आपूर्ति श्रृंखला सुरक्षा जोखिम मूल्यांकन: ओपन सोर्स निर्भरता से तीसरे पक्ष के घटकों तक

आपूर्ति श्रृंखला सुरक्षा स्थिति

आधुनिक अनुप्रयोगों का 90% कोड ओपन सोर्स से आता है। Log4j घटना (2021) दुनिया भर में लाखों प्रणालियों को प्रभावित करती है और इतिहास में सबसे खराब आपूर्ति श्रृंखला हमला है। सोलरविंड्स घटना अमेरिकी सरकारी एजेंसियों को प्रभावित करती है।

आम जोखिम

निर्भरता भ्रम: हमलावर सार्वजनिक गोदाम में समान नाम के पैकेज जारी करते हैं। विष पैक: रखरखाव खातों को हैक किया गया है और दुर्भावनापूर्ण कोड लगाया गया है। निर्भरताओं का रखरखाव नहीं: परित्यक्त पैकेज अब अपडेट नहीं होते हैं और कमजोरियों को ठीक नहीं किया जाता है।

सुरक्षा उपकरण

SCA सॉफ्टवेयर घटक विश्लेषण: Snyk, Dependabot, OWASP Dependency-Check। SBOM सॉफ्टवेयर सामग्री की सूची: CycloneDX, SPDX प्रारूप, सभी निर्भरताओं की सूची।

सर्वोत्तम अभ्यास

न्यूनतम निर्भरता सिद्धांत, लॉक संस्करण, नियमित लेखा परीक्षा निर्भरता, निजी गोदाम का उपयोग, लॉक हैश, निगरानी सुरक्षा घोषणाओं।