Gunakan Komponen Perangkat Lunak Pihak Ketiga yang Terkini dan Tepercaya
Deskripsi
Gunakan komponen perangkat lunak pihak ketiga yang terkini dan tepercaya. Jika memungkinkan, pilih perpustakaan dan kerangka kerja yang telah mapan dan terbukti yang menyediakan keamanan yang memadai. Beli perangkat lunak komersial yang dikelola dan didukung secara baik oleh vendor.
Daftar Periksa Implementasi
Rekomendasi Alat
Keamanan aplikasi yang mengutamakan pengembang dengan SCA, pemindaian kontainer, keamanan IaC, dan SAST terintegrasi ke dalam CI/CD
Snyk · Langganan per pengembang
Rangkaian pengujian keamanan aplikasi dengan SAST (Coverity), SCA (Black Duck), dan DAST untuk AppSec yang komprehensif
Synopsys · Langganan per pengembang
Platform keamanan aplikasi cloud-native dengan SAST, SCA, DAST, keamanan API, dan pengujian keamanan rantai pasokan
Checkmarx · Langganan per pengembang
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Eksploitasi Kerentanan yang Diketahui dalam Library yang Usang
IntegrityPenyerang mengeksploitasi kerentanan yang terdokumentasi dengan baik dalam library pihak ketiga yang usang yang tidak pernah diperbarui tim pengembangan karena tidak ada proses yang mewajibkan menjaga komponen tetap terkini.
Serangan Substitusi Paket Berbahaya
IntegrityDeveloper mengunduh komponen pihak ketiga dari sumber tidak tepercaya yang mengandung malware tertanam, karena tidak ada kebijakan yang mewajibkan memperoleh komponen dari repositori tepercaya.
Serangan Typosquatting pada Repositori Paket
ConfidentialityDeveloper menginstal paket berbahaya dengan nama mirip library yang sah dari repositori publik karena tidak ada proses vetting yang memvalidasi komponen sebelum dimasukkan ke dalam codebase.
Kerentanan (Saat Pengamanan Tidak Ada)
Komponen Pihak Ketiga yang Usang di Produksi
Tanpa persyaratan untuk menjaga komponen pihak ketiga tetap terkini, aplikasi berjalan dengan versi usang yang mengandung kerentanan yang diketahui yang dapat dengan mudah dieksploitasi penyerang menggunakan alat yang tersedia secara publik.
Tidak Ada Validasi Sumber Komponen Pihak Ketiga
Ketiadaan persyaratan sumber tepercaya berarti developer mungkin memperoleh komponen dari repositori yang tidak terverifikasi, meningkatkan risiko memasukkan kode yang dikompromikan atau berbahaya.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |