การวิเคราะห์องค์ประกอบซอฟต์แวร์ (SCA)
ระบุและบริหารจัดการความเสี่ยงใน Open Source และไลบรารีของบุคคลที่สามที่โปรแกรมต้องพึ่งพา ไม่ว่าจะเป็นช่องโหว่ที่ทราบ การปฏิบัติตามใบอนุญาต และความเสี่ยงแบบ Transitive
แอปพลิเคชันสมัยใหม่โดยทั่วไปประกอบด้วยโค้ดจากบุคคลที่สาม 80 ถึง 90% SCA คือวิธีที่ทำได้จริงในการทำให้ Attack Surface ส่วนนี้มองเห็นและจัดการได้ โดยสร้างบัญชีรายการ Component จับคู่ช่องโหว่ที่รู้จักเข้ากับ Component เหล่านั้น และคัดกรองว่ารายการใดโจมตีได้จริงในแอปพลิเคชันของคุณ ซึ่งคือความแตกต่างระหว่างผลลัพธ์ Scanner 4,000 รายการกับรายการแก้ไขที่จัดลำดับแล้วสำหรับทีม Engineering
นอกเหนือจากการติดตามช่องโหว่แล้ว SCA ยังมีประโยชน์ด้าน License Compliance อีกด้วย ไลบรารี Open Source จำนวนมากมีข้อผูกมัดทางกฎหมาย (เช่น การให้เครดิตผู้พัฒนา การเปิดเผย Source Code และข้อจำกัดในการเผยแพร่ต่อ) ซึ่งมักจะตกหล่นไปเมื่อมีการดึง Component เข้ามาใช้งานผ่าน Transitive Dependency SCA จะช่วยแสดงข้อผูกมัดเหล่านั้นให้คุณเห็นก่อนที่จะกลายเป็นความเสี่ยงทางกฎหมาย
โดยทั่วไปแล้ว SCA เป็นบริการตรวจสอบ Source Code ที่รวมเข้ากับระบบทำงานแบบต่อเนื่อง (CI/CD) ได้ง่ายที่สุด เนื่องจากระบบจะทำงานกับไฟล์ Build Manifest (เช่น package.json, pom.xml) แทนที่จะเป็นตัวโค้ดหลักทั้งหมด และเครื่องมือในปัจจุบันยังสามารถผสานเข้ากับไพป์ไลน์ CI/CD ส่วนใหญ่ได้โดยแทบไม่มีอุปสรรคเลย
ความเสี่ยงที่ต้องพิจารณา
ความเสี่ยง Supply Chain กลายเป็นเรื่องของทุกองค์กร
กรณี Log4Shell, XZ Utils และ polyfill.io ในช่วงไม่กี่ปีที่ผ่านมาพิสูจน์ให้เห็นชัดเจนแล้วว่า Component แบบ Open Source เพียงชิ้นเดียวสามารถกลายเป็น Incident ระดับองค์กรได้ภายในข้ามคืน SCA คือบัญชีรายการที่คุณจำเป็นต้องมี เพื่อให้รู้ได้ตั้งแต่แรกว่าองค์กรได้รับผลกระทบหรือไม่
License Compliance มีผลผูกพันจริง
ข้อผูกมัดของไลเซนส์ประเภท GPL/AGPL เคยมีการฟ้องร้องดำเนินคดีจริงมาแล้ว การเผยแพร่ซอฟต์แวร์ที่ไลเซนส์ไม่เข้ากันอาจนำมาซึ่งต้นทุนทางธุรกิจและกฎหมายที่มีนัยสำคัญ และโดยทั่วไปทีม Engineering จะมองไม่เห็นปัญหานี้เลยจนกว่าจะได้รัน SCA
สิ่งที่เราทดสอบ
Component analysis
- การตรวจจับช่องโหว่ที่ทราบ (CVE, GHSA)
- การสแกน Component ครอบคลุมทั้ง Direct และ Transitive Dependency
- การทำแผนผัง Dependency และการแสดงภาพ Supply Chain
- บัญชีรายการ Container และ Base Image
Compliance & monitoring
- การวิเคราะห์การปฏิบัติตามไลเซนส์และข้อผูกมัด
- การประเมินความเสี่ยงด้านความปลอดภัย และคัดกรองช่องโหว่ที่โจมตีได้จริง
- คำแนะนำในการลดความเสี่ยงและแก้ไขช่องโหว่
- การติดตามอย่างต่อเนื่องผ่าน CI/CD
แนวทางการทำงานที่มีโครงสร้างชัดเจน ขับเคลื่อนด้วยข้อมูลเชิงลึกในทุกการทดสอบ
ทุกโครงการดำเนินตามแนวทางที่มีระเบียบวินัยเดียวกันผ่านแพลตฟอร์ม Velocity เพื่อให้คุณภาพ การติดตามตรวจสอบ และการรายงานมีมาตรฐานเดียวกันในทุกทีม
การกำหนดขอบเขต
กำหนดสินทรัพย์ สภาพแวดล้อม ข้อกำหนดในการทดสอบ และเกณฑ์การยอมรับร่วมกับผู้เกี่ยวข้องด้านเทคนิคและความปลอดภัย
การดำเนินการ
การทดสอบแบบ Manual และด้วยเครื่องมือโดยที่ปรึกษาที่ได้รับการรับรอง CREST พร้อมเก็บหลักฐานในทุกขั้นตอน
การตรวจสอบความถูกต้อง
ทุกการค้นพบจะถูกทำซ้ำ ประเมินระดับความเสี่ยงด้วย CVSS และยืนยันโดยที่ปรึกษาท่านที่สองก่อนรายงานผล
การรายงาน
รายงานที่ลงนามด้วยรหัส พร้อมการอ้างอิง Test Case การจัดระดับความรุนแรง ขั้นตอนการทำซ้ำ และแนวทางแก้ไข
สรุปผลและการทดสอบซ้ำ
การประชุมสรุปผลกับผู้เกี่ยวข้อง การช่วยจัดลำดับความสำคัญ และการทดสอบซ้ำหลังการแก้ไข
อ้างอิงมาตรฐานสากลที่ได้รับการยอมรับ
คำถามจากผู้สนใจใช้บริการ
SCA สามารถสร้าง SBOM ได้หรือไม่? +
ใช่ เราส่งมอบรายการส่วนประกอบซอฟต์แวร์ (Software Bill of Materials หรือ SBOM) ในรูปแบบ CycloneDX หรือ SPDX ซึ่งปัจจุบันลูกค้าองค์กรขนาดใหญ่และหน่วยงานกำกับดูแลเริ่มกำหนดให้ส่งมอบมากขึ้นเรื่อย ๆ เพื่อเป็นหลักประกันความปลอดภัยของ Software Supply Chain
คุณตรวจสอบ Container Image ด้วยหรือเปล่า? +
ใช่ การตรวจสอบ Container โดยทั่วไปจะผสมผสานการทำ SCA กับ Dependency ของแอปพลิเคชัน ควบคู่กับการทำ SBOM ของ Container Image และการวิเคราะห์ช่องโหว่ของ Base Image
คุณรับมือกับ False Positive อย่างไร? +
ผลลัพธ์ดิบจาก SCA จะแจ้งเตือนทุก CVE ที่รู้จักในทุก Component โดยไม่สนใจว่าโค้ดส่วนที่มีช่องโหว่นั้นมีการเรียกใช้งานจริงหรือไม่ การคัดกรองโดยที่ปรึกษาจะกรองรายการเหล่านี้จนเหลือเฉพาะช่องโหว่ที่โจมตีได้จริง ซึ่งเป็นรายการเดียวที่ควรใช้เวลาของทีมวิศวกร
ทดสอบการป้องกันของท่านกับผู้เชี่ยวชาญด้านการรักษาความปลอดภัยเชิงรุก
ปรึกษาที่ปรึกษาที่ได้รับการรับรอง CREST เกี่ยวกับการทดสอบ Penetration Testing ครั้งถัดไปของท่าน