Безопасность Supply Chain на примере npm

Всем привет!

В обновленной версии OWASP Supply Chain сразу попала на 3ье место, Shai-Hulud продолжает уничтожать Атрейдесов и Харконненов атаковать npm – лишь немногие подтверждения того, что вопрос обеспечения цепочки поставки ПО крайне важен.

В статье от SNYK можно найти набор рекомендаций о том, что можно сделать, чтобы повысить уровень безопасности при работе с заимствованными компонентами на примере npm.

Всего доступно 12 рекомендаций:
🍭 Disable post-install scripts
🍭 Install with cooldown
🍭 Harden installs with npq
🍭 Prevent lockfile injection
🍭 Use deterministic installs и т.д.

Для каждой рекомендации приводится краткое описание зачем это нужно и примеры реализации соответствующих настроек.

Отличное руководство, в котором содержится много полезной информации.

Рекомендуем!