استخبارات التهديدات
الهجمات على سلسلة التوريد البرمجية وكيف تدافع عنها
الخلاصة في ثلاثة سطور
- التطبيق الحديث في معظمه شيفرة كتبها آخرون.
- قائمة مكوّنات البرمجيات هي الأساس.
- التسمية المتشابهة تنشر حزمة تبعد حرفًا واحدًا عن حزمة شهيرة.
التطبيق الحديث في معظمه شيفرة كتبها آخرون. فبين مستودعات الحزم وصور الحاويات وإضافات التكامل المستمر ووكلاء البناء، أمام المهاجم أبواب كثيرة لا تتطلب لمس مستودعك أصلًا.
اعرف ما الذي تشحنه فعلًا
قائمة مكوّنات البرمجيات هي الأساس. فبدون جرد مولَّد ومحفوظ لكل اعتمادية مباشرة وغير مباشرة في كل إصدار، يستغرق السؤال «هل نحن متأثرون بهذه الثغرة الجديدة؟» أيامًا، وتكون الاستغلالات قد صارت علنية.
- ولّد قائمة المكوّنات مع كل بناء لا عند الطلب
- احفظها مع النسخة التي تصفها
- ثبّت الاعتماديات على إصدارات وبصمات محددة
أنماط الهجوم التي تستحق الاستعداد
التسمية المتشابهة تنشر حزمة تبعد حرفًا واحدًا عن حزمة شهيرة. وارتباك الاعتماديات يستغل أدوات تفضّل الحزمة العامة على حزمتك الخاصة بالاسم نفسه. واختراق المشرف يستولي على حساب شرعي وينشر إصدارًا فرعيًا خبيثًا. أما اختراق نظام البناء فهو الأشد ضررًا: تبقى الشيفرة نظيفة بينما تُعدَّل النسخة الناتجة أثناء البناء.
حصّن خط الإنتاج ذاته
تعامل مع نظام التكامل المستمر كبنية إنتاجية، فهو يحمل بيانات اعتماد كل شيء. وينبغي أن يكون وكلاء البناء مؤقتين، وأن تكون الأسرار رموزًا قصيرة العمر لا مفاتيح ثابتة، وأن تُثبَّت إجراءات الأطراف الثالثة على بصمة إصدار لا على وسم قابل للتغيير.
وتوقيع النسخ والتحقق من التواقيع عند النشر يغلق الفجوة الأخيرة: فحتى لو عُدِّل شيء بعد البناء، فلن يُنشر.
راجع التحديثات كما تراجع الشيفرة
التحديث التلقائي للاعتماديات جيد لسرعة الترقيع وسيئ لأمن سلسلة التوريد حين يُدمج دون قراءة. والحل الوسط المعقول هو تحديث آلي مع مراجعة بشرية إلزامية للفروق في كل ما يمس نصوص التثبيت أو الاتصالات الشبكية أو بيانات الاعتماد.
الخلاصة العملية
ولّد قائمة مكوّنات مع كل بناء، وثبّت ووقّع كل شيء، وتعامل مع خط البناء كبيئة إنتاج، ولا تدمج تحديث اعتمادية لم يقرأه أحد.
خدمات راصد ذات الصلة
مصادر رسمية
بقلم خالد نمرة
المؤسس والرئيس التنفيذي لراصد سلوشنز — القائد الهندسي لحلول راصد
أسّس خالد نمرة شركة راصد سلوشنز عام ٢٠١٥، ويقود فرق الهندسة والأمن التي تقف خلف حلول راصد في الرياض.
مقالات ذات صلة
تطوير المواقع
أسعار خدمات السيو في السعودية 2026: التكلفة والباقات وما الذي تدفع مقابله؟
نطاقات تقريبية لأسعار السيو في السعودية، وما الذي يغيّر السعر، وما الذي يجب أن يتضمنه العرض الجاد، والأسئلة التي تطرحها قبل التوقيع.
تطوير المواقع
ما هو السيو وكيف يعمل؟ دليل عملي للشركات في السعودية
ما السيو فعليًا، وكيف يقرر Google من يظهر أولًا، والركائز الثلاث التي يُحاسَب عليها أي موقع تجاري سعودي.
تطوير المواقع
السيو المحلي وخرائط جوجل في السعودية: كيف يجدك العملاء القريبون منك
كيف تعمل نتائج البحث المحلي، وما الذي يجب أن يحتويه ملفك التجاري على Google، ولماذا يجب أن يتطابق اسمك وعنوانك ورقمك في كل مكان.