Sicheres Abhängigkeitsmanagement

Moderne Anwendungen importieren Hunderte Pakete von Drittanbietern. Jede Abhängigkeit — einschließlich ihrer transitiven Abhängigkeiten — vergrößert Ihre Angriffsfläche. Eine Schwachstelle in einer beliebten Bibliothek (wie Log4Shell in Log4j) kann Tausende Anwendungen gleichzeitig gefährden.

Lock-Dateien (package-lock.json, yarn.lock, Pipfile.lock) pinnen jede Abhängigkeit einschließlich transitiver Abhängigkeiten auf eine exakte Version. Committen Sie Lock-Dateien in die Versionsverwaltung. Dadurch werden reproduzierbare Builds sichergestellt und unbeabsichtigte Versionsaktualisierungen verhindert, die Schwachstellen einführen könnten.

SCA-Tools prüfen Abhängigkeitsbäume anhand von CVE-Datenbanken, um verwundbare Pakete zu identifizieren. OWASP Dependency-Check, Snyk und GitHub Dependabot erkennen automatisch bekannte Schwachstellen und schlagen korrigierte Versionen mit Hinweisen zur Behebung vor.

Dependabot und Renovate Bot erstellen automatisch PRs, wenn neue, abwärtskompatible Versionen verfügbar sind. Sie priorisieren Sicherheitsupdates. Konfigurieren Sie Auto-Merge für Patch-Updates bei erfolgreich durchlaufener CI, damit Abhängigkeiten mit minimalem manuellen Aufwand aktuell bleiben.

Prüfen Sie vor dem Hinzufügen einer Abhängigkeit die Download-Zahl, die Aktivität bei aktuellen Commits, die Anzahl offener Issues, die Lizenzkompatibilität und die bekannte CVE-Historie. Bevorzugen Sie gut gepflegte Pakete mit aktiven Prozessen zur Reaktion auf Sicherheitsprobleme gegenüber nicht mehr gepflegten Alternativen.

Ihre direkten Abhängigkeiten bringen ihre eigenen Abhängigkeiten mit. Der Vorfall um event-stream zeigt die Gefahr: Angreifer erlangten die Kontrolle über eine transitive Abhängigkeit, die von Millionen von Paketen verwendet wurde. Prüfen Sie den vollständigen Abhängigkeitsbaum, nicht nur die direkten Abhängigkeiten.

Bei Dependency-Confusion-Angriffen werden schädliche Pakete in öffentlichen Registries veröffentlicht, die denselben Namen wie interne Pakete tragen. Beugen Sie dem mit bereichsbezogenen Paketnamen, der Authentifizierung an der privaten Registry und einer Allowlist genehmigter Registries in .npmrc oder pip.conf vor.

Eine Software Bill of Materials (SBOM) ist ein maschinenlesbares Verzeichnis aller Komponenten Ihrer Software. Erstellen Sie SBOMs mit Syft oder CycloneDX. SBOMs ermöglichen eine schnelle Bewertung der Auswirkungen von Schwachstellen, wenn neue CVEs veröffentlicht werden – betroffene Versionen lassen sich innerhalb weniger Minuten ermitteln.

OSS-Lizenzen bringen Verpflichtungen mit sich. Die GPL kann die Offenlegung des Quellcodes erfordern. MIT und Apache 2.0 sind freizügige Lizenzen. FOSSA und TLDR-Legal helfen bei der Bewertung der Lizenzkompatibilität. Integrieren Sie die Lizenzprüfung in die CI, um eine versehentliche GPL-Kontamination in kommerziellen Produkten zu verhindern.

Subresource Integrity (SRI) für über CDNs bereitgestellte Skripte verwendet einen kryptografischen Hash im Attribut integrity. npm package.json enthält ein integrity-Feld. Prüfen Sie beim Herunterladen von Paketen in der CI die Prüfsummen, um Manipulationen der Lieferkette zu erkennen.

Wenden Sie bei kritischen Schwachstellen innerhalb von 24–48 Stunden nach der Veröffentlichung des CVE Sicherheits-Patches an. Verwenden Sie CVSS-Scores und Daten zur Ausnutzbarkeit zur Priorisierung. Eine gepatchte Abhängigkeit, die eine inkompatible Änderung einführt, ist besser als eine ausnutzbare Schwachstelle in der Produktion.

Was ist ein Dependency-Confusion-Angriff?

Eine sichere Verwaltung von Abhängigkeiten erfordert das Fixieren von Versionen in Lock-Dateien, SCA-Prüfungen in CI/CD, die Automatisierung von Patch-Updates, das Erstellen von SBOMs zur Bewertung der Auswirkungen und die Bewertung der Sicherheitslage neuer Abhängigkeiten vor ihrer Einführung.