Устаревшие системы и ПО EOL
Аудит зависимостей Node.js
Среднее приложение на Node.js подтягивает сотни транзитивных пакетов npm, и любой из них может нести уязвимость или, что хуже, перехваченное вредоносное обновление. Регулярный аудит зависимостей (инвентаризация, сопоставление с CVE, обнаружение перехвата и порядок обновлений) не даёт цепочке поставок превратиться в цепочку атаки.
Главное
- Строить полное дерево зависимостей, включая транзитивные, а не только прямые.
- Постоянно сопоставлять каждый пакет с лентами CVE и реестрами перехвата и вредоносного кода.
- Считать инцидентом безопасности протесты разработчиков, опечатки в именах и смену мейнтейнеров.
- Обновлять в порядке semver с дисциплиной lock-файлов и тестовыми воротами в сборке.
- Заменять заброшенные пакеты, а не закреплять уязвимые версии навсегда.
- Проверять целостность lock-файлами и проверкой подписей у критичных пакетов.
- Сузить объём установки: никаких зависимостей для разработки в боевых образах.
- Перепроверять после каждого развёртывания, а не только по расписанию: цепочки поставок меняются ежедневно.
Частые вопросы
Сколько пакетов у обычного приложения?
Сотни транзитивных даже у небольших проектов, поэтому ручной разбор невозможен, а автоматизация обязательна.
Что такое перехват зависимости?
Злоумышленники компрометируют учётную запись мейнтейнера или регистрируют похожее имя, чтобы встроить вредоносный код в доверенный поток обновлений.
Ловит ли npm audit всё?
Нет: он пропускает перехваты вредоносного типа и свежие раскрытия. Нужны дополнительные реестры и поведенческий контроль.
Как часто запускать аудит?
Непрерывно в сборке плюс ежемесячный разбор человеком того, что автоматика решить не может.
Как мы берём на себя устаревшие системы и по eol
Честно: чаще всего к нам приходят после того, как команда попробовала справиться сама. Безопасная эксплуатация PHP, Node.js и операционных систем без поддержки — и миграция раньше злоумышленников. Услуга Администрирование серверов и Безопасность серверов Linux существует как раз затем, чтобы не изучать устаревшие системы и по eol на своих ошибках: настройку, ночные сюрпризы и постоянное наблюдение мы берём на себя.