Habiendo estado en ActiveState durante casi ocho primaveras, he gastado muchas versiones de nuestro producto. Sin secuestro, una cosa se ha mantenido cierta a lo generoso de los primaveras: nuestro compromiso con la comunidad de código hendido y las empresas que utilizan código hendido en su código.
ActiveState lleva más de una lapso ayudando a las empresas a encargar el código hendido. En sus inicios, el código hendido estaba en su infancia. Nos centramos principalmente en el caso del desarrollador, ayudando a conseguir código hendido en plataformas como Windows.
Con el tiempo, nuestro enfoque pasó de ayudar a las empresas a ejecutar código hendido a apoyar a las empresas que administran código hendido cuando la comunidad no lo producía de la forma que lo necesitaba. Comenzamos a encargar compilaciones a escalera y a ayudar a las empresas a comprender qué código hendido están utilizando y si es compatible y seguro.
La mandato del código hendido a escalera en una ordenamiento egregio puede resultar compleja. Para ayudar a las empresas a pasar esto y distribuir su praxis de DevSecOps de código hendido, presentamos nuestra plataforma de extremo a extremo para ayudar a encargar la complejidad del código hendido.
El estado flagrante del código hendido y la seguridad de la cautiverio de suministro
Es insalvable que con la creciente popularidad del código hendido surjan problemas de seguridad. La prohijamiento de código hendido en las aplicaciones de software modernas es significativa. Más del 90% de las aplicaciones contienen componentes de código hendido. El código hendido es ahora el núcleo de la forma en que producimos software, y hemos llegado a un punto en el que es el vector principal para que los malos actores obtengan golpe a casi cualquier aposento de software.
Los ataques han existido desde siempre, pero ha habido un número cada vez decano de incidentes en los últimos primaveras. La pandemia generó nuevas oportunidades para los malos actores. Cuando la gentío usaba sus propias redes domésticas y VPN con medidas de seguridad menos estrictas, empezó a permitir más riesgos. A pesar de los esfuerzos por regresar a la oficina, muchos trabajadores de TI todavía están en casa, por lo que estas oportunidades aún existen.
Por otra parte, muchas empresas no cuentan con procesos establecidos sobre cómo designar y pescar software de código hendido, por lo que los desarrolladores lo encuentran e incorporan a ciegas. El desafío es que las empresas no saben de dónde proviene el código fuente hendido, quién lo creó y con qué intenciones. Esto crea múltiples oportunidades para que se produzcan ataques a lo generoso del proceso de la cautiverio de suministro de software de código hendido.
El código hendido es un ecosistema hendido, lo que lo hace delicado «por diseño». Debe ser lo más hendido posible para no impedir que los autores contribuyan, pero existe un seguro desafío para mantenerlo seguro durante todo el proceso de mejora.
Los riesgos no sólo existen cuando se importa. Si su servicio de compilación no es seguro cuando comienza a inventariar, puede estar en peligro. Muchos de los ataques más recientes que hemos gastado son ataques a la cautiverio de suministro de software de código hendido, no vulnerabilidades. Esto requiere un enfoque completamente nuevo para la seguridad del código hendido.
Reimaginando el proceso de mandato de código hendido
En ActiveState, nuestra representación es aportar rigor a la cautiverio de suministro de código hendido. Las empresas pueden obtener una mejor visibilidad y control sobre su código fuente hendido en DevSecOps centrándose en un ciclo de mandato de cuatro pasos.
Paso 1: descubrimiento
Antaño de que pueda siquiera comenzar a corregir las vulnerabilidades, necesita asimilar qué está utilizando en su código. Es importante hacer un inventario de todo el código hendido que se ejecuta adentro de su ordenamiento. Un artefacto de este esfuerzo podría parecerse a un tablero.
Paso 2: Priorización
Una vez que tenga el panel, puede comenzar a analizar vulnerabilidades y dependencias y priorizar en cuáles centrarse primero. Comprender dónde están los riesgos en su código pulvínulo y clasificarlos le ayudará a tomar decisiones informadas sobre los próximos pasos.
Paso 3: puesta al día y curación
Ahora viene la escalón de remediación y mandato de cambios. Querrá establecer gobernanza y políticas para tener la llave de la despensa el código hendido en toda su ordenamiento para prolongar a todos alineados en todas las funciones y equipos.
Todavía debe encargar de cerca qué dependencias se utilizan tanto en los entornos de producción como de mejora para minimizar el peligro.
En nuestra plataforma mantenemos un gran catálogo inmutable de software de código hendido. Mantenemos un registro consistente y reproducible de rodeando de 50 millones de componentes de lectura, y lo ampliamos constantemente. Ayuda a nuestros usuarios a cerciorarse de que siempre puedan retornar a compilaciones reproducibles. Significa que puedes pretender todo Internet para obtener código hendido mientras confías en que es seguro.
Paso 4: construir e implementar
La escalón de construcción e implementación implica incorporar componentes de código hendido seguros en su código, porque no estará efectivamente solucionado ni seguro hasta que se implementen las correcciones. En ActiveState, creamos y rastreamos todo. Desde que ingerimos el código fuente hasta que lo integramos en un clúster seguro. Luego se lo entregamos en una variedad de formatos para que lo implemente según sus deyección. Somos la única decisión (que sepamos) que efectivamente ayuda a las empresas a remediar e implementar, completando el ciclo de vida completo para avalar la seguridad de la cautiverio de suministro de software.
Un nuevo ActiveState: afrontar de frente los desafíos de seguridad del código hendido
A través de nuestro trabajo en código hendido durante la última lapso, hemos descubierto que existe una brecha entre las comunidades apasionadas que producen código hendido y las empresas que quieren utilizarlo en su software. Ahora estamos ayudando a cerrar esa brecha, potenciando el ecosistema de código hendido y al mismo tiempo brindando seguridad a las organizaciones.
La plataforma actualizada que hemos desarrollado y nos hemos centrado en suministrar la colaboración entre varios actores de las organizaciones, incluidos desarrolladores, DevOps y seguridad. Nuestra plataforma ayuda a los equipos a ejecutar sin problemas un ciclo continuo de mandato de código hendido.
Hay seis casos de uso esencia en los que nos centramos para ayudar a los equipos a ocasionar resultados.
- Descubribilidad y observabilidad: Obtenga información completa sobre todo, desde el uso de código hendido hasta las ubicaciones de implementación.
- Integración continua de código hendido: Mantenga su código actualizado, evite cambios importantes y elimine riesgos.
- Dirección de entorno seguro: Asegúrese de que sus entornos de mejora, pruebas y producción sean coherentes y reproducibles.
- Gobernanza y mandato de políticas: Mantenga un catálogo de código hendido seleccionado sin parar los tiempos de mejora.
- Cumplimiento normativo: Cumpla automáticamente con las regulaciones gubernamentales y acelere las revisiones de seguridad.
- Más allá del apoyo al final de la vida: Manténgase estable y seguro incluso a posteriori de que los sistemas lleguen al final de su vida útil
Si su equipo necesita soporte para cualquiera de estos casos de uso, nuestra nueva plataforma puede ayudar. Explore la plataforma ActiveState actualizada con una prueba de Platform Enterprise hoy.
Nota: Pete Garcin, director senior de producto de ActiveState, le presenta este interesante artículo, que comparte su experiencia y perspectiva única sobre los desafíos y soluciones en cambio en la mandato de código hendido.
