GitHub открыла тестирование защиты от опасных npm-пакетов
Изображение: OpenAI
GitHub 20 октября открыла публичное тестирование сервиса блокировки опасных зависимостей из-за роста числа атак при установке пакетов. Как сообщила компания в GitHub Changelog, сервис доступен клиентам GitHub Enterprise Cloud, в том числе с хранением данных в выбранном регионе, и пока поддерживает только npm.
Во всё большем числе атак злоумышленники похищают учётные данные на хостах CI/CD или рабочих станциях разработчиков ещё на этапе установки пакетов, даже не запуская код самого пакета. Новый сервис проверяет по заданным правилам как запросы метаданных со списками пакетов, так и загрузки самих пакетов.
Администраторы могут задать период ожидания перед установкой и включить проверку предупреждений о вредоносном ПО или уязвимостях в GitHub Advisory Database.
Чтобы защита работала, хосты CI/CD и ИИ-агенты для программирования нужно настроить на обращение через сервис вместо прямых запросов к репозиториям пакетов.
Если пакет заблокирован ошибочно, пользователь может запросить исключение. На время тестирования сервис бесплатен, а после выхода общедоступной версии оплата будет взиматься по фактическому использованию, как в GitHub Actions.
