Apakah itu Firewall Kebergantungan?

Tanya lima pembangun tentang apa itu tembok api kebergantungan dan anda mungkin akan mendapat lima jawapan separuh berbeza, biasanya sesuatu yang samar-samar tentang "menyekat pakej yang rosak." Berikut ialah prasyaratnyacisversi e: ia merupakan kawalan keselamatan yang terletak di antara pembangun (atau sistem binaan) dan pendaftaran pakej awam, memeriksa setiap kebergantungan sebelum ia dibenarkan untuk dimuat turun atau dipasang, dan menyekatnya secara automatik jika ia berniat jahat, terdedah atau melanggar dasar. Itulah maksud tembok api kebergantungan praktikal: bukan pengimbas yang melaporkan masalah selepas kejadian, tetapi pintu yang menghalang pakej yang rosak daripada sampai ke cakera.

Membongkar Istilah: Maksud Firewall Kebergantungan #

Nama itu lebih literal daripada bunyi awalnya, dan membongkarnya menjelaskan kebanyakan kekeliruan tentang apa itu firewall kebergantungan:

Kebergantungan: sebarang pakej luaran, pustaka atau modul yang ditarik oleh kod anda, dari npm, PyPI, Maven, NuGet, Permata Ruby, dan daftar yang serupa.

firewall dipinjam daripada keselamatan rangkaian, di mana tembok api memeriksa trafik dan menyekat apa yang tidak sepatutnya lalu. Ia menggunakan logik periksa-kemudian-sekat yang sama untuk pemasangan pakej dan bukannya paket rangkaian.

Secara keseluruhannya, maksud firewall kebergantungan adalah mudah: ia merupakan pusat pemeriksaan untuk kebergantungan kod, sama seperti firewall rangkaian merupakan pusat pemeriksaan untuk trafik rangkaian.

Bagaimana Firewall Ketergantungan Sebenarnya Berfungsi #

Kebanyakan pelaksanaan yang memenuhi apa yang dipanggil firewall kebergantungan mengikuti urutan yang serupa:

• pemintasan: alat ini hooks ke dalam langkah pemasangan (npm install, pip install dan setara) atau lapisan proksi pendaftaran, supaya ia melihat permintaan sebelum pakej tiba.
• Penilaian: Pakej dan versi yang diminta disemak terhadap penunjuk berniat jahat yang diketahui, pangkalan data kerentanan, dasar lesen dan isyarat tingkah laku (skrip pemasangan yang mencurigakan, aktiviti penyelenggara yang luar biasa, pakej yang baru diterbitkan tanpa sejarah).
• Decision: Pemasangan sama ada berjalan seperti biasa, ditandai untuk semakan atau disekat terus, bergantung pada tahap keterukan dan dasar organisasi.
• Pembalakan: setiap decision direkodkan, memberikan pasukan keselamatan jejak audit tentang apa yang telah dicuba dan apa yang telah dihentikan.

Firewall vs. Pengimbas: Di Mana Perbezaan Sebenar Terletak #

Satu tindak lanjut biasa kepada apa yang dipanggil suntikan segera ialah bagaimana ia berbeza daripada jailbreaking. Kedua-duanya bertindih tetapi tidak sama. Jailbreaking khususnya adalah tentang memintas model. Satu perkara yang sering dikelirukan apabila orang ramai melihat apa itu tembok api kebergantungan ialah bagaimana ia berbeza daripada standard Analisis Komposisi Perisian (SCA) pengimbas. Perbezaannya adalah masa, bukan keupayaan. SCA pengimbas biasanya berjalan selepas kebergantungan telah dipasang atau committed, memberitahu anda apa yang sudah ada dalam pangkalan kod anda. Firewall kebergantungan berjalan pada saat pemasangan, sebelum pakej menyentuh cakera. Satu ialah pengesan asap selepas kebakaran bermula; yang satu lagi ialah pintu yang tidak pernah membiarkan kebakaran masuk. Banyak program keselamatan matang menjalankan kedua-duanya: firewall kebergantungan untuk pencegahan, dan SCA untuk keterlihatan berterusan tentang apa yang sudah ada

Tempat Pasukan Sebenarnya Menggunakan Ini #

Memahami maksud tembok api kebergantungan secara abstrak adalah satu perkara; melihat di mana ia disambungkan ke dalam sistem sebenar pipeline adalah satu lagi. Titik penggunaan biasa termasuk:

• Stesen kerja pembangun: menyekat pakej berniat jahat sebaik sahaja pembangun menjalankan arahan pemasangan secara setempat, sebelum ia sampai ke repositori kongsi.
• CI/CD pipelines: menguatkuasakan dasar yang sama secara automatik pada setiap binaan, jadi pakej yang disekat tidak boleh menyelinap masuk melalui kerja automatik yang tidak pernah diperhatikan oleh manusia.
• Proksi pendaftaran persendirian: duduk di hadapan cermin pakej dalaman syarikat, jadi setiap permintaan, sama ada manusia atau automatik, melalui pusat pemeriksaan yang sama.
• Ejen pengekodan AI: semakin relevan apabila ejen autonomi memasang kebergantungan sendiri; tembok api kebergantungan ialah salah satu daripada beberapa kawalan yang masih terpakai apabila tiada pembangun hadir untuk melihat nama pakej yang mencurigakan.

Mengapa Kawalan Ini Lebih Penting Daripada Dulu #

Beberapa tahun yang lalu, ini kebanyakannya bersifat teori: pakej berniat jahat wujud, tetapi ia cukup jarang berlaku sehingga kebanyakan daripadanya dikesan melalui semakan manual. Itu tidak lagi benar. Pendaftaran awam kini menyaksikan jumlah yang tinggi, kempen penerbitan automatik, ada yang menolak berpuluh-puluh versi pakej berniat jahat dalam beberapa minit, direka khusus untuk mengatasi semakan manual dan terlepas daripada pembangun yang mempercayai nama yang kedengaran biasa. Dalam persekitaran itu, bertanya apakah itu firewall kebergantungan tidak lagi menjadi latihan definisi.cise dan menjadi persoalan praktikal tentang sama ada sesebuah organisasi mempunyai sebarang kawalan yang tinggal sebaik sahaja memasang skrip dan kitaran hayat hooks merupakan vektor serangan yang telah diketahui. Firewall kebergantungan merupakan salah satu daripada beberapa mekanisme yang boleh menghentikan pakej hasad sifar hari sebelum tandatangan untuknya wujud, yang penting kerana kebanyakan pertahanan lain hanya berfungsi selepas ancaman telah dikenal pasti dan dikatalogkan.

Xygeni's pasukan penyelidikan sendiri menjejaki kempen ini setiap minggu melalui Amaran Awal Perisian Hasad sistem, dan coraknya konsisten: penyerang mengoptimumkan kelajuan dan kelantangan, bukan sembunyi-sembunyi, yang merupakan profil yang dibina oleh tembok api kebergantungan untuk ditangkap pada ketika pemasangan dan bukannya selepas kejadian.

Soalan Lazim #