توفر أدوات تحليل مكونات البرمجيات رؤية قيّمة للثغرات المعروفة في التبعيات مفتوحة المصدر، وتعتمد فاعليتها كليًا على نطاق الإعدادات: أي المستودعات تفحص، وأي منظومات اللغات تغطي، وأي مصادر بيانات الثغرات تستعلم فيها، وكم مرة تعمل. وأداة SCA المضبوطة بنطاق ضيق تنتج نتائج ثغرات للتبعيات التي تستطيع رؤيتها، لكنها لا توفر أي ضمان بشأن التبعيات خارج التغطية المضبوطة لها. والإبلاغ عن «العثور على صفر ثغرات حرجة» من إعدادات SCA ذات نطاق ضيق دقيق بالنسبة للنطاق المشمول، ومضلل بشأن الصورة الكلية لمخاطر التبعيات.
تمثّل فجوة تغطية المستودعات الإخفاق الأكثر شيوعًا في نطاق SCA. فقواعد الشيفرة المؤسسية تمتد عادةً عبر مستودعات متعددة: مستودع موحّد أو مجموعة من المستودعات الخاصة بالخدمات المصغّرة، ومستودعات المكتبات المشتركة، ومستودعات الأدوات الداخلية، ومستودعات شيفرة البنية التحتية. وإعدادات SCA التي تغطي مستودع التطبيق الرئيسي قد تُغفل مستودع المكتبات المشتركة الذي تُضمَّن مكوناته في خدمات متعددة، ومستودعات الخدمات المصغّرة التي لها أشجار تبعيات خاصة بها، ومستودعات الأدوات الداخلية التي لها وصول إلى أنظمة الإنتاج. فملف الثغرات للمستودع الرئيسي ليس سوى جزء من التعرض الكامل للمؤسسة عبر التبعيات.
تمثّل فجوة تغطية المنظومات الإخفاق الشائع الثاني في النطاق. فأدوات SCA يجب ضبطها لكل منظومة لغة برمجة تغطيها: حزم Python (PyPI)، وحزم JavaScript (npm)، وحزم Java (Maven)، ووحدات Go، وحزم Ruby، وهكذا. والأداة المضبوطة لفحص تبعيات Python لا تفحص تلقائيًا تبعيات Go أو Java في قاعدة الشيفرة نفسها. والمؤسسة التي لديها خدمات مكتوبة بلغات متعددة يجب أن تضبط تغطية خاصة بكل منظومة، أو أن تستخدم أداة تتولى الفحص متعدد المنظومات تلقائيًا.
لماذا يهم هذا
تهمّ فجوات SCA TPRM لأن تقرير «صفر ثغرات حرجة» الصادر عن أداة SCA لا يغطي إلا ما ضُبطت الأداة لفحصه. والمؤسسة التي تقبل تقرير SCA دليلًا على إدارة شاملة لثغرات التبعيات دون فهم نطاق إعدادات الأداة قد تنشر برمجيات ذات تعرض كبير عبر تبعيات غير مفحوصة. والسؤال عن نطاق SCA، لا عن تطبيق أداة SCA فحسب، هو السؤال الذي يكشف الفجوة.
- تأكيد وجود SCA دون تقييم النطاق
- تغطية المستودعات: ليست جميع المستودعات ضمن نطاق SCA
- تغطية منظومات اللغات: ليست جميع اللغات مضبوطة
- عدم تغطية الثغرات غير المسجلة في CVE في إعدادات SCA المقتصرة على CVE
- وتيرة فحص SCA: النتائج المستخلصة من فحوص متباعدة قد لا تعكس الوضع الحالي
كيف تبدو الممارسة الجيدة
تطبّق برامج SCA الناضجة تغطية كاملة للمستودعات، وفحصًا متعدد المنظومات، ومصادر تكميلية للثغرات غير المسجلة في CVE، وفحصًا مستمرًا تُدمج نتائجه في سير عمل التطوير بدلًا من التقارير الدورية.
- تغطية كاملة للمستودعات: جميع مستودعات الإنتاج ضمن نطاق SCA
- فحص متعدد المنظومات: تغطية جميع منظومات اللغات
- مصادر الثغرات غير المسجلة في CVE: كشف الحزم الخبيثة بما يتجاوز قواعد بيانات CVE
- فحص مستمر: كل عملية إيداع وكل فرع، لا التقارير الدورية فقط
- توثيق نطاق SCA: توثيق صريح لما يشمله وما لا يشمله
الأدوات
SCA شامل: Snyk للفحص المستمر متعدد اللغات؛ وGitHub Dependabot لتغطية المستودعات بالكامل
يوفر Snyk فحصًا مستمرًا للتبعيات متعدد اللغات مع تكامل كامل مع المستودعات، يغطي Python وJavaScript وJava وGo وRuby وغيرها من المنظومات في إعداد واحد. ويوفر GitHub Dependabot تغطية تلقائية على مستوى المستودع للمنظومات المدعومة. وبالنسبة لممارسي TPRM، فإن سؤال الموردين عمّا إذا كانوا يستخدمون أدوات SCA متعددة اللغات بتغطية كاملة للمستودعات يوفر سؤالًا محددًا لتقييم النطاق.
تحديات الحوكمة
يتمثل تحدي الحوكمة في نطاق SCA في عبء صيانة الإعدادات. فمع نمو قواعد الشيفرة تُنشأ مستودعات جديدة، وتُعتمد منظومات لغات جديدة، وتظهر أنواع جديدة من التبعيات. ويجب صيانة نطاق SCA بنشاط ليغطي هذه الإضافات، فالإعدادات التي كانت شاملة قبل ستة أشهر قد تكون فيها فجوات اليوم. ويكمن حل الحوكمة في مراجعة نطاق SCA ضمن المراجعة السنوية لبرنامج إدارة التبعيات.
- وثّق نطاق SCA صراحةً: ما يشمله وما لا يشمله
- راجع اكتمال النطاق سنويًا، مع إضافة مستودعات ومنظومات جديدة
- طبّق أدوات متعددة اللغات بدلًا من إعدادات تقتصر على منظومة واحدة
- استكمل بكشف ما هو غير مسجل في CVE: تحليل الحزم الخبيثة ومشروعيتها
- اسأل عن نطاق SCA في تقييم أمن البرمجيات لدى الموردين، لا عن وجود الأداة فحسب
إذا كنت فريقًا صغيرًا
اطرح على أهم موردي البرمجيات لديك سؤالًا واحدًا يكشف نطاق SCA لديهم: هل تفحص أداة SCA لديكم جميع مستودعات الإنتاج عبر جميع منظومات اللغات التي بُنيت بها برمجياتكم، وهل يمكنكم مشاركة توثيق نطاق SCA الذي يصف ما يشمله وما لا يشمله؟ سيكشف التوثيق الفجوات. وإذا لم يستطع المورّد تقديم توثيق للنطاق، فهذا يعني أن النطاق لم يُحدَّد رسميًا، أي أن ثمة فجوات موجودة ولا تُتتبَّع.
- اطلب من الموردين توثيق نطاق SCA: المستودعات والمنظومات المشمولة
- حدّد الفجوات في تغطية المستودعات والمنظومات
- اسأل عن كشف الثغرات غير المسجلة في CVE بما يتجاوز SCA
- اشترط تغطية كاملة للمستودعات ومتعددة المنظومات لدى موردي البرمجيات الحيويين
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
"هل يمكنكم تقديم توثيق للنطاق المضبوط لأداة SCA لديكم، وتحديدًا المستودعات التي تُفحص، ومنظومات اللغات المشمولة، وما إذا كانت فحوصكم تتجاوز قواعد بيانات CVE لتشمل كشف الحزم الخبيثة؟"
ما تتوقعه دليلًا
- توثيق نطاق SCA: المستودعات والمنظومات المشمولة
- تأكيد تغطية منظومات اللغات المتعددة
- القدرة على كشف الثغرات غير المسجلة في CVE
- وتيرة الفحص والتكامل مع سير عمل التطوير
ينبغي أن يُطلب من المورّد الذي يؤكد تطبيق أداة SCA تقديم توثيق النطاق. فوجود الأداة يؤكد القدرة، وتوثيق النطاق يكشف ما تغطيه تلك القدرة وما تُغفله.
كيف تُثبت ذلك
- مراجعة توثيق نطاق SCA
- التحقق من التغطية متعددة المنظومات
- تقييم اكتمال تغطية المستودعات
- القدرة على كشف ما هو غير مسجل في CVE
الخلاصة الرئيسية
أداة SCA: مطبّقة. النتائج: 23 ثغرة حرجة، عولجت جميعها. المُبلَّغ: مخاطر الثغرات في سلسلة التوريد تحت السيطرة. غير المغطى: 7 مستودعات، وخدمات Go وJava، ومشكلات أمنية غير مسجلة في CVE. كانت الأداة تعمل بشكل صحيح ضمن النطاق المضبوط لها، وكان النطاق المضبوط هو الفجوة. وجود أداة SCA نقطة بداية، وتوثيق نطاق SCA يكشف ما إذا كانت تغطية الأداة تتناسب مع تعقيد قاعدة الشيفرة. وصفر نتائج من نطاق ضيق لا يعني «مخاطر الثغرات في سلسلة التوريد تحت السيطرة»، بل يعني «ليست لدينا نتائج في المستودعات واللغات التي ضبطنا الأداة لفحصها».