القاعدة 27: هجمات سلسلة الإمداد للبرمجيات
ماذا لو لم تكن أكبر تهديدات نظامك هي الشيفرة الخاصة بك، بل المكتبات مفتوحة المصدر الموثوقة التي تستوردها؟ أهلاً بك في أسوأ كابوس للمطوّرين: هجمات سلسلة الإمداد للبرمجيات.
لم يعد المهاجمون يضيّعون وقتهم في محاولة التحايل على جدار الحماية الخاص بك. بدلًا من ذلك، يقومون بتسميم حزم open-source الشائعة (على npm أو PyPI أو GitHub) بإضافة أبواب خلفية خبيثة. وعندما تقوم بتشغيل أمر بسيط مثل pip install أو npm install، فإنك تُدخل برمجيتهم الخبيثة مباشرةً إلى الخادم الخاص بك دون قصد!
لتطبيق القاعدة 27، يجب أن تؤمّن تبعياتك عبر طبقات الدفاع الثلاثة المطلقة:
1️⃣ ثبّت تبعياتك: استخدم دائمًا ملفات القفل (مثل package-lock.json أو requirements.txt مع تجزئات/هاشات صارمة) لضمان عدم تنزيل أي شيفرة غير متوقعة أو معدّلة أثناء النشر.
2️⃣ فحص الثغرات بشكل آلي: أدمج أدوات مثل Snyk وGitHub Dependabot أو OWASP Dependency-Check ضمن سير عملك. فهي تكتشف فورًا وتمنع المكتبات المُخترَقة أو القديمة.
3️⃣ تحقّق من المصدر: قبل الوثوق بحزمة جديدة، راجع القائمين عليها، وتحقق من وتيرة تحديثها، واحذر من الاستيلاء بالنعوت/التشابه (Typosquatting) حيث يُسمّي المهاجمون حزمًا خبيثة بأسماء قريبة جدًا من المشهورة (مثل requsts بدل requests).
لا تدع مكتبة طرف ثالث موثوقة تتحول إلى حصان طروادة لبنيتك التحتية
#BTC
ماذا لو لم تكن أكبر تهديدات نظامك هي الشيفرة الخاصة بك، بل المكتبات مفتوحة المصدر الموثوقة التي تستوردها؟ أهلاً بك في أسوأ كابوس للمطوّرين: هجمات سلسلة الإمداد للبرمجيات.
لم يعد المهاجمون يضيّعون وقتهم في محاولة التحايل على جدار الحماية الخاص بك. بدلًا من ذلك، يقومون بتسميم حزم open-source الشائعة (على npm أو PyPI أو GitHub) بإضافة أبواب خلفية خبيثة. وعندما تقوم بتشغيل أمر بسيط مثل pip install أو npm install، فإنك تُدخل برمجيتهم الخبيثة مباشرةً إلى الخادم الخاص بك دون قصد!
لتطبيق القاعدة 27، يجب أن تؤمّن تبعياتك عبر طبقات الدفاع الثلاثة المطلقة:
1️⃣ ثبّت تبعياتك: استخدم دائمًا ملفات القفل (مثل package-lock.json أو requirements.txt مع تجزئات/هاشات صارمة) لضمان عدم تنزيل أي شيفرة غير متوقعة أو معدّلة أثناء النشر.
2️⃣ فحص الثغرات بشكل آلي: أدمج أدوات مثل Snyk وGitHub Dependabot أو OWASP Dependency-Check ضمن سير عملك. فهي تكتشف فورًا وتمنع المكتبات المُخترَقة أو القديمة.
3️⃣ تحقّق من المصدر: قبل الوثوق بحزمة جديدة، راجع القائمين عليها، وتحقق من وتيرة تحديثها، واحذر من الاستيلاء بالنعوت/التشابه (Typosquatting) حيث يُسمّي المهاجمون حزمًا خبيثة بأسماء قريبة جدًا من المشهورة (مثل requsts بدل requests).
لا تدع مكتبة طرف ثالث موثوقة تتحول إلى حصان طروادة لبنيتك التحتية
#BTC