සොෆ්ට්වෙයා සංරචක විශ්ලේෂණ (SCA) භාවිතා කරන සෑම ඉංජිනේරු ආයතනයක්ම, “high” ලෙස ලේබල කරන ලද දුර්වලතා ගණනාවක් තවමත් නිරීක්ෂණය කරයි. ඒවායේ බොහොමයක් සංවර්ධන මෙවලම් හෝ දෙවන පරිමාණ පැකේජ් වල පවතින අතර, වැඩිදුර පරීක්ෂණයකින් තොරව “dismiss” බොත්තම ඔබා ඉවර කරයි. එම නිසා සැබෑ ආරක්ෂක අවදානමක් මග හැරෙන අවදානමක් පවතී.
ඉතින්, vulntriage නමැති නවතම විවෘත-මූලාශ්ර CLI මෙවලම එම ගැටළුවට විසඳුමක් ලබා දේ. එය පහත පියවර හතක් අනුගමනය කරයි: (1) ඔබේ lockfile (package-lock.json, yarn.lock, requirements.txt ආදී) පාර්ස් කරයි, (2) OSV වෙතින් දුර්වලතා තොරතුරු ලබා ගනී, (3) EPSS සහ CISA KEV දත්ත එක් කරයි, (4) ඔබේ කේතයෙහි import graph එක තනයි, (5) සෑම CVE එකක්ම පිරික්සයි, (6) පස්සේ “FIX NOW”, “FIX SOON”, “MONITOR”, “LIKELY NOISE” වැනි තීරණයක් දෙනු ලබයි, (7) PR comment එකකට හෝ SARIF වාර්තාවකට පළ කරයි.
මෙම ක්රමය සරලයි: උදාහරණයක් ලෙස [email protected] හි CVE-2021-23337 එක “FIX NOW” ලෙස ලේබල කරයි, එය production dependency එකක්, සෘජු ආනයනයක්, සහ නව සංස්කරණයක් (4.18.0) තිබෙන නිසා. එයට විරුද්ධව, [email protected] හි CVE-2017-20165 එක “LIKELY NOISE” ලෙස වර්ගීකරණය කරයි, එය development‑only dependency එකක්, සෘජු ආනයනයක් නොමැති බැවින් වැඩි අවදානමක් නැත.
ශ්රී ලංකාවට ඇති වැදගත්කම
ශ්රී ලංකාවේ තාක්ෂණික සමාජය තරුණ සංවර්ධකයන්, විශ්වවිද්යාල සිසුන්, සහ කුඩා-මධ්ය පරිමාණ ව්යාපාර (SMEs) වලින් සමන්විත වේ. vulntriage මඟින් ඔවුන්ට ලැබෙන ප්රධාන ප්රයෝජන මෙසේය:
- කාලය සුරක්ෂිත කිරීම – දුර්වලතා ලැයිස්තුවේ “noise” ඉවත් කිරීමෙන්, කණ්ඩායම් අඩුම වේලාවකින් වැදගත් අවදානම් හඳුනාගත හැක.
- වියදම් අඩු කිරීම – නිෂ්පාදන පරිසරයේ පමණක් අවශ්ය updates සිදු කිරීමෙන්, unnecessary package upgrades වලින් සිදුවන පිරිවැය අඩු වේ.
- ආරක්ෂක හැකියාව වර්ධනය – EPSS, KEV වැනි ගෝලීය දත්ත සමඟ ඒකාබද්ධව, ශ්රී ලංකාවේ ආරක්ෂක ප්රවණතා පිළිබඳ දැනුම වැඩිදියුණු වේ.
ඉතාමත් සරල ස්ථාපනය (npx vulntriage .) සහ Node 18+ අවශ්යතාවය නිසා, ලොකු ආයතන වලට පමණක් නොව, තනි සංවර්ධකයන්ටද පහසුවෙන් භාවිතා කළ හැක.
අනාගතයේදී, function‑level reachability, Go සහ Rust පරිසර සමඟ ඒකාබද්ධ කිරීම, GitHub Action සහ suppression file වැනි අංග එක් කරමින් මෙය තවත් ශක්තිමත් කරනු ඇත. ඔබේ කණ්ඩායමට එකක්ම “noisy” අවධියක් ඉවත් කර ගැනීමට මෙය උපකාරී නම්, lockfile කතාවක් සමඟ issue එකක් විවෘත කරන්න.
ඉතින්, ඔබේ සොෆ්ට්වෙයා ආරක්ෂාව “කඩකඩ” නොව, නවීන තාක්ෂණික මෙවලම් සමඟ “විශ්වාසය” ගොඩනගා ගන්න.
