때때로 보안…

Dec 20 2022

역사를 살펴보면 보안이 수년 동안 기술 산업의 관심사임을 알 수 있습니다. 그러나 코드를 보호하기 위해 자체 프로토콜이나 가이드를 따르는 회사는 많지 않습니다.

Unsplash의 Matthew Henry 사진

기술 산업에서는 이런 일이 자주 발생하지 않을 것이라고 말할 수 있지만 주의를 기울이면 Uber의 최신 문제에 대해 들었을 것입니다. 18세의 한 침입자가 Uber 직원에게 가짜 Uber 사이트에 로그인하도록 지시한 사회 공학을 수행했습니다. 그러면 입력된 자격 증명을 실시간으로 빠르게 가져와 실제 Uber 사이트에 로그인하는 데 사용했습니다.

해킹 및 교훈

그 당시 Uber는 직원이 로그인할 때 스마트폰에서 버튼 알림을 누르도록 하는 앱 형태로 MFA를 활성화했습니다. 해커가 이 보호를 우회하기 위해 한 것은 자격 증명을 입력하는 것이었습니다. 실제 사이트에 여러 번. 직원은 혼란스럽거나 피곤해서 결국 버튼을 눌렀습니다. 직원이 버튼을 눌렀을 때 해커는 이미 들어가 있었다.

Unsplash에 있는 Mika Baumeister의 사진

이제 아무 것도 할 수 없는 회사로 Uber를 상상해 보십시오. MFA를 사용하더라도 해커는 약간의 손상을 입힐 수 있었고 이 회사에서 정보를 얻거나 잠그는 데 창의적이었습니다. 이런 일이 일어날 수 있다면 이제 코드를 보호하지 않으면 어떤 일이 일어날지 상상해야 합니다.

코드를 보호하는 방법?

기술 커뮤니티의 일원이라면 Stack Overflow 에서 코드와 답변을 몇 번이나 찾습니까 ? 그렇다면 프로덕션 환경의 실제 분기에 코드를 복사하여 붙여넣기 전에 코드를 확인하는 방법으로 이 도구를 사용하는 것이 좋습니다. 이 도구는 Snyk 의 Code Checker 라고 합니다 .

Snyk 스크린샷

이제 Snyk가 나를 위해 무엇을 할 수 있는지 궁금할 것입니다. 이 도구는 모든 플랫폼에서 코드를 확인하는 데 도움이 될 뿐만 아니라 현재 리포지토리에서 무엇이 잘못될 수 있는지에 대한 통찰력을 제공할 수 있습니다.

아래 그림을 보면 Snyk가 내 GitHub 계정에 연결되어 있는 것을 볼 수 있습니다.

이렇게 하면 업데이트되지 않은 종속성, 코드를 손상시키는 요소 및 업데이트해야 하는 항목을 확인하려는 여러 작업을 위한 공간이 열립니다.
아래 그림을 보면 보고서에 대해 알려주고 낮음, 중간, 치명적 취약점이 무엇인지 언급합니다. 이제 취약점을 무시하거나 수정할 수 있습니다.

DevSecOps 로서 나는 항상 중요한 취약점을 목표 로 삼고 스코어카드를 살펴보고 이것이 우리가 즉시 고칠 수 있는 것인지 알아내야 한다고 말할 것입니다 . 내가 왜 이렇게 말합니까? 소프트웨어 엔지니어 에게 무슨 일이 일어나고 있는지 알려주고 현재 스프린트에서 업데이트하고 수정할 수 있는 지점을 찾을 수 있는지 확인 해야 하기 때문입니다 . 일부 다른 팀은 같은 날 문제를 해결하기로 결정할 것입니다. 이 도구는 나중에 결정을 내리거나 PR을 만들 수 있기 때문에 모든 결정에 도움이 될 것입니다 .

이 취약점 수정을 클릭하면 다음이 표시됩니다.

위의 그림에서 몇 가지 문제가 있음을 알 수 있으며 이러한 모든 문제의 의미가 무엇인지 궁금할 수 있습니다. 글쎄, 당신이 항상 궁금해하는 유형의 사람이라면 이러한 취약점 중 하나를 클릭하는 것이 좋습니다. 이 경우 수정 사항이 있는 문제에서 정규식 서비스 거부(ReDoS)를 클릭합니다.

이것은 당신이 다루고 있는 것에 대한 전체 맥락을 제공할 것이며, 이것이 진짜가 아닌 경우 "오류를 찾았습니까?"를 클릭하여 언제든지 실수로 보고할 수 있습니다. 이때 다른 화면으로 안내되며 세부 정보를 공유해야 합니다.

여기에서 읽고 있는 내용이 확실하지 않은 경우 자세히 알아볼 수 있는 옵션이 있습니다. 이를 위해 이에 대해 배우기 시작하는 대화식 모드가 있습니다. https://learn.snyk.io/lessons/redos/javascript/ 링크를 클릭하십시오 .

이제 좀 더 자신감이 생겼으니 계속 진행하여 PR을 생성할 것입니다. GitHub 내부는 다음과 같습니다 .

그런 다음 새 PR과 새 Branch를 모든 수정 사항과 병합할 수 있는 옵션이 제공됩니다.

병합하기로 결정한 경우 이제 다음이 표시됩니다.

이제 리포지토리에서 변경된 사항을 알아보려면 GitHub 내부에서 변경된 파일을 확인해야 합니다 .

여기에서 볼 수 있듯이 최신 상태를 유지하기 위해 몇 가지 업데이트를 수행해야 했습니다. 이제 돌아가서 Snyk 에서 대시보드를 확인 하고 모든 것이 수정되었는지 확인 해야 합니다 . 경영진에게 보고서를 보내야 하는 경우 해당 사람들을 Snyk 계정에 추가하고 이러한 유형의 보고서를 그들과 공유할 것을 제안합니다 .

또한 이에 대해 더 알고 싶다면. 제안은 이 링크에 있습니다.https://learn.snyk.io/. 당신이 더 많은 비디오 콘텐츠 사람이라면 가서 그들의 유튜브 채널을 찾으십시오.https://www.youtube.com/c/Snyksec.