Skip to main content

Рекомендации по защите кода в цепочке поставок

Руководство по защите основного элемента цепочки поставок, то есть вашего кода и кода зависимостей.

Об этом руководстве

В этом руководстве описываются самые важные изменения, которые можно внести для улучшения защиты вашего кода. В каждом разделе описаны изменения, которые можно внести в процессы для повышения безопасности. Сначала указаны изменения с самым высоким влиянием.

В чем заключаются риски?

Приведем некоторые ключевые риски в процессе развертывания.

  • Использование зависимостей с уязвимостями системы безопасности, которыми может воспользоваться злоумышленник.
  • Утечка учетных данных или маркера проверки подлинности, которыми может воспользоваться злоумышленник для доступа к ресурсам.
  • Внесение уязвимости в собственный код, который злоумышленник может использовать.

Эти риски открывают возможности для атаки на ваши ресурсы и проекты. Кроме того, эти риски напрямую передаются всем, кто использует созданный вами пакет. В следующих разделах объясняется, как защитить себя и пользователей от этих рисков.

Создание программы управление уязвимостями для зависимостей

Вы можете защитить код, от которого зависите, создав программу управления уязвимостями для зависимостей. На высоком уровне она должна включать процессы, позволяющие убедиться, что вы:

  1. создали инвентаризацию зависимостей;

  2. знаете, когда в зависимости присутствует уязвимость системы безопасности;

  3. Принудительное применение проверок зависимостей в запросах на вытягивание.

  4. оценили влияние этой уязвимости на код и приняли решение, какие действия следует предпринять.

Автоматическое создание инвентаризации

В качестве первого шага необходимо выполнить полную инвентаризацию зависимостей. Граф зависимостей для репозитория показывает зависимости для поддерживаемых экосистем. Если вы синхронизируете свои зависимости или используете другие экосистемы, вам нужно будет дополнить его данными из сторонних инструментов или перечислить зависимости вручную. Дополнительные сведения см. в разделе Сведения о графе зависимостей.

Автоматическое обнаружение уязвимостей в зависимостях

Dependabot помогает отслеживать зависимости и уведомляет вас об обнаружении в них известной уязвимости. Вы даже можете включить Dependabot для автоматического создания запросов на вытягивание, которые обновляют зависимость до безопасной версии. Дополнительные сведения см. в разделах Сведения о Dependabot alerts и Сведения об обновлениях системы безопасности Dependabot.

Автоматическое обнаружение уязвимостей в запросах на вытягивание

dependency review action обеспечивает проверку зависимостей для ваших запросов на вытягивание, позволяя легко определить, будет ли запрос на вытягивание представлять уязвимую версию зависимости в репозитории. При обнаружении уязвимости dependency review action может заблокировать слияние запроса на вытягивание. Дополнительные сведения см. в разделе Применение проверки зависимостей.

Оценка подверженности риску от уязвимой зависимости

Обнаружив использование уязвимой зависимости, например, библиотеки или платформы, вы должны оценить уровень подверженности риску вашего проекта и определить, какие действия следует предпринять. Сообщения об уязвимостях обычно содержат оценку серьезности уязвимости, показывающую уровень ее влияния. Оценка серьезности — полезный ориентир, но она не может показать полное влияние уязвимости на код.

Чтобы оценить влияние уязвимости на код, необходимо также изучить, как вы используете библиотеку, и определить, насколько серьезному риску эта уязвимость подвергает вашу систему. Возможно, уязвимость является частью функции, которую вы не используете, так что можно просто обновить затронутую библиотеку и продолжить обычный цикл выпуска. Или, возможно, ваш код мало подвержен риску, и вам нужно просто обновить затронутую библиотеку и сразу отправить обновленную сборку. Это решение зависит от того, как вы используете библиотеку в вашей системе, и его должны принимать только вы.

Защита маркеров взаимодействия

Код часто должен взаимодействовать с другими системами по сети, поэтому необходимо использовать секреты (такие как пароль или ключ API) для проверки подлинности. Чтобы ваша система могла работать, ей нужен доступ к этим секретам, но рекомендуется не включать их в исходный код. Это особенно важно для репозиториев, к которым могут иметь доступ многие пользователи и критически важно для общедоступных репозиториев.

Автоматическое обнаружение секретов, зафиксированных в репозитории

Примечание. Secret scanning alerts for partners автоматически запускается в общедоступных репозиториях во всех продуктах в GitHub.com. Secret scanning alerts for users доступны для общедоступных репозиториев, а также репозиториев, принадлежащих организациям, которые используют GitHub Enterprise Cloud и имеют лицензию на GitHub Advanced Security. Дополнительные сведения см. в разделе Сведения о secret scanning alerts for users и сведения о GitHub Advanced Security.

GitHub сотрудничает со многими поставщиками, чтобы автоматически определять, когда секреты фиксируются или сохраняются в ваших общедоступных репозиториях, и уведомляет поставщика, чтобы он мог предпринять соответствующие действия для обеспечения безопасности вашей учетной записи. Дополнительные сведения см. в разделе Сведения о secret scanning alerts for partners.

Вы можете включить и настроить дополнительное сканирование, которое будет оповещать вас о случайной утечке секретов в GitHub, если у вас есть:

  • общедоступные репозитории в GitHub.com.
  • организация, использующий GitHub Enterprise Cloud с лицензией на GitHub Advanced Security. Secret scanning также проанализирует частные репозитории.

Безопасное хранение секретов, используемых в GitHub

Помимо кода, вам, вероятно, потребуется использовать секреты и в других местах. Например, чтобы разрешить рабочим процессам GitHub Actions, Dependabot или среде разработки GitHub Codespaces взаимодействовать с другими системами. Дополнительные сведения о безопасном хранении и использовании секретов см. в разделах Зашифрованные секреты в Actions, Управление зашифрованными секретами для Dependabot и Управление зашифрованными секретами для ваших кодовых пространств codespace.

Хранение уязвимых шаблонов кода вне вашего репозитория

Примечание. Code scanning доступно во всех открытых репозиториях на GitHub.com. Code scanning также доступно в частных репозиториях, принадлежащих организациям, которые используют GitHub Enterprise Cloud и имеют лицензию на GitHub Advanced Security. Дополнительные сведения см. в разделе Сведения о GitHub Advanced Security.

Создание процесса проверки запроса на вытягивание

Вы можете повысить качество и безопасность кода, обеспечив проверку и тестирование всех запросов на вытягивание перед их слиянием. В GitHub имеется множество функций, которые можно использовать для управления процессом проверки и слияния. Чтобы приступить к работе, ознакомьтесь с разделом Сведения о защищенных ветвях.

Сканирование кода на наличие уязвимых шаблонов

Рецензентам часто бывает трудно обнаружить небезопасные шаблоны кода без посторонней помощи. Помимо сканирования кода на наличие секретов, вы также можете проверить его на наличие шаблонов, связанных с уязвимостями системы безопасности. Например, таких, как функция, которая не является безопасной для памяти, или неспособность экранировать введенные пользователем данные, что может привести к уязвимости к внедрению вредоносных программ. GitHub предлагает несколько разных подходов к тому, как и когда вы сканируете свой код. Чтобы начать работу, ознакомьтесь с разделом Сведения о сканировании кода.

Дальнейшие действия