Короткий ответ Сначала через lock-файлы и SBOM находят все сервисы и версии сборок, которые использовали скомпрометированную версию пакета, изолируют/откатывают их на безопасную версию, ротируют все секреты, которые могли быть доступны через переменные окружения в затронутых окружениях, и затем вводят защиту «по умолчанию»: закрепление версий по хэшу, проверку источника пакетов, запрет автоматического подтягивания новых версий в сборке без ревью. Как это работает подробнее атаки на цепочку поставок часто происходят через компрометацию аккаунта мейнтейнера пакета или через публикацию версии с похожим именем (typosquatting); если сборка не фиксирует точную версию с хэшем и подтягивает «последнюю совместимую» версию автоматически, вредоносный код попадает в сборку без явного действия команды. SBOM и lock-файлы — это то, по чему можно быстро определить, какие артефакты реально включали скомпрометированную версию. Что использовать на практике Практика. реагирование включает: инвентаризацию через SBOM/lock-файлы (г
Загрузка…
