सॉफ़्टवेयर आपूर्ति श्रृंखला सुरक्षा क्या है?

सॉफ़्टवेयर आपूर्ति श्रृंखला हमले हाल के वर्षों में अधिक प्रचलित और परिष्कृत हो गए हैं। एक के अनुसार गार्टनर की रिपोर्टअनुमान है कि 2025 तक सॉफ्टवेयर आपूर्ति श्रृंखला हमलों की संख्या तीन गुना हो जाएगी, जिससे दुनिया भर के लगभग आधे संगठन प्रभावित होंगे। इस बढ़ते खतरे के परिणामस्वरूप, सभी घटकों, गतिविधियों और एसडीएलसी प्रथाओं को सुरक्षित करना पहले से कहीं अधिक महत्वपूर्ण है।

जबकि इसे रोकना मुश्किल है सॉफ़्टवेयर आपूर्ति श्रृंखला पर हमले, निम्नलिखित कुछ चीजें हैं जो आप उनके प्रभाव को कम करने या उनके जोखिमों को कम करने के लिए कर सकते हैं: अपने बुनियादी ढांचे का ऑडिट करें, अपनी सभी सॉफ्टवेयर संपत्तियों की एक अद्यतन सूची रखें, विक्रेताओं का आकलन करें और शून्य-विश्वास दृष्टिकोण लागू करें, सुरक्षा उपकरणों का उपयोग करें, अपनी सुरक्षा करें समापन बिंदु, आदि

जबकि जीवन में कोई गारंटी नहीं है, सुरक्षा की तो बात ही छोड़ दें, हैं सॉफ़्टवेयर आपूर्ति श्रृंखला सुरक्षा सर्वोत्तम प्रथाएँ डेवलपर्स और उत्पाद संगठनों को अपनी सॉफ़्टवेयर आपूर्ति श्रृंखला को सुरक्षित करने के लिए किसका पालन करना होगा। अपने सॉफ़्टवेयर जीवनचक्र के विभिन्न चरणों में, आप अपने संगठन के भीतर सुरक्षा प्रथाओं का वर्णन, मूल्यांकन और माप करने के लिए इन दिशानिर्देशों का उपयोग कर सकते हैं। अधिग्रहण, विकास और तैनाती सहित सॉफ़्टवेयर आपूर्ति श्रृंखला के प्रत्येक चरण में सर्वोत्तम प्रथाएँ लागू होती हैं।

की संख्या में वृद्धि सॉफ्टवेयर आपूर्ति श्रृंखला जोखिम और उनके परिणामस्वरूप होने वाले हाई-प्रोफाइल उल्लंघनों की एक श्रृंखला से पता चलता है कि भेद्यता की समस्या कितनी गंभीर है। सॉफ़्टवेयर आपूर्ति श्रृंखला के लिए कई ख़तरे हैं जो तृतीय-पक्ष सॉफ़्टवेयर द्वारा उत्पन्न किए जा सकते हैं। हमलावरों के लिए उन प्रणालियों में कमजोरियों का फायदा उठाना संभव है जो विभिन्न तरीकों से तीसरे पक्ष के सॉफ़्टवेयर पर निर्भर हैं। हमले के इन तरीकों में सॉफ़्टवेयर में दुर्भावनापूर्ण कोड डालना, निर्भरता भ्रम पैदा करना और टाइपोस्क्वैटिंग शामिल हैं।

आपूर्ति श्रृंखला हमले आमतौर पर किसी संगठन के सॉफ़्टवेयर पारिस्थितिकी तंत्र तक अप्रतिबंधित पहुंच प्राप्त करने के लिए वैध प्रक्रियाओं के पीछे छिपते हैं। ज्यादातर मामलों में, हमलावर किसी विक्रेता या सॉफ़्टवेयर आपूर्तिकर्ता की सुरक्षा सुरक्षा में सेंध लगाकर शुरुआत करते हैं। एक बार जब आपूर्ति श्रृंखला मैलवेयर इंजेक्ट हो जाता है, तो उसे खुद को एक वैध डिजिटल हस्ताक्षरित प्रक्रिया से जोड़ना होगा। सॉफ़्टवेयर आपूर्ति श्रृंखला में मैलवेयर फैलाने के लिए सॉफ़्टवेयर अपडेट का उपयोग अक्सर हमलावरों द्वारा किया जाता है। कुछ सामान्य सॉफ़्टवेयर आपूर्ति श्रृंखला हमलों के प्रकार इसमें शामिल हैं: समझौता किए गए सॉफ़्टवेयर निर्माण उपकरण, चोरी हुए कोड-साइन प्रमाणपत्र या चोरी की पहचान का उपयोग करके हस्ताक्षरित दुर्भावनापूर्ण ऐप्स, और हार्डवेयर या फ़र्मवेयर घटकों में समझौता किए गए कोड।

एक एसबीओएम (सामग्री का सॉफ्टवेयर बिल), एक सॉफ्टवेयर उत्पाद या एप्लिकेशन को बनाने वाले कई घटकों के बारे में जानकारी का एक सेट है। इसमें आमतौर पर लाइसेंसिंग जानकारी, संस्करण संख्या, घटक विवरण, विक्रेता आदि शामिल होते हैं। ऐसी विस्तृत और औपचारिक सूची दूसरों को यह समझने की अनुमति देकर कि उनके सॉफ़्टवेयर में क्या है और उसके अनुसार कार्य करने से निर्माता और उपयोगकर्ता दोनों के लिए जोखिम कम हो जाते हैं।

एसबीओएम उत्पाद घटकों की दृश्यता की अनुमति देते हैं, आसान भेद्यता स्कैनिंग सक्षम करते हैं, लाइसेंसिंग गवर्नेंस फीट का लाभ उठाते हैं, और अखंडता के लिए खतरों का विश्लेषण करने के लिए इसका उपयोग किया जा सकता है।

कंटीन्यूअस एश्योरेंस का लक्ष्य सॉफ्टवेयर आपूर्ति श्रृंखला की अंधता को दूर करना है। इसमें विकास जीवन चक्र में प्रत्येक घटना के बारे में हस्ताक्षरित साक्ष्य एकत्र करना शामिल है जो उत्पाद निर्माण और तैनाती सहित अंतिम सॉफ्टवेयर उत्पाद की सुरक्षा को प्रभावित कर सकता है। आज, उद्यम अपने सॉफ़्टवेयर उत्पादों को अधिक सुरक्षित बनाने के लिए विभिन्न प्रकार के सुरक्षा उपकरणों का उपयोग करते हैं। हालाँकि, वे इन उपकरणों के लगातार उपयोग के लिए शायद ही कभी कोई नीति स्थापित करते हैं।

सतत आश्वासन यह सुनिश्चित करता है कि विकास के दौरान सॉफ्टवेयर उत्पादों के साथ छेड़छाड़ नहीं की गई और सुरक्षा संबंधी परीक्षण किए गए।

छोटे कोड परिवर्तन लंबे समय तक पता नहीं चल पाते हैं। यदि संशोधित उत्पाद ठीक से हस्ताक्षरित है तो विकास टीमें कोड के मालिक पर भरोसा करती हैं। परिणामस्वरूप, मैलवेयर युक्त पैकेज बनाए जा सकते हैं और विश्वसनीय, लोकप्रिय अनुरक्षकों को उनकी जानकारी के बिना सौंपा जा सकता है। ग़लत भरोसे के मामले का मतलब समस्याग्रस्त असुरक्षा या पूर्णतया हो सकता है आपके कोड में छिपा दुर्भावनापूर्ण कोड.

डेवलपर्स के लिए मौजूदा लाइब्रेरी या स्टैक ओवरफ्लो से कोड को अपने कोड में उपयोग करने या नई लाइब्रेरी में अपलोड करने के लिए कॉपी और पेस्ट करना भी आम है। इससे असुरक्षित और कमजोर कोड की प्रतिलिपि बनाने की संभावना भी बढ़ जाती है जो अब अनिवार्य रूप से ट्रैक नहीं किया जा सकता है। 

का अंतिम संस्करण एनआईएसटी एसएसडीएफ 1.1 (सिक्योर सॉफ्टवेयर डेवलपमेंट फ्रेमवर्क) 22 मार्च को जारी किया गया था। सितंबर 2021 में, ढांचे का एक मसौदा संस्करण प्रकाशित किया गया था। कई अंतर उच्च-स्तरीय प्रथाओं और कार्यों के बजाय प्रदान किए गए विभिन्न उदाहरणों पर केंद्रित हैं।

यह तय करते समय कि किन प्रथाओं को लागू करना है, एनआईएसटी लागत, व्यवहार्यता और प्रयोज्यता के विरुद्ध जोखिम को संतुलित करने की सिफारिश करता है। सॉफ़्टवेयर सुरक्षा सुनिश्चित करने के लिए, यथासंभव अधिक से अधिक जाँचों और प्रक्रियाओं का स्वचालन विचार करने योग्य एक प्रमुख विशेषता है।

अपने सॉफ़्टवेयर में विश्वास बनाना एक महत्वपूर्ण कार्य है, विशेष रूप से SSDF और SLSA जैसे नए मानकों और सर्वोत्तम प्रथाओं को देखते हुए। जल्द ही जो विक्रेता इस भरोसे को साबित नहीं कर पाएंगे, वे अमेरिकी संघीय सरकार को नहीं बेच पाएंगे।

विश्वास कायम करने के लिए, आपको अपने उत्पादों के एसबीओएम को हितधारकों के साथ उनके सुरक्षित विकास और निर्माण के साक्ष्य के साथ बनाए रखना और साझा करना होगा।

मुंशी मंच, वास्तव में एंड-टू-एंड सॉफ़्टवेयर आपूर्ति श्रृंखला सुरक्षा समाधान, आपको यह क्षमता प्रदान करता है। यह शून्य-विश्वास दृष्टिकोण में पूरे एसडीएलसी में निरंतर कोड आश्वासन लागू करता है और स्वचालित रूप से साझा करने योग्य एसबीओएमएस उत्पन्न करता है ताकि आप कमजोरियों और कोड छेड़छाड़ के बारे में जानकारी प्राप्त कर सकें।

सुरक्षा के लिए गतिशील पाइपलाइनों की लगातार निगरानी की जानी चाहिए। में एसएलएसए साइबर सुरक्षा ढांचा (सॉफ्टवेयर कलाकृतियों के लिए आपूर्ति श्रृंखला स्तर), सॉफ्टवेयर आपूर्ति श्रृंखलाओं के लिए सुरक्षा के चार स्तरों को परिभाषित किया गया है, साथ ही प्रत्येक स्तर तक पहुंचने के दिशानिर्देशों के साथ।

आपको स्वचालन को लागू करने के लिए सर्वोत्तम प्रथाओं का पालन करने की आवश्यकता है, जैसे कि सिगस्टोर और ओपीए जैसे ओपन-सोर्स टूल का उपयोग करना।