{"id":92519,"date":"2020-08-28T07:42:26","date_gmt":"2020-08-28T05:42:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya"},"modified":"2020-08-28T07:42:26","modified_gmt":"2020-08-28T05:42:26","slug":"devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","title":{"rendered":"DevSecOps: t\u00f6\u00f6p\u00f5him\u00f5tted ja SCA v\u00f5rdlus. Esimene osa","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Kolmanda osapoole tarkvara komponente anal\u00fc\u00fcsimise t\u00e4htsus (ingl. k. Software Composition Analysis \u2014 SCA) arendusprotsessis kasvab koos iga-aastaste aruannetega avatud l\u00e4htekoodi teeki seonduvatest haavatavustest, mida avaldavad ettev\u00f5tted Synopsys, Sonatype, Snyk, White Source. Vastavalt aruande... Avatud L\u00e4htekoodi Julgeoleku Haavatavuste Oleku Aruanne 2020<\/a><\/noindex> avastatud haavatuste arv avatud l\u00e4htekoodis 2019. aastal kasvas peaaegu 1,5 korda v\u00f5rreldes eelmise aastaga, samas kui avatud l\u00e4htetekstiga komponente kasutatakse 60% kuni 80% projektidest. Kui tugineda s\u00f5ltumatule arvamusele, on SCA protsessid OWASP SAMM ja BSIMM eraldi praktikad, mis n\u00e4itavad k\u00fcpsuse taset, ja 2020. aasta esimeses pooles avaldas OWASP uue standardi OWASP Software Component Verification Standard (SCVS), mis pakub parimaid tavasid kolmandate isikute komponentide kontrollimiseks tarkvara tarneahelas.<\/p>\n

\"DevSecOps:
\n<\/a><\/noindex>
\n\u00dcks k\u00f5ige iseloomulikumaid juhtumeid leidis aset<\/a><\/noindex> ettev\u00f5tte Equifax juures mai 2017. aastal. Teadmata kurjategijad said k\u00e4tte 143 miljoni ameeriklase isikuandmed, sealhulgas t\u00e4isnimesid, aadresse, sotsiaalhoolekande numbreid ja juhilube. 209 000 juhul sisaldasid dokumendid ka ohvrite pangakaarditeavet. See lekke juhtum toimus kritilise haavatavuse t\u00f5ttu Apache Struts 2-s (CVE-2017-5638), samas kui parandust\u00f6\u00f6tlus oli avaldatud juba m\u00e4rtsis 2017. Ettev\u00f5ttel oli kaks kuud uuenduse installimiseks, kuid keegi ei olnud sellega mures.<\/p>\n

K\u00e4esolevas artiklis arutatakse t\u00f6\u00f6riista valimise k\u00fcsimust SCA l\u00e4biviimiseks anal\u00fc\u00fcsi tulemuste kvaliteedi seisukohalt. Samuti tuuakse esile t\u00f6\u00f6riistade funktsionaalne v\u00f5rdlus. CI\/CD-sse integreerimise protsessi ja v\u00f5imalusi k\u00e4sitleme j\u00e4rgmistes v\u00e4ljaannetes. Lai t\u00f6\u00f6riistade nimekiri on esitatud OWASP oma veebilehe kaudu<\/a><\/noindex>, kuid praeguses \u00fclevaates k\u00e4sitleme vaid k\u00f5ige populaarsemaid avatud l\u00e4htekoodi t\u00f6\u00f6riistu Dependency Check, veidi v\u00e4hem tuntud avatud l\u00e4htekoodi platvormi Dependency Track ja ettev\u00f5tte lahendust Sonatype Nexus IQ. Samuti uurime, kuidas need lahendused t\u00f6\u00f6tavad ja v\u00f5rdleme saadud tulemusi valeh\u00e4irete osas.<\/p>\n

\"DevSecOps:
\n<\/p>\n

T\u00f6\u00f6 \u043f\u0440\u0438\u043d\u0446\u0438\u043f<\/h3>\n

\nDependency Check<\/a><\/noindex> \u2014 see on utiliit (CLI, maven, jenkins moodul, ant), mis anal\u00fc\u00fcsib projekti faile, kogub teavet s\u00f5ltuvuste kohta (paketi nimi, grupp, spetsifikatsiooni pealkiri, versioon...), koostab CPE (Common Platform Enumeration) stringi, pakendi URL (PURL) ja tuvastab CPE\/PURL jaoks haavatavused andmebaasidest (NVD, Sonatype OSS Index, NPM Audit API...), millele j\u00e4rgneb \u00fchekordse aruande koostamine HTML, JSON, XML vormingus...<\/p>\n

Vaatame, kuidas CPE v\u00e4lja n\u00e4eb:<\/p>\n

cpe:2.3:part:tootja:toode:versioon:uuendus:v\u00e4ljaanne:keel:sw_edition:target_sw:target_hw:muu<\/code><\/pre>\n
<\/p>\n