Выбор ответа Senior Зависимости и supply chain обновлено
Урок xz-utils
Вопрос
Какой главный урок дал бэкдор в xz-utils (2024)?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Атаку годами ведут через доверенного участника: важны здоровье проектов и проверка релизов. Бэкдор внедрил участник, который несколько лет зарабатывал доверие и стал сомейнтейнером.
Варианты ответа
- Нужно отказаться от сжатия данных в системных утилитах или вынести его в отдельный процесс
- Достаточно обновлять зависимости раз в год, тогда свежие вредоносные версии не попадут в систему
- Достаточно запускать SAST на свой код и зависимости, и такой бэкдор найдётся на ревью
- Атаку годами ведут через доверенного участника: важны здоровье проектов и проверка релизовправильный ответ
Разбор
Бэкдор внедрил участник, который несколько лет зарабатывал доверие и стал сомейнтейнером. Вредоносная часть была спрятана в тестовых файлах и в архиве релиза, которого не было в репозитории в явном виде. Его заметили случайно по задержке SSH. Свой SAST такую атаку не увидит, а редкие обновления не защищают от вредоносной версии.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.