-
機能:依存関係スキャンの一環として、Corgeaはプロジェクトの依存関係に含まれる、既知の悪意のあるパッケージや侵害されたパッケージを検出します。一般的な脆弱性とは異なり、悪意のあるパッケージとは、データ流出、認証情報の窃取、バックドア、クリプトマイニングなど、インストール先のシステムに損害を与える目的で作成または改ざんされたパッケージです。
-
対象者:悪意のあるオープンソースパッケージからソフトウェアサプライチェーンを保護したいセキュリティチームと開発者。
それが感知するもの
悪意のあるパッケージ検出は、有害であることが知られているパッケージを対象とします。以下のようなものです:
- Typposquats:人気ライブラリを模倣して名前を付け、誤ってインストールされるパッケージ
- ハイジャックリリース:管理者アカウントやパイプラインが侵害され悪意のあるバージョンを公開した正規パッケージ
- バックドア版:意図的に隠された悪意のある機能を含むパッケージ版
- 抗議用ソフトウェアおよび破壊工作用:インストールするシステムを意図的に妨害または損傷させるように改造されたパッケージ
仕組み
悪意のあるパッケージ検出は 依存関係スキャン(SCA)の一部として実行されます。Corgeaは、あなたの直接的および推移的な依存関係を解決し、既存の悪意あるパッケージの権威あるデータベース( OpenSSF悪意あるパッケージ データベースや関連するアドバイザリーフィードを含む)と照合します。
一致が見つかると、Corgeaは他の依存関係の検出結果とともに報告します。
対応エコシステム
悪意のあるパッケージ検出は、依存関係スキャンと同じパッケージエコシステム、例えばnpm、PyPI、RubyGems、Mavenなどに適用されます。完全なリストは 依存関係スキャン(SCA)をご覧ください。
浮かび上がる
- 悪意のあるパッケージがスキャン結果に他の依存関係の検出結果とともに現れます。
- 確認された悪意あるパッケージは潜在的な弱点ではなく、アクティブな脅威を示すため、高優先度の問題として扱われます。
- 影響を受けたパッケージ、バージョン、そしてそれを導入したマニフェストが表示され、出発地を追跡できます。
確認された悪意のあるパッケージは緊急問題として扱うべきです。できるだけ早く取り除いてください。
- 悪意のあるパッケージを信頼できる代替パッケージに削除または置き換え
- 悪意のある行動が特定のバージョンで導入された場合、 侵害以前の既知の良 バージョンにピン留めします。
- 推移依存関係の場合、それを取り込んだ親パッケージを特定し、その親パッケージをアップグレードまたは置き換えます。依存関係の経路を追跡する方法については 推移的依存関係 を参照してください。
- パッケージインストール中に露出した可能性のある機密情報や認証情報をローテーションする。
