Regel 27: Angriffe auf die Software-Lieferkette
Was wäre, wenn die größte Bedrohung für Ihr System nicht Ihr Code ist, sondern die vertrauenswürdigen Open-Source-Bibliotheken, die Sie importieren? Willkommen im schlimmsten Albtraum für Entwickler: Angriffe auf die Software-Lieferkette.
Angreifer verschwenden keine Zeit mehr damit, versuchen Ihre Firewall zu umgehen. Stattdessen vergiften sie beliebte Open-Source-Pakete (auf npm, PyPI oder GitHub) mit bösartigen Hintertüren. Wenn Sie ein einfaches pip install oder npm install ausführen, schleusen Sie ihre Malware ungewollt direkt in Ihren Server ein!
Um Regel 27 durchzusetzen, müssen Sie Ihre Abhängigkeiten mit diesen drei absoluten Schutzebenen absichern:
1️⃣ Abhängigkeiten festschreiben: Verwenden Sie immer Lockfiles (wie package-lock.json oder requirements.txt mit strengen Hashes), um sicherzustellen, dass während des Deployments kein unerwarteter oder veränderter Code heruntergeladen wird.
2️⃣ Automatisches Schwachstellen-Scanning: Integrieren Sie Tools wie Snyk, GitHub Dependabot oder OWASP Dependency-Check in Ihren Workflow. Sie markieren sofort kompromittierte oder veraltete Bibliotheken und blockieren sie.
3️⃣ Quellcode verifizieren: Bevor Sie ein neues Paket vertrauen, prüfen Sie die Maintainer, kontrollieren Sie die Update-Häufigkeit und achten Sie auf Typosquatting (Hacker benennen bösartige Pakete so, dass sie berühmten ähneln, z. B. requsts statt requests).
Lassen Sie eine vertrauenswürdige Drittanbieter-Bibliothek nicht zum Trojanischen Pferd Ihrer Infrastruktur werden
#BTC
Was wäre, wenn die größte Bedrohung für Ihr System nicht Ihr Code ist, sondern die vertrauenswürdigen Open-Source-Bibliotheken, die Sie importieren? Willkommen im schlimmsten Albtraum für Entwickler: Angriffe auf die Software-Lieferkette.
Angreifer verschwenden keine Zeit mehr damit, versuchen Ihre Firewall zu umgehen. Stattdessen vergiften sie beliebte Open-Source-Pakete (auf npm, PyPI oder GitHub) mit bösartigen Hintertüren. Wenn Sie ein einfaches pip install oder npm install ausführen, schleusen Sie ihre Malware ungewollt direkt in Ihren Server ein!
Um Regel 27 durchzusetzen, müssen Sie Ihre Abhängigkeiten mit diesen drei absoluten Schutzebenen absichern:
1️⃣ Abhängigkeiten festschreiben: Verwenden Sie immer Lockfiles (wie package-lock.json oder requirements.txt mit strengen Hashes), um sicherzustellen, dass während des Deployments kein unerwarteter oder veränderter Code heruntergeladen wird.
2️⃣ Automatisches Schwachstellen-Scanning: Integrieren Sie Tools wie Snyk, GitHub Dependabot oder OWASP Dependency-Check in Ihren Workflow. Sie markieren sofort kompromittierte oder veraltete Bibliotheken und blockieren sie.
3️⃣ Quellcode verifizieren: Bevor Sie ein neues Paket vertrauen, prüfen Sie die Maintainer, kontrollieren Sie die Update-Häufigkeit und achten Sie auf Typosquatting (Hacker benennen bösartige Pakete so, dass sie berühmten ähneln, z. B. requsts statt requests).
Lassen Sie eine vertrauenswürdige Drittanbieter-Bibliothek nicht zum Trojanischen Pferd Ihrer Infrastruktur werden
#BTC