ඔබ නවතම ලයිබ්රරියක් ස්ථාපනය කරලා, ඒක ඔබේ කාර්යය සලස්වලා, ඉතින් ඒ ගැන තවත් හිතන්නේ නැහැ. නමුත් එම ලයිබ්රරිය ඔබේ යෙදුමේ අංගයක් වන අතර, එයට දත්ත වෙත ප්රවේශය, පරිසරයට ප්රවේශය ඇත. එහි දුර්බලතාවක් තිබේ නම්, ඔබේ පද්ධතියට ඒ දුර්බලතාවයත් එක්ක එයි.
සංඛ්යාවන් – සාමාන්ය Node.js ව්යාපෘතියකට 500 කට වැඩි ඩිපෙන්ඩෙන්සිස්, Python ව්යාපෘතියකට 100 කට වැඩි, Rust ව්යාපෘතියකට 50 කට වැඩි ඩිපෙන්ඩෙන්සිස් තිබේ. බොහෝ සංවර්ධකයින්ට මේ ඩිපෙන්ඩෙන්සිස් වල අන්තර්ගතය, විශේෂයෙන් ත්රි-පෙළ ගැඹුරු (transitive) ඩිපෙන්ඩෙන්සිස්, නොදැනීමක් වේ. ඒවාම වැඩි අවදානමක් ඇති කරයි.
ප්රශ්නය කවරේද? බොහෝ පරිපාලකයින් දුර්බලතා වාර්තා වූ විට ඉක්මනින් නවීකරණය කරති, නමුත් npm, PyPI වැනි රෙපොසිටරීන්හි 2 මිලියනට අධික පැකේජ් තිබීම නිසා, මාසිකව සියලූ නව දුර්බලතා පරික්ෂා කිරීම අතිශය කටයුතුවලට පත් වේ. මෙය මිනිස්කමෙන් කළ නොහැකි නිසා ස්වයංක්රීය පරීක්ෂණ අවශ්ය වේ.
මගේ ක්රියාමාර්ග – සතිපතා dependency scan එකක් ක්රියාත්මක කර, උච්ච තීව්රතාව (critical) සහ ඉහල තීව්රතාව (high) ගැටලු පළමුව සකසමි. නව සංස්කරණයකට පෙර, නැවත පරීක්ෂා කර, අලුත් ගැටලු නොපැමිණීම තහවුරු කරමි. PR (pull request) එකකට පසු, නව ඩිපෙන්ඩෙන්සිස් ස්කෑන් කර, එකතු කිරීමේ පෙර අවධානයෙන් පසු කරමි. මෙයට සතිපතා 5 මිනිත්තු පමණයි, නමුත් පසුකාලීන CVE (Common Vulnerabilities and Exposures) ගණනාවක් අඩු කරයි.
ශ්රී ලංකාවට ඇති වැදගත්කම
ශ්රී ලංකාවේ තාක්ෂණික ශිෂ්යයන්, ස්ථාපිත සොෆ්ට්වෙයාර් සංවර්ධකයන්, ව්යාපාරිකයින්ට මෙම පරීක්ෂණ ක්රමය අත්යවශ්යයි. පාඨමාලා, වැඩමුළු, සමාජ ව්යාපෘති වලදී npm audit, pip‑audit, cargo audit, govulncheck වැනි උපකරණ භාවිතයෙන් පසුකාලීන ආරක්ෂක ගැටලු වලින් වළකින්න පුළුවන්. ආයතනික CI/CD පද්ධතිවල dev‑dependency එකක් දුර්බල නම්, සම්පූර්ණ ඉදිකිරීම්, රහස් තොරතුරු, සත්යාපන යන්ත්රණය ද අතුරුදන් විය හැක. එබැවින්, ස්වයංක්රීය ස්කෑනින් කාලසටහනක් ගොඩනැගීම, ආරක්ෂාව පිළිබඳ සංස්කෘතියක් ගොඩනැගීම, ශ්රී ලංකාවේ තාක්ෂණික වර්ධනයේ ස්ථාවර පදනමක් වේ.
අවසානයේ, ඔබේ පේකේජ් ඩිපෙන්ඩෙන්සිස් ඔබේ වැඩිම ආරක්ෂක තර්ජනයයි. ඒවා නිතර පරීක්ෂා කර, අවශ්ය යාවත්කාලීන කිරීම් කර, ඔබේ යෙදුම ආරක්ෂිතව නිකුත් කරන්න.
