{"id":92519,"date":"2020-08-28T07:42:26","date_gmt":"2020-08-28T05:42:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya"},"modified":"2020-08-28T07:42:26","modified_gmt":"2020-08-28T05:42:26","slug":"devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","title":{"rendered":"DevSecOps: t\u00f6\u00f6p\u00f5him\u00f5tted ja SCA v\u00f5rdlus. Esimene osa","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Kolmanda osapoole tarkvara komponentide anal\u00fc\u00fcsi (inglise keeles Software Composition Analysis \u2014 SCA) t\u00e4htsus arendamisel kasvab koos avatud l\u00e4htekoodiga raamatukogude haavatavuste kohta avaldatud iga-aastaste aruannetega, mida avaldavad ettev\u00f5tted nagu Synopsys, Sonatype, Snyk, White Source. Aruande kohaselt Avaallika turvalisuse haavatavuste seisund 2020<\/a><\/noindex> avastatud haavatuste arv avatud l\u00e4htekoodiga tarkvaras 2019. aastal kasvas peaaegu 1,5 korda v\u00f5rreldes eelmise aastaga, samas kui avatud l\u00e4htekoodiga komponente kasutatakse 60% kuni 80% projektidest. Kui viidata s\u00f5ltumatule arvamusele, on SCA protsessid OWASP SAMM ja BSIMM eraldi praktikad, mis on k\u00fcpsuse n\u00e4itajaks, ning 2020. aasta esimeses pooles avaldas OWASP uue standardi OWASP Software Component Verification Standard (SCVS), mis annab parimad praktikad kolmandate osapoolte komponentide kontrollimiseks tarkvara tarnimise ahelas.<\/p>\n

\"DevSecOps:
\n<\/a><\/noindex>
\n\u00dcks k\u00f5ige n\u00e4itlikumaid juhtumeid s\u00fcndis<\/a><\/noindex> koost\u00f6\u00f6s ettev\u00f5ttega Equifax mai 2017. aastal. Tundmatud k\u00fcberkurjategijad p\u00e4\u00e4sesid ligi 143 miljoni ameeriklase teabele, sealhulgas t\u00e4ielikele nimedele, aadressidele, sotsiaalkindlustuse numbritele ja juhtimissertifikaatidele. 209 000 juhul sisaldasid dokumentides ka teavet kannatanu pangakaartide kohta. See lekkimine toimus kriitilise haavatavuse t\u00f5ttu Apache Struts 2-s (CVE-2017-5638), samal ajal kui parandusv\u00e4ljaanne ilmus juba m\u00e4rtsis 2017. Ettev\u00f5ttel oli kaks kuud uuenduste rakendamiseks, kuid keegi ei muretsenud selle \u00fcle.<\/p>\n

K\u00e4esolevas artiklis arutatakse SCA t\u00f6\u00f6riista valimise k\u00fcsimust anal\u00fc\u00fcsi tulemuste kvaliteedi vaatepunktist. Samuti tuuakse v\u00e4lja t\u00f6\u00f6riistade funktsionaalne v\u00f5rdlus. CI\/CD-sse inteerimise protsessi ja integreerimise v\u00f5imalused j\u00e4tame j\u00e4rgmistele v\u00e4ljaannele. Lai nimekiri t\u00f6\u00f6riistadest on esitatud OWASP oma veebisaidil<\/a><\/noindex>, kuid k\u00e4esoleva \u00fclevaate raames k\u00e4sitleme ainult k\u00f5ige populaarsemat avatud l\u00e4htekoodiga t\u00f6\u00f6riista Dependency Check, veidi v\u00e4hem tuntud avatud l\u00e4htekoodiga platvormi Dependency Track ja ettev\u00f5tte lahendust Sonatype Nexus IQ. Samuti uurime, kuidas need lahendused t\u00f6\u00f6tavad ja v\u00f5rdleme saadud tulemusi valeh\u00e4irete osas.<\/p>\n

\"DevSecOps:
\n<\/p>\n

T\u00f6\u00f6printsiip<\/h3>\n

\nDependency Check<\/a><\/noindex> \u2014 see on utiliit (CLI, maven, jenkins moodul, ant), mis anal\u00fc\u00fcsib projekti faile, kogub teavet s\u00f5ltuvuste kohta (paketi nimi, grupi ID, spetsifikatsiooni pealkiri, versioon...), koostab CPE (Common Platform Enumeration) stringi, paketi URL (PURL) ja tuvastab CPE\/PURL jaoks haavatavused andmebaasidest (NVD, Sonatype OSS Index, NPM Audit API...), p\u00e4rast mida koostab ajakohase aruande HTML, JSON, XML jne formaadis.<\/p>\n

Vaatame, kuidas CPE v\u00e4lja n\u00e4eb:<\/p>\n

cpe:2.3:part:vendor:product:version:update:edition:language:sw_edition:target_sw:target_hw:other<\/code><\/pre>\n
<\/p>\n