GitHub रिपॉजिटरी सुरक्षा उपकरण का अवलोकन

परिचय

जब आप GitHub पर एक रिपॉजिटरी बनाना शुरू करते हैं, तो पहली चीज़ जो आपको सोचनी चाहिए, वह है सुरक्षा।

यदि आप अपना स्वयं का GitHub रिपॉजिटरी बना रहे हैं या अक्सर रिपॉजिटरी में योगदान दे रहे हैं, तो आपको यह जानना होगा कि क्या आपके कोड में कोई भेद्यता है। पूर्व में रिपॉजिटरी में कमजोरियों के कारण सुरक्षा संबंधी समस्याएं हुईं। यह इस तथ्य से बल दिया गया था कि हाल के समय में दो सबसे बड़े डेटा लीक - इक्विफैक्स और हार्टलेड एसएसएल एक्सप्लॉइट - की शुरुआत खुले स्रोत घटकों के साथ कमजोरियों के साथ हुई थी जो भविष्य में उपयोग किए जा सकते थे।

इस पोस्ट में, हम चार अलग-अलग उपकरणों को देखेंगे और उनका विश्लेषण करेंगे, जिनका उपयोग आप अपने GitHub रिपॉजिटरी में कमजोरियों की पहचान करने के लिए कर सकते हैं। इन चार औजारों में से प्रत्येक के अपने सुपरपावर हैं, लेकिन प्रत्येक की अपनी कमजोरियां हैं। यह लेख आपको अपने ओपन सोर्स प्रोजेक्ट के लिए सही टूल चुनने में मदद करेगा।

यह लेख EDISON सॉफ़्टवेयर के समर्थन से अनुवादित किया गया था, जो जूनियर्स को व्यावहारिक सलाह देता है , साथ ही सॉफ्टवेयर डिज़ाइन करता है और रूसी और अंग्रेजी में TK लिखता है ।

GuardRails

GuardRails एक फ्रीमियम सुरक्षा एप्लिकेशन है जो GitHub के बाज़ार पर उपलब्ध है। GuardRails स्थैतिक कोड विश्लेषण के साथ-साथ कमजोर निर्भरताओं की पहचान कर सकता है। वह कमजोरियों के साथ अनुरोध पूल के लिए टिप्पणी लिखता है।

एप्लिकेशन स्वयं वास्तविक समय में उपयोगकर्ता कोड में नई प्रविष्टियों को स्कैन करेगा, जो उपयोगकर्ताओं को दिखाई देने के तुरंत बाद कमजोरियों को समाप्त करने के लिए जल्दी से कार्रवाई करने की अनुमति देता है। यह भंडार और कोड को घुसपैठियों से बचाने में मदद करता है। अनुरोध पूल के बारे में, गार्डरेल प्रत्येक अनुरोध पर टिप्पणी लिखेगा जब वह सुरक्षा समस्या का पता लगाएगा, और शाखाओं के साथ यह जानकारी आपके गार्डरेल्स डैशबोर्ड पर प्रदर्शित की जाएगी।

GuardRails सेवा का मार्गदर्शक सिद्धांत इसका व्यापक और त्वरित सेटअप है, जिसमें उपयोगकर्ता मिनटों में अपने सभी रिपॉजिटरी के साथ GuardRails को एकीकृत कर सकते हैं। आप GuardRails को स्लैक के साथ भी एकीकृत कर सकते हैं ताकि सूचनाएं आप तक अधिक कुशलता से पहुंच सकें।

GuardRails वर्तमान में पायथन, रूबी, जावास्क्रिप्ट, सॉलिडिटी, गो, जावा और PHP का समर्थन करता है।

व्हाइटसोर्स बोल्ट

व्हाइटसोर्स बोल्ट GitHub उपयोगकर्ताओं को उनके रिपॉजिटरी के स्कैन बनाने में मदद करता है, जिससे उन्हें खुले स्रोत की कमजोरियों की पहचान करने में मदद मिलती है जो कोड में दिखाई दे सकते हैं। यह व्हाइटसोर्स द्वारा प्रदान किया जाता है, जो खुले स्रोत के क्षेत्र में सुरक्षा, लाइसेंस और रिपोर्टिंग के विशेषज्ञ हैं। वे 2011 से बाजार में काम कर रहे हैं और 2.1 मिलियन से अधिक विभिन्न डेवलपर्स की मदद पर भरोसा कर सकते हैं।

उनकी सेवा इस तरह से काम करती है कि हर बार एक धक्का कार्रवाई होती है, बोल्ट आपकी रिपॉजिटरी को स्कैन करना शुरू कर देता है, और फिर प्रत्येक ज्ञात भेद्यता के लिए एक समस्या पैदा करता है। यह नई कमजोरियों के लिए भी समस्याएँ पैदा करेगा जिन्हें मौजूदा ओपन सोर्स कोड घटकों के साथ खोजा गया है। इसके अलावा, यह कमजोर घटकों को उन अनुरोधों के पूल को स्वचालित रूप से रद्द करके कोड दर्ज करने से रोक सकता है जिनमें कमजोरियां होती हैं।

बोल्ट अपने उपयोगकर्ताओं को अपने स्वयं के व्हाईटसोर्स भेद्यता डेटाबेस तक पहुंच प्रदान करता है, जो कि व्यापक और कई लोगों द्वारा सबसे महंगा खुला स्रोत सुरक्षा बाजार माना जाता है। आपको सीवीई और सीवीएसएस डेटा, सुझाए गए फिक्स, असुरक्षित घटकों के लिए पथ और मदद के लिए लिंक सहित किसी भी भेद्यता के बारे में कुछ जानकारी प्राप्त होगी।

बोल्ट वर्तमान में जावा, पायथन, पीएचपी, सी #, सी ++ और अन्य सहित 200 से अधिक विभिन्न कार्यक्रमों का समर्थन करता है।

LGTM

LGTM एक मुफ्त ओपन सोर्स प्रोजेक्ट ऐप है जो उपयोगकर्ताओं को उनके कोड में संभावित कमजोरियों का पता लगाने में मदद करता है और उन्हें पहली जगह में होने से भी रोकता है। विशेष रूप से, एलजीटीएम एक सुरक्षा अनुसंधान टीम द्वारा एकत्र किए गए डेटा का उपयोग करता है जो शून्य-दिन की कमजोरियों को खोजने पर ध्यान केंद्रित करता है। 700,000 से अधिक डेवलपर्स और 135,000 से अधिक ओपन सोर्स प्रोजेक्ट्स को LGTM सेवाओं से लाभ हुआ है, और अनुभव का यह स्तर उनकी सेवाओं की गुणवत्ता के लिए है। LGTM GitHub ऐप GitHub बाज़ार पर उपलब्ध है।

आपके रिपॉजिटरी में काम करते समय, एलजीटीएम आपके कोड को स्वचालित रूप से स्कैन कर सकता है, कमजोरियों और सीवीई के लिए जाँच कर सकता है। अनुभवी एलजीटीएम डेवलपर्स और शोधकर्ताओं के बड़े समुदाय के लिए धन्यवाद, आप समझते हैं कि वे जो सेवाएं प्रदान करते हैं, वे आपके भंडार की सुरक्षा के लिए बहुत लाभकारी हो सकते हैं। यह क्वेरी लॉग को बनाए रखने की तुलना में और भी आसान बनाता है और कोड आधार दर्ज करने से पहले आप संभावित कमजोरियों का पता लगा सकते हैं।

LGTM में वर्तमान में बड़ी संख्या में समर्थित प्रोग्रामिंग भाषाएं हैं, जिनका समर्थन C, C ++ तक फैला हुआ है। कॉबोल, पायथन, जावास्क्रिप्ट और जावा।

गिटहब सुरक्षा अलर्ट

GitHub सुरक्षा अलर्ट निर्भरता के साथ GitHub रिपॉजिटरी के मालिकों और सदस्यों को प्रदान की गई एक मुफ्त सेवा है। अपने स्वयं के निर्भरता ग्राफ का उपयोग करते हुए, उपयोगकर्ता यह देख पाएंगे कि उनकी निर्भरता में भेद्यताएं कब हैं, और उपयोगकर्ताओं को इन कमजोरियों को ठीक करने के लिए सुझाव प्रदान करेगा।

जब GitHub आपको संभावित भेद्यता के बारे में सूचित करता है, तो आपको एक अद्यतन प्राप्त होगा जिसमें GitHub आपको सलाह देगा कि आपके किस आश्रित को अद्यतन करने की आवश्यकता है। यदि निर्भरता का एक ज्ञात सुरक्षित संस्करण है, तो मशीन लर्निंग का उपयोग करके GitHub आपके लिए एक का चयन करेगा, और इसे अनुशंसा पर शामिल किया जाएगा।
जब यह प्रत्येक भेद्यता के बारे में जानकारी के लिए आता है, तो GitHub आपको बताता है कि यह किस भेद्यता को प्रभावित करता है, इसके संस्करणों की सीमा प्रभावित होती है, CVE ID, और भेद्यता डेटाबेस में निहित कोई प्रस्तावित सुधार।

वर्तमान में सेवा जावास्क्रिप्ट, रूबी और पायथन का समर्थन करती है।

ब्लॉग भी पढ़ें
EDISON कंपनी:

के लिए 20 पुस्तकालय
शानदार iOS आवेदन