Какво е защитна стена на зависимостите?

Попитайте петима разработчици какво е защитна стена за зависимости и вероятно ще получите пет различни половинчати отговора, обикновено нещо неясно за „блокиране на лоши пакети“. Ето предварителнотоcise версия: това е контрол за сигурност, който се намира между разработчик (или система за изграждане) и публичен регистър на пакети, проверка на всяка зависимост преди да му бъде разрешено изтегляне или инсталиране, и автоматичното му блокиране, ако е злонамерен, уязвим или нарушава правилата. Това е практическото значение на защитната стена за зависимости: не е скенер, който докладва за проблеми след факта, че са възникнали, а портал, който спира лош пакет да достигне до диска.

Разопаковане на термина: Значение на защитната стена на зависимостите #

Името е по-буквално, отколкото звучи на пръв поглед, и разопаковането му изяснява по-голямата част от объркването около това какво е защитна стена на зависимостите:

Зависимост: всеки външен пакет, библиотека или модул, който вашият код изтегля от npm, PyPI, Maven, NuGet, рубиджемии подобни регистри.

Firewall: заимствано от мрежовата сигурност, където защитната стена проверява трафика и блокира това, което не би трябвало да преминава. Тя прилага същата логика „инспектирай-след това блокирай“ към инсталирането на пакети, вместо към мрежовите пакети.

Взето заедно, значението на защитната стена на зависимостите е просто: това е контролна точка за кодови зависимости, по същия начин, по който мрежовата защитна стена е контролна точка за мрежов трафик.

Как всъщност работи защитната стена за зависимости #

Повечето реализации, които отговарят на изискванията за защитна стена на зависимостите, следват подобна последователност:

• Прихващане: инструмента hooks в стъпката на инсталиране (npm install, pip install и еквиваленти) или прокси слоя на системния регистър, така че да вижда заявката преди пакетът да бъде получен.
• Оценка: Заявеният пакет и версия се проверяват спрямо индикатори за известно злонамерен софтуер, бази данни за уязвимости, лицензионна политика и поведенчески сигнали (подозрителни инсталационни скриптове, необичайна активност на поддържащите, новопубликувани пакети без история).
• Decisйон: Инсталацията или протича нормално, или се маркира за преглед, или се блокира напълно, в зависимост от сериозността на проблема и политиката на организацията.
• Регистрация: всеки деcisионът се записва, което дава на екипите по сигурността одитна следа за това какво е било опитано и какво е било спряно.

Защитна стена срещу скенер: Къде е истинската разлика #

Често срещан последващ въпрос относно това какво е prompt injection (промптно инжектиране) е как се различава от jailbreaking (джейлбрейк). Двете се припокриват, но не са идентични. Jailbreaking е по-специално заобикаляне на защитната стена на модела. Често срещан объркващ момент, когато хората търсят информация за това какво е dependency firewall (защитна стена за зависимости), е как се различава от a dependency firewall (защитна стена за зависимости). standard Анализ на състава на софтуера (SCA) скенер. Разликата е във времето, а не във възможностите. SCA Скенерът обикновено се изпълнява, след като зависимостите вече са инсталирани или commitТед, като ви казва какво вече е в кодовата ви база. Защитната стена на зависимостите се изпълнява в момента на инсталирането, преди пакетът да докосне диска. Едната е детектор за дим след началото на пожара; другата е вратата, която никога не пропуска огъня. Много зрели програми за сигурност изпълняват и двете: защитна стена на зависимостите за предотвратяване и SCA за постоянна видимост на това, което вече е налице

Къде екипите всъщност внедряват това #

Разбирането на абстрактното значение на защитната стена на зависимостите е едно; да се види къде тя се включва в реална... pipeline е друг. Често срещани точки за разполагане включват:

• Работни станции за разработчици: блокиране на злонамерен пакет в момента, в който разработчикът изпълни локална команда за инсталиране, преди той да достигне до споделено хранилище.
• CI/CD pipelines: автоматично прилагане на една и съща политика при всяка компилация, така че блокиран пакет да не може да се промъкне чрез автоматизирана задача, която човек никога не наблюдава.
• Частни регистрационни пълномощници: седнал пред вътрешното огледало на пакетите на компанията, така че всяка заявка, човешка или автоматизирана, преминава през една и съща контролна точка.
• Агенти за кодиране с изкуствен интелект: все по-актуално, тъй като автономните агенти инсталират зависимости самостоятелно; защитната стена за зависимости е един от малкото контроли, които все още се прилагат, когато няма разработчик, който да забележи подозрително име на пакет.

Защо този контрол е по-важен от преди #

Преди няколко години това беше предимно теоретично: злонамерени пакети съществуваха, но бяха достатъчно редки, че ръчният преглед улавяше повечето от тях. Това вече не е вярно. Публичните регистри сега регистрират голям обем, автоматизирани публикуващи кампании, някои пускат десетки версии на злонамерени пакети в рамките на минути, специално проектирани да изпреварят ръчния преглед и да се промъкнат покрай разработчиците, които се доверяват на познато звучащо име. В тази среда въпросът какво е защитна стена на зависимостите престава да бъде дефиниционно упражнение.cisи се превръща в практически въпрос за това дали организацията има някакъв контрол след инсталиране на скриптове и жизнен цикъл hooks са вече известни вектори на атака. Защитната стена на зависимостите е един от малкото механизми, които могат да спрат зловреден пакет с нулев ден, преди дори да съществува сигнатура за него, което е важно, защото повечето други защити работят само след като заплахата вече е идентифицирана и каталогизирана.

Ксигени собствен изследователски екип проследява тези кампании седмично чрез своята Ранно предупреждение за злонамерен софтуер система и моделът е последователен: атакуващите оптимизират за скорост и обем, а не за скритост, което е точно профилът, който защитната стена за зависимости е създадена да улови в момента на инсталиране, а не след това.

Често задавани въпроси #