دیده شده که کلی پکیج آلوده هستند. من با THOR اسکن کردم فعلا چیزی پیدا نکردم ولی بهوش باشید
لینک خبر
https://lnkd.in/dJSmhCxt
کیا مواظب باشند ؟
توسعه‌دهندگان یا تیم‌هایی که از Node.js و npm برای ساخت سایت، سرویس یا ابزار استفاده می‌کنند.
کسانی که CI/CD (خط خودکار build و deploy) دارند و به‌صورت خودکار آخرین نسخه پکیج‌ها را می‌گیرند، چون آلودگی خیلی سریع وارد فرآیند عملیاتی می‌شود.
حتی اگر مستقیم از این پکیج‌ها استفاده نکنید، ممکن است به‌صورت غیرمستقیم (dependency) داخل پکیج‌های دیگر باشند.
#آکادمی_روزبه
لینک خبر
https://lnkd.in/dJSmhCxt
کیا مواظب باشند ؟
توسعه‌دهندگان یا تیم‌هایی که از Node.js و npm برای ساخت سایت، سرویس یا ابزار استفاده می‌کنند.
کسانی که CI/CD (خط خودکار build و deploy) دارند و به‌صورت خودکار آخرین نسخه پکیج‌ها را می‌گیرند، چون آلودگی خیلی سریع وارد فرآیند عملیاتی می‌شود.
حتی اگر مستقیم از این پکیج‌ها استفاده نکنید، ممکن است به‌صورت غیرمستقیم (dependency) داخل پکیج‌های دیگر باشند.
#آکادمی_روزبه
LinkedIn
#malware #npm #supplychain #infosec #appsec #applicationsecurity | Mackenzie Jackson | 198 comments
🚨 URGENT: I can't write much..... but... the largest supply chain compromise in npm, Inc. history just happened, packages with a total of 2 billion weekly downloads just got turned malicious.....
Packages were compromised 1 hour ago. Please share urgently…
Packages were compromised 1 hour ago. Please share urgently…
⚡7
مقوله DevSecOps؛ امنیت به‌عنوان بخشی از فرایند توسعه
بحث DevSecOps رویکردی است که امنیت را از یک کنترل نهایی، به مسئولیتی مشترک در سراسر چرخه توسعه نرم‌افزار تبدیل می‌کند. در روش سنتی، تیم امنیت معمولاً پس از تکمیل محصول وارد عمل می‌شود؛ زمانی که اصلاح آسیب‌پذیری‌ها پرهزینه، دشوار و گاهی غیرممکن است. در DevSecOps، کنترل‌های امنیتی از مرحله طراحی و کدنویسی آغاز می‌شوند و تا استقرار و بهره‌برداری ادامه می‌یابند.
در این رویکرد، Pipeline می‌تواند به‌صورت خودکار کد، کتابخانه‌ها، Container Image، تنظیمات زیرساخت و Secretها را ارزیابی کند. ابزارهایی مانند SAST، DAST، SCA، IaC Scanning و Secret Scanning به شناسایی زودهنگام ضعف‌ها کمک می‌کنند؛ اما DevSecOps صرفاً مجموعه‌ای از ابزارها نیست. فرهنگ همکاری میان توسعه‌دهندگان، تیم عملیات و متخصصان امنیت، هسته اصلی آن را تشکیل می‌دهد.
یکی از نقاط حساس، اجرای کد متعلق به Pull Requestهای تأییدنشده است. چنین کدی نباید در محیطی اجرا شود که به Token، Cloud Credential، Registry یا Runnerهای عملیاتی دسترسی دارد. تفکیک Pipelineهای غیرقابل‌اعتماد، اعمال Least Privilege، استفاده از Runnerهای موقت و فعال‌سازی Approval پیش از Deployment از کنترل‌های ضروری هستند.
هدف DevSecOps متوقف‌کردن توسعه نیست؛ بلکه تولید نرم‌افزار امن‌تر با سرعتی پایدار است. امنیت زمانی مؤثر خواهد بود که در معماری، کد، Pipeline و عملیات روزانه حضور داشته باشد، نه اینکه فقط پیش از انتشار بررسی شود.
#DevSecOps #DevOps #CyberSecurity #ApplicationSecurity #SecureCoding #SoftwareSecurity #CICD #SecurityAutomation #ShiftLeftSecurity #CloudSecurity #PipelineSecurity #SupplyChainSecurity #SAST #DAST #SCA #امنیت_سایبری #امنیت_نرم_افزار #توسعه_امن #مهندسی_امنیت #آکادمی_روزبه
بحث DevSecOps رویکردی است که امنیت را از یک کنترل نهایی، به مسئولیتی مشترک در سراسر چرخه توسعه نرم‌افزار تبدیل می‌کند. در روش سنتی، تیم امنیت معمولاً پس از تکمیل محصول وارد عمل می‌شود؛ زمانی که اصلاح آسیب‌پذیری‌ها پرهزینه، دشوار و گاهی غیرممکن است. در DevSecOps، کنترل‌های امنیتی از مرحله طراحی و کدنویسی آغاز می‌شوند و تا استقرار و بهره‌برداری ادامه می‌یابند.
در این رویکرد، Pipeline می‌تواند به‌صورت خودکار کد، کتابخانه‌ها، Container Image، تنظیمات زیرساخت و Secretها را ارزیابی کند. ابزارهایی مانند SAST، DAST، SCA، IaC Scanning و Secret Scanning به شناسایی زودهنگام ضعف‌ها کمک می‌کنند؛ اما DevSecOps صرفاً مجموعه‌ای از ابزارها نیست. فرهنگ همکاری میان توسعه‌دهندگان، تیم عملیات و متخصصان امنیت، هسته اصلی آن را تشکیل می‌دهد.
یکی از نقاط حساس، اجرای کد متعلق به Pull Requestهای تأییدنشده است. چنین کدی نباید در محیطی اجرا شود که به Token، Cloud Credential، Registry یا Runnerهای عملیاتی دسترسی دارد. تفکیک Pipelineهای غیرقابل‌اعتماد، اعمال Least Privilege، استفاده از Runnerهای موقت و فعال‌سازی Approval پیش از Deployment از کنترل‌های ضروری هستند.
هدف DevSecOps متوقف‌کردن توسعه نیست؛ بلکه تولید نرم‌افزار امن‌تر با سرعتی پایدار است. امنیت زمانی مؤثر خواهد بود که در معماری، کد، Pipeline و عملیات روزانه حضور داشته باشد، نه اینکه فقط پیش از انتشار بررسی شود.
#DevSecOps #DevOps #CyberSecurity #ApplicationSecurity #SecureCoding #SoftwareSecurity #CICD #SecurityAutomation #ShiftLeftSecurity #CloudSecurity #PipelineSecurity #SupplyChainSecurity #SAST #DAST #SCA #امنیت_سایبری #امنیت_نرم_افزار #توسعه_امن #مهندسی_امنیت #آکادمی_روزبه
🔥4❤1