A GitHub új tűzfala a gyanús npm-csomagok letöltését is blokkolja
Már a letöltés előtt megállíthatja a gyanús npm-csomagokat a GitHub Package Firewall, akár egy újonnan megjelent telepítési szkript miatt is. A szolgáltatás nyilvános előnézetét az Enterprise Cloud ügyfelei próbálhatják ki ingyenesen, de a védelemhez a csomagkéréseket is ezen keresztül kell küldeniük.
Egyelőre csak az npm-csomagokat vizsgálja
A Package Firewall központilag meghatározott biztonsági szabályok alapján ellenőrzi a csomaglekérdezéseket és a letöltéseket. Jelenleg kizárólag az npm-csomagokat támogatja. Az előnézet azoknak az Enterprise Cloud-ügyfeleknek is elérhető, akik választott régióban tároltatják az adataikat.
A GitHub a telepítés közben végrehajtott kártékony kód ellen kínálja a szolgáltatást. Közlése szerint különösen veszélyeztetettek az emberi ellenőrzés nélkül függőségeket telepítő kódolóügynökök és az automatizált fejlesztési folyamatok futtatói. Az ellenőrzés nem csupán a letöltött állományokra terjed ki: a csomaglisták metaadatainak lekérdezését is vizsgálja.
Várakoztathatja az új verziókat, és kiszűrheti az új szkripteket
A rendszergazdák vállalati szabályokat állíthatnak be. Meghatározhatnak például egy várakozási időt az újonnan közzétett csomagverziókra: a tűzfal csak ennek letelte után engedi a telepítést. Emellett a GitHub Advisory Database kártevőkről és sérülékenységekről szóló jelzései alapján is letilthatja az érintett letöltéseket.
Külön szűrő figyeli, ha egy kiadásban először jelenik meg telepítési szkript, például preinstall vagy postinstall. Ezek tetszőleges kódot futtathatnak. Ha a megfelelő ellenőrzés be van kapcsolva, a szolgáltatás blokkolja az ilyen változat beszerzését. Ez tehát nem pusztán egy már ismert biztonsági hibáról szóló bejelentésre reagál.
A korábban meglévő eredetigazolás eltűnése is tiltást válthat ki
A tűzfal összeveti a kért verzió eredetigazolásait a korábbi kiadásokéval is. Ha egy csomaghoz korábban tartoztak SLSA-attesztációk, vagyis eredetigazolások, az új változatból viszont hiányoznak, blokkolja a letöltést. A GitHub dokumentációja szerint ez arra utalhat, hogy illetéktelenek avatkoztak be a közzétételi folyamatba.
A vizsgálat tehát a korábbi állapothoz viszonyít: azt keresi, hogy eltűnt-e egy már meglévő igazolás. Ha a szolgáltatás tévesen tilt le valamit, a felhasználó kivételt kérhet. Ennek menete a GitHub más Advanced Security funkcióinak kivételkezeléséhez hasonló.
A forgalmat át kell irányítani, az előnézet ingyenes
A Package Firewall a kliensek, illetve a belső csomagtárak és az őket kiszolgáló csomagforrások közé kerül. A szabályok csak akkor érvényesülnek, ha a kódolóügynökök és a CI/CD-futtatók ezen keresztül küldik a kéréseiket, nem közvetlenül a nyilvános csomagtárakhoz.
A nyilvános előnézet alatt a szolgáltatás ingyenes. A GitHub később a GitHub Actions szolgáltatáshoz hasonló, használatalapú elszámolást tervez. A forrásban ismertetett bejelentés konkrét árakat és az általános elérhetőség időpontját nem tartalmazza. A vállalat az előnézeti időszakban bővíteni kívánja az infrastruktúrát, és az ügyféligények alapján további funkciókat is hozzáadna.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum