বাম্বলবি ওপেন-সোর্স করছে পারপ্লেক্সিটি

এআই-এর দ্রুত অগ্রগতি নিরাপত্তা ক্ষেত্রে নতুন জটিলতা নিয়ে এসেছে, এবং প্রতিদিন নতুন ত্রুটি আবিষ্কৃত হচ্ছে। 

সাম্প্রতিক হুমকিগুলো ক্রমবর্ধমানভাবে সফটওয়্যার প্যাকেজ, ডেভেলপার টুল এবং স্থানীয় পরিবেশগুলোকে টার্গেট করছে, যেগুলোর ওপর পারপ্লেক্সিটি-এর মতো আধুনিক ইঞ্জিনিয়ারিং টিমগুলো নির্ভর করে। তাই আমাদের পণ্যের অখণ্ডতা উৎপাদনের চেয়ে সাপ্লাই চেইনের আরও ওপর থেকে শুরু হতে হবে। 

আজ আমরা আমাদের অভ্যন্তরীণ টুলগুলির মধ্যে একটি ওপেন-সোর্স করছি, যা আমরা পারপ্লেক্সিটি, কমেট এবং কম্পিউটার-এর পেছনের ডেভেলপার সিস্টেমগুলিকে সুরক্ষিত করতে ব্যবহার করি, সেটি হলো বাম্বলবি। 

বাম্বলবি-এর সাথে পরিচিত হন

বাম্বলবি হলো একটি রিড-ওনি স্ক্যানার যা আমরা সাপ্লাই চেইন সংক্রান্ত ঘটনার সময় ডেভেলপার মেশিনগুলিতে ঝুঁকিপূর্ণ প্যাকেজ, এক্সটেনশন এবং এআই টুল কনফিগারেশন চেক করার জন্য ব্যবহার করি। 

বাম্বলবি সমস্ত নিরাপত্তা দলের জন্য উপযোগী। যখনই কোনো নতুন ত্রুটির খবর পাওয়া যায়, তখন তাদের অবিলম্বে জানতে হয় যে তাদের কোনো মেশিন ঝুঁকিপূর্ণ অবস্থায় ছিল কিনা। 

ব্যবহারকারীদের জন্য পারপ্লেক্সিটি পণ্যগুলিকে আরও সুরক্ষিত করা শুরু হয় সেই ডেভেলপার সিস্টেমগুলিকে সুরক্ষিত করার মাধ্যমে, যা দিয়ে আমরা সেগুলি তৈরি করি। বাম্বলবি হলো আমাদের বিস্তৃত নিরাপত্তা ওয়ার্কফ্লো-এর একটি উপাদান, যেখানে পারপ্লেক্সিটি কম্পিউটার উদীয়মান হুমকিগুলি ট্র্যাক করতে সাহায্য করে, মানব পর্যালোচকরা ক্যাটালগ আপডেটগুলি পর্যালোচনা করেন এবং বাম্বলবি চেক করে দেখে যে ঝুঁকিপূর্ণ উপাদানগুলি ডেভেলপার এন্ডপয়েন্টগুলিতে উপস্থিত রয়েছে কিনা।

আজ আমরা বাম্বলবি ওপেন-সোর্স করছি, যাতে যেকোনো টিম একই নিরাপত্তা স্তরের ওপর ভিত্তি করে কাজ করতে পারে। 

হুমকি সিগন্যাল থেকে এন্ডপয়েন্ট স্ক্যান 

ইঞ্জিনিয়ারিং সংস্থাগুলি এখন তাদের নিজস্ব ক্যাটালগ এবং পর্যালোচনা প্রক্রিয়ার মাধ্যমে বাম্বলবি চালাতে পারে। আমরা কীভাবে অভ্যন্তরীণভাবে বাম্বলবি ব্যবহার করি তা এখানে দেওয়া হলো: 

একটি হুমকি সিগন্যাল সর্বজনীন প্রকাশ, তৃতীয় পক্ষের ইন্টেল ফিড বা অভ্যন্তরীণ গবেষণার মাধ্যমে চিহ্নিত করা হয়।

পারপ্লেক্সিটি কম্পিউটার একটি ক্যাটালগ আপডেটের খসড়া তৈরি করে। এটি একটি কাঠামোগত এন্ট্রিতে (ইকোসিস্টেম, নাম, সংস্করণ) সিগন্যালটি প্রবেশ করায় এবং তারপর সোর্স লিঙ্কসহ একটি গিটহাব পিআর খোলে। 

এটি মানব পর্যালোচনার মধ্য দিয়ে যায়, যার পরে পিআর মার্জ করা হয়।

আপডেট করা ক্যাটালগসহ এন্ডপয়েন্টগুলিতে বাম্বলবি চলে।

ফলাফলগুলি নিরাপত্তা দলের সাথে শেয়ার করা হয়।

বাম্বলবি তিনটি স্ক্যান প্রোফাইল সমর্থন করে, যা এটিকে নির্দেশ করে কোথায় এবং কতটা গভীরভাবে অনুসন্ধান করতে হবে: 

বেসলাইন প্রোফাইল: আদর্শ ল্যাপটপের অবস্থানগুলির রুটিন স্ক্যান। টিমগুলি তাদের নিজস্ব এমডিএম বা ফ্লিট টুলিংয়ের মাধ্যমে এটি সময় নির্ধারণ করে।  

প্রজেক্ট প্রোফাইল: নির্দিষ্ট রেপো বা ওয়ার্কস্পেসের লক্ষ্যভিত্তিক স্ক্যান।

ডিপ প্রোফাইল: সক্রিয় ঘটনার জন্য রেসপন্স সুইপ।

বড় করুন

প্রতিটি শনাক্তকরণ ট্র্যাক করার যোগ্য, যা দেখায় কোন ক্যাটালগ এন্ট্রি ফাইলিং ট্রিগার করেছে, কখন এটি যোগ করা হয়েছে এবং যেকোনো প্রমাণ। 

নিরাপত্তা শুরু হয় স্থানীয় ডেভেলপার সারফেসে 

এসবিওএম এবং ভালনারেবিলিটি স্ক্যানারগুলি রিপোজিটরি এবং বিল্ড আর্্টিফ্যাক্ট নিয়ে কাজ করে। এন্ডপয়েন্ট ইনভেন্টরি পণ্যগুলি ইনস্টল করা অ্যাপ্লিকেশনগুলি কভার করে। বাম্বলবি ডেভেলপার ল্যাপটপে চলে। সাপ্লাই চেইন অ্যাডভাইজরি আসার পর সেই মেশিনে কোনো নির্দিষ্ট প্যাকেজ, সংস্করণ, এক্সটেনশন বা এমসিপি কনফিগারেশন ইনস্টল করা আছে কিনা তা এটি আপনাকে জানায়।

বাম্বলবি যা পর্যালোচনা করে

বিদ্যমান ওপেন-সোর্স টুলগুলি সাধারণত এই পৃষ্ঠগুলির মধ্যে এক বা দুটি কভার করে। বাম্বলবি এই চারটিই কভার করে:

ল্যাঙ্গুয়েজ প্যাকেজ ম্যানেজার: npm, pnpm, Yarn, Bun, PyPI, Go modules, RubyGems, Composer

এআই এজেন্ট কনফিগারেশন: MCP 

এডিটর এক্সটেনশন: VS Code-ফ্যামিলি (VS Code, Cursor, Windsurf, VSCodium)

ব্রাউজার এক্সটেনশন: Chromium-ফ্যামিলি (Chrome, Comet, Edge, Brave, Arc) এবং Firefox

নিরাপদে এক্সপোজার মূল্যায়ন করুন 

বাম্বলবি রিড-ওনি। এটি সরাসরি মেটাডেটা ফাইল পড়ে এবং সম্ভাব্যভাবে আপস করা টুলিংকে কখনোই চলতে দেয় না, যা স্ক্যানকে ঝুঁকিতে পরিণত হতে বাধা দেয়। বাম্বলবি রিড-ওনি রাখা ইনস্টল-কালীন কোড এক্সিকিউশনের সাথে সমস্যাগুলি এড়াতে সাহায্য করে।

npm প্যাকেজগুলি পোস্টইনস্টল স্ক্রিপ্ট বহন করতে পারে যা npm ইনস্টল স্পর্শ করার মুহূর্তে স্বয়ংক্রিয়ভাবে চলে। এভাবেই সাম্প্রতিক বেশিরভাগ সাপ্লাই-চেইন ওয়ার্ম ছড়িয়ে পড়েছে। একটি স্ক্যানার যা এক্সপোজার চেক করার জন্য npm আহ্বান করে তা ইতিমধ্যে যে আক্রমণটি খুঁজছিল তা ট্রিগার করেছে। বাম্বলবি এগুলো এড়ানোর মাধ্যমে তা প্রতিরোধ করে: 

কোড এক্সিকিউশন: কখনোই ইনস্টল স্ক্রিপ্ট বা লাইফসাইকেল হুক চালায় না।

প্যাকেজ-ম্যানেজার ইনোভেশন: কখনোই npm, pnpm, bun, বা pip চালায় না।

সোর্স-ফাইল রিডিং: কখনোই অ্যাপ্লিকেশন সোর্স ফাইল পড়ে না; এটি লকফাইল, ম্যানিফেস্ট এবং ইনস্টল করা প্যাকেজ মেটাডেটার মতো মেটাডেটা পড়ে।

প্রসেস বা নেটওয়ার্ক মনিটরিং: বাম্বলবি কোনো ইডিআর নয়।

macOS এবং Linux ডেভেলপার এন্ডপয়েন্টের জন্য ওপেন সোর্স Go প্রজেক্ট হিসেবে বাম্বলবি এখন উপলব্ধ। নিরাপত্তা দলগুলি এটি ডাউনলোড করতে পারে, খারাপ সংস্করণের নিজস্ব ক্যাটালগের বিরুদ্ধে এটি চালাতে পারে এবং ফলাফলগুলি তাদের ইতিমধ্যে ব্যবহার করা যেকোনো রেসপন্স ওয়ার্কফ্লো-তে ফিড করতে পারে।