BGP užgrobimo pamoka: programinės įrangos saugumui neužtenka pasitikėjimo
·
BGP užgrobimas skamba kaip labai techninis dalykas. Kažkas apie maršrutus, IP adresus ir tinklo lenteles.
Bet Ars Technica aprašyta istorija rodo paprastesnę pamoką: kai interneto infrastruktūroje atsiranda klaida ar gudri ataka, pasekmė gali pasiekti paprastą programinės įrangos diegimą.
Kitaip tariant, problema prasideda kažkur tinkle, o baigiasi tavo serveryje.
KAS NUTIKO
Ars Technica rašo apie BGP užgrobimą, kurio metu buvo perimti IP maršrutai ir naudoti užkrėsti realius tinklus. Tai nėra eilinis slaptažodžio nutekėjimas.
BGP yra vienas iš tų interneto pamatų, apie kuriuos dauguma vadovų negalvoja. Ir suprantama. Kol viskas veikia, jis atrodo kaip elektra sienoje.
Bet kai toks pamatas sujuda, gali nukentėti programų atnaujinimai, diegimo grandinės ir pasitikėjimas tuo, iš kur ateina kodas.
KODĖL ČIA SUSIJĘ SU DI
DI komandos šiandien diegia daug daugiau kodo, paketų, modelių ir automatinių agentų. Greitis didėja. Priklausomybių irgi daugėja.
Jei agentas pats įrašo paketą, siunčia komandą ar traukia biblioteką, jis turi remtis tuo pačiu internetu. O internetas nėra sterilus vamzdis.
Todėl tiekimo grandinės saugumas DI laikais tampa ne IT skyriaus kaprizu, o būtina higiena.
KĄ VERTA PASITIKRINTI
Pirma – ar jūsų sistemos tikrina paketų parašus ir šaltinius. Antra – ar diegimai gali būti sustabdyti, jei kažkas atrodo keistai.
Trečia – ar DI agentai turi teisę diegti kodą be žmogaus peržiūros. Jei turi, bent jau turi būti aišku, kur tai užrašoma ir kaip atsekama.
Pasitikėjimas yra gerai. Bet pasitikėjimas be patikros internete labai greitai tampa naivumu.
FAQ
Kas yra BGP užgrobimas?
Tai situacija, kai interneto maršrutai nukreipiami neteisinga arba piktybine kryptimi, leidžiant perimti ar paveikti srautą.
Kodėl tai pavojinga programinei įrangai?
Jei diegimo ar atnaujinimo kelias nukreipiamas netinkamai, galima įterpti kenksmingą kodą ar užkrėstą paketą.
Kaip tai susiję su DI agentais?
DI agentai dažnai jungiasi prie įrankių ir diegia priklausomybes, todėl jiems reikia aiškių leidimų ir tiekimo grandinės patikrų.
Šaltinis: Ars Technica.
Šią savaitę pasitikrinkite vieną dalyką: ar jūsų komandoje DI agentas gali įdiegti kodą be žmogaus. Jei gali, jau turite klausimą kitam susitikimui.
