைந்தபட்ச அதிகாரம். தேவைப்படும் சேவை மட்டுமே ஒவ்வொரு ரகசியத்தையும் அணுக முடியும்.

உதவிக்குறிப்பு: ஒரு ரகசிய ஸ்கேனரை (ஜிட்-சீக்ரெட்ஸ், கிட்லெக்ஸ், ட்ரஃபிள்ஹாக் போன்றவை) பைப்லைனில் வைப்பதே மிகவும் பயனுள்ள எதிர் நடவடிக்கையாகும்: தற்செயலாக ஒரு ரகசியம் செய்ய முயற்சித்தால் அது உறுதியை நிறுத்துகிறது. இது மூலத்தில் கசிவை நிறுத்துகிறது. இந்த உலாவிகளின் பைப்லைன் ஒருங்கிணைப்பை எழுத AI உதவுகிறது.

படிப்படியாக: ரகசிய கசிவுக்கு பதிலளிப்பது

ஒரு ரகசியம் கசிந்தால், பீதி அடைய வேண்டாம், ஒழுங்கு முக்கியமானது:

1. ரத்துசெய்து உடனடியாக சுழற்றவும். கசிந்த விசையை செல்லாததாக்கி, புதிய ஒன்றை உருவாக்கவும். அதை அழிப்பது மட்டும் போதாது - அது கடந்த காலத்தில் உள்ளது.
2. தாக்கத்தை மதிப்பிடுங்கள். இந்த விசையை எங்கு அணுகினார்? துஷ்பிரயோகம் செய்யப்பட்டதா? பதிவுகளை ஆராயுங்கள்.
3. மூலத்தை அணைக்கவும். எப்படி கசிந்தது? தெளிவான குறியீடு, வரலாறு; ஆனால் நினைவில் கொள்ளுங்கள்: அழிக்கும் முன் ரத்து செய்யப்படுகிறது.
4. தடுக்க. ரகசிய உலாவியை பைப்லைனில் சேர்க்கவும், அது மீண்டும் நடக்காது.

கவனம்: "யாரும் பார்க்கவில்லை" என்பதற்காக கசிந்த ரகசியத்தை திருப்பித் தரக்கூடாது என்பது மிகவும் விலையுயர்ந்த பந்தயம். பொது களஞ்சியத்தில் விடப்படும் விசை சில நொடிகளில் போட்களால் ஸ்கேன் செய்யப்படுகிறது. சந்தேகம் இருந்தால், சுழற்று - சுழற்சி செலவு குறைவாக உள்ளது, கசிவு செலவு பேரழிவு.

பாதுகாப்பு ஸ்கேன் வகைகள்

DevSecOps ஸ்கேனிங்கின் பல அடுக்குகளைப் பயன்படுத்துகிறது; ஒவ்வொன்றின் வெளியீட்டையும் விளக்குவதற்கு AI உதவியாக இருக்கும்:

• SCA (மென்பொருள் கலவை பகுப்பாய்வு): நீங்கள் பயன்படுத்தும் திறந்த மூல சார்புகளில் அறியப்பட்ட பாதிப்புகளை (CVE) கண்டறியும்.
• SAST (நிலையான பயன்பாட்டு பாதுகாப்பு சோதனை): பாதிப்புகளுக்கான மூலக் குறியீட்டை இயக்காமல் ஸ்கேன் செய்கிறது.
• DAST (டைனமிக் அப்ளிகேஷன் செக்யூரிட்டி டெஸ்டிங்): இயங்கும் பயன்பாட்டை வெளிப்புறமாக சோதிக்கிறது.
• பட ஸ்கேனிங்: கண்டெய்னர் படத்தில் உள்ள பாதிப்புகளைக் கண்டறிகிறது (டிரிவி, டோக்கர் ஸ்கவுட்).
• IaC ஸ்கேனிங்: Terraform/manifests (tfsec, checkov) இல் தவறான உள்ளமைவுகளைக் கண்டறிகிறது.

எச்சரிக்கை: ஒரு ஸ்கேனர் நூற்றுக்கணக்கான கண்டுபிடிப்புகளை கொட்டுகிறது; அவை அனைத்தையும் ஒரே நேரத்தில் சரிசெய்வது சாத்தியமில்லை. கண்டுபிடிப்புகளுக்கு முன்னுரிமை அளிக்க AI ஐப் பயன்படுத்தவும்: அவை உண்மையிலேயே பயன்படுத்தக்கூடியவை, கோட்பாட்டில் வெளிப்படையானவை ஆனால் நடைமுறையில் அணுக முடியாதவை? ஆனால் உங்கள் சொந்த சூழலுடன் இறுதி முன்னுரிமையை சரிபார்க்கவும்.

ராஸ்டர் அடுக்குகளின் அட்டவணை

அடுக்கு

அது என்ன ஸ்கேன் செய்கிறது?

மாதிரி வாகனம்

எப்போது

எஸ்சிஏ

சார்பு பாதிப்புகள் (CVE)

Dependabot, Snyk

ஒவ்வொரு கட்டமும்

SAST

மூல குறியீடு பாதிப்புகள்

Semgrep, CodeQL

ஒவ்வொரு PR

படத்தை ஸ்கேனிங்

கொள்கலன் பாதிப்புகள்

ட்ரிவி, சாரணர்

கட்டிய பிறகு

IaC ஸ்கேன்

தவறான கட்டமைப்பு

tfsec, செக்கோவ்

டெர்ராஃபார்ம் PR

இரகசிய ஸ்கேன்

கசிந்த ரகசியங்கள்

gitleaks

ஒவ்வொரு உறுதிமொழியும்

மூன்று சிறிய வழக்குகள்

வழக்கு 1 — 300 CVEகள், 12 உண்மையான அபாயங்கள். ஒரு பட ஸ்கேன் 300 பாதிப்புகளைப் புகாரளித்தது; அணி முடங்கியது. ஸ்கேன் அவுட்புட்டை AIக்கு கொடுத்து, "எவை தொலைதூரத்தில் பயன்படுத்திக் கொள்ள முடியும், அவற்றை அணுக முடியுமா?" அதற்கு முன்னுரிமை கொடுத்தனர். 12 உண்மையான ஆபத்தான கண்டுபிடிப்புகளை AI முன்னிலைப்படுத்தியது. அணி முதலில் அவற்றை மூடியது; மீதியை திட்டமிட்டு வேலைக்கு அமர்த்தினார். பீதிக்கு முன்னுரிமை கொடுங்கள்.

வழக்கு 2 - சுழற்சி தாக்குதலை முறியடித்தது. ஒரு டெவலப்பர் தற்செயலாக கிளவுட் விசையை பொது களஞ்சியத்திற்கு தள்ளினார். அலாரம் அடித்தது; டீம் கேன்சல் செய்து 4 நிமிடத்தில் சாவியை திருப்பி கொடுத்தது. விசை ஏற்கனவே ஒரு போட்டிலிருந்து வினவப்பட்டதாக பதிவுகள் காட்டுகின்றன - ஆனால் அது இப்போது தவறானது. விரைவான திருப்பம் சாத்தியமான பில்லிங் பேரழிவு மற்றும் தரவு கசிவைத் தடுத்தது.

வழக்கு 3 - IaC ஸ்கேன் ஒரு திறந்த வாளியைப் பிடித்தது. AI-உதவி பெற்ற IaC ஸ்கேன், டெர்ராஃபார்ம் குறியீட்டில் உள்ள சேமிப்பக வாளியைப் பிடித்தது. டெவலப்பர் அதை "சோதனைக்காக" திறந்து அதை மூட மறந்துவிட்டார். பைப்லைன் உறுதியை நிறுத்தியது; திறந்த ஒருபோதும் அதை உற்பத்தி செய்யவில்லை. இடதுபுறமாக ஸ்வைப் செய்வதன் சரியான புள்ளி அதுதான்.

நகலெடுக்கக்கூடிய நான்கு வார்ப்புருக்கள்

1) ஸ்கேன் வெளியீட்டிற்கு முன்னுரிமை கொடுங்கள்:

கீழே உள்ள பாதுகாப்பு ஸ்கேன் வெளியீட்டிற்கு முன்னுரிமை கொடுங்கள். ஒவ்வொரு கண்டுபிடிப்புக்கும்:(1) இது உண்மையிலேயே பயன்படுத்தக்கூடியதா (தொலைநிலை/அங்கீகரிக்கப்படாததா?), (2) இது எங்கள் சூழலில் அணுகக்கூடியதா, (3) சரிசெய்தல் முயற்சி, (4) பரிந்துரைக்கப்பட்ட முன்னுரிமை (முக்கியமான/உயர்/நடுத்தர/குறைவானது). 5 மிக அவசரமானவற்றை முன்னிலைப்படுத்தவும்.தெளிவாக பேசவும்; எனது சூழலுடன் ஒவ்வொரு முன்னுரிமையையும் நான் சரிபார்க்க வேண்டும் என்பதைக் குறிக்கவும். வெளியீடு: [SCAN]

2) இரகசிய மேலாண்மை வடிவமைப்பு:

[APPLICATION/INFRstructure] க்கான ரகசிய மேலாண்மை அணுகுமுறையை முன்மொழியுங்கள்: எந்த பெட்டகம், இயக்க நேரத்தில் ரகசியங்களை எவ்வாறு புகுத்துவது, சுழற்சியை எவ்வாறு தானியங்குபடுத்துவது, குறைந்தபட்ச சலுகைகளை எவ்வாறு செயல்படுத்துவது? குறியீட்டில் ரகசியத்தை உட்பொதிக்காத உறுதியான ஓட்டத்தை விவரிக்கவும்.

3) குறியீட்டில் உள்ள பாதிப்புகளைத் தேடுதல் (பாதுகாப்பு):

பாதுகாப்பிற்காக கீழே உள்ள எனது சொந்தக் குறியீட்டைச் சரிபார்க்கவும் (எனக்கு அனுமதி உள்ளது): ஏதேனும் ஊசி, உட்பொதிக்கப்பட்ட ரகசியம், பாதுகாப்பற்ற இயல்புநிலை, சரிபார்க்கப்படாத உள்ளீடு உள்ளதா? ஒவ்வொரு கண்டுபிடிப்புக்கும் அதன் முக்கியத்துவத்தையும் திருத்தத்தையும் கொடுங்கள். இதன் நோக்கம் பாதுகாப்பு மற்றும் ஒருங்கிணைப்பு ஆகும். குறியீடு: [CODE]

4) ரகசிய கசிவு பதில் திட்டம்:

ஒரு [ரகசிய வகை] தற்செயலாக [LOCATION] ஊடுருவியிருக்கலாம். படிப்படியான தலையீட்டு உத்தரவை எனக்குக் கொடுங்கள்: முதலில் நான் என்ன செய்ய வேண்டும் (ரத்து செய்தல்/திரும்புதல்), விளைவை எவ்வாறு மதிப்பிடுவது, மீண்டும் நிகழாமல் தடுப்பது எப்படி? ஏன் நீக்கினால் மட்டும் போதாது என்பதையும் விளக்கவும்.

பலவீனமான வரியில் / வலுவான வரியில்

பலவீனமானது: "இந்த அமைப்பை நான் எப்படி ஹேக் செய்வது/இந்த பாதிப்பை எப்படிப் பயன்படுத்துவது?"

இந்தக் கோரிக்கை நெறிமுறையற்றது மற்றும் கண்டிப்பாக இந்த தளத்தின் எல்லைக்கு வெளியே உள்ளது. தாக்குதலுக்கு AI ஐப் பயன்படுத்துவது சட்டவிரோதமானது.

வலிமையானது: "பாதுகாப்பிற்காக எனது சொந்த பயன்பாட்டின் குறியீட்டை அங்கீகரிக்கவும்: உட்பொதிக்கப்பட்ட ரகசியங்கள், ஊசி அபாயங்கள் மற்றும் பாதுகாப்பற்ற இயல்புநிலைகளைக் கண்டறியவும், அவை ஒவ்வொன்றையும் சரிசெய்யவும். கணினியை கடினமாக்குவதே குறிக்கோள்."

வேறுபாடு: இரண்டாவது கோரிக்கை, தற்காப்பு நோக்கங்களுக்காக, அதிகார வரம்புகளுக்குள் மற்றும் ஒருங்கிணைப்புக்காக. இது DevSecOps இல் AI இன் சரியான பயன்பாடாகும்.

பொதுவான தவறுகள்

• குறியீடு/வரலாற்றில் ரகசியத்தை உட்பொதித்தல். மிகவும் பொதுவான மற்றும் நிலையான பாதிப்பு.
• கசிந்த ரகசியத்தை திருப்பித் தரவில்லை. "யாரும் பார்த்ததில்லை" என்பது மிகவும் விலையுயர்ந்த பந்தயம்.
• அனைத்து ஸ்கிரீனிங் கண்டுபிடிப்புகளையும் சமமாகப் பார்க்கிறது. முன்னுரிமையளிப்பதன் மூலம் முடங்கிக் கிடப்பது அல்லது உண்மையான ஆபத்தை இழப்பது.
• பாதுகாப்பை கடைசி வரை விட்டுவிடுவது. பைப்லைனில் உள்ள இடைவெளியை விட தயாரிப்பில் உள்ள இடைவெளி பல மடங்கு விலை அதிகம்.
• குறைந்தபட்ச அதிகாரத்தை மீறுதல். எல்லாவற்றையும் அணுகக்கூடிய ஒரு ரகசியம்/பங்கு ஒரு ஒற்றை கசிவை பேரழிவாக ஆக்குகிறது.
• தாக்குதலுக்கு AI ஐப் பயன்படுத்த முயற்சிக்கிறது. சட்டவிரோத மற்றும் ஆஃப்-பிளாட்ஃபார்ம்.

சுருக்கமாக

DevSecOps தொடக்கத்திலும் DevOps ஓட்டத்தின் ஒவ்வொரு அடியிலும் பாதுகாப்பை வைக்கிறது - குறியீடு மற்றும் பைப்லைனில் பாதிப்புகளைப் பிடிக்கிறது, தயாரிப்பில் அல்ல. இரகசிய மேலாண்மைக்கான கோல்டன் விதிகள்: ரகசியமானது குறியீட்டை உள்ளிடாது, மைய பெட்டகத்தில் வைக்கப்படுகிறது, இயக்க நேரத்தில் செலுத்தப்படுகிறது, தொடர்ந்து திரும்பப் பெறப்படுகிறது மற்றும் குறைந்தபட்ச சலுகைகளுடன் அணுகப்படுகிறது. கசிவுக்கான முதல் படி எப்பொழுதும் அபார்ட்/ரிட்டர்ன் ஆகும். AI ஆனது ஸ்கேன் வெளியீட்டிற்கு முன்னுரிமை அளிப்பது, ரகசிய ஓட்டங்களை வடிவமைத்தல் மற்றும் தற்காப்புக் குறியீட்டை ஆய்வு செய்வது ஆகியவற்றில் சக்தி வாய்ந்தது - ஆனால் இது உங்களுக்கு அதிகாரம் உள்ள அமைப்புகளில் தற்காப்பு மற்றும் சட்ட வரம்புகளுக்குள் மட்டுமே பயன்படுத்தப்படுகிறது.

விண்ணப்ப பணி

உங்களுக்கான ஒரு திட்டத்தை எடுத்துக் கொள்ளுங்கள் (அதற்கு உங்களுக்கு அதிகாரம் உள்ளது). (1) உட்பொதிக்கப்பட்ட இரகசிய மற்றும் பாதுகாப்பற்ற இயல்புநிலைகளை "குறியீட்டில் உள்ள பாதிப்புகளைத் தேடுகிறது" டெம்ப்ளேட்டுடன் சரிபார்க்கவும். (2) "டிரேஜ்" டெம்ப்ளேட்டின் மூலம் பாதுகாப்பு ஸ்கேன் வெளியீட்டை (உண்மையான அல்லது மாதிரி) வரிசைப்படுத்தி, 3 மிக அவசரமான கண்டுபிடிப்புகளை அடையாளம் காணவும். (3) "ரகசிய மேலாண்மை வடிவமைப்பு" டெம்ப்ளேட்டுடன் உங்கள் திட்டத்திற்கான ஓட்ட வரைவை உருவாக்கவும், இது குறியீட்டிலிருந்து ரகசியத்தை முழுவதுமாக நீக்குகிறது.

சரிபார்ப்பு பட்டியல்

• [ ] எனது குறியீடு, படம் மற்றும் மேனிஃபெஸ்ட்டுகளில் உட்பொதிக்கப்பட்ட ரகசியங்கள் எதுவும் இல்லை என்பதை நான் சரிபார்த்துள்ளேன்.
• [ ] நான் இரகசியங்களை ஒரு மைய பெட்டகத்தில் வைத்து, அவற்றை இயக்க நேரத்தில் செலுத்துகிறேன்.
• [ ] கசிவு சூழ்நிலையில் முதல் படி கருக்கலைப்பு/திரும்புதல் என்பது எனக்குத் தெரியும்.
• சுரண்டல் மற்றும் எனது சூழலின் அடிப்படையில் ஸ்கேன் கண்டுபிடிப்புகளுக்கு முன்னுரிமை அளித்தேன்.
• [ ] நான் பாதுகாப்பு ஸ்கேன்களை பைப்லைனின் ஆரம்ப படிகளுக்கு (இடதுபுறம்) நகர்த்தினேன்.
• [ ] எனக்கு அதிகாரம் உள்ள அமைப்புகளில் தற்காப்பு நோக்கங்களுக்காக மட்டுமே AI ஐப் பயன்படுத்தினேன்.