Manajemen Dependensi yang Aman

Aplikasi modern mengimpor ratusan paket pihak ketiga. Setiap dependensi — dan dependensi transitifnya — memperluas permukaan serangan. Kerentanan pada pustaka populer (seperti Log4Shell pada Log4j) dapat mengekspos ribuan aplikasi secara bersamaan.

Berkas pengunci (package-lock.json, yarn.lock, Pipfile.lock) mengunci setiap dependensi ke versi pasti, termasuk dependensi transitif. Simpan berkas pengunci ke dalam pengendalian versi. Hal ini memastikan rakitan yang dapat direproduksi dan mencegah pembaruan versi yang tidak disengaja sehingga menimbulkan kerentanan.

Alat SCA memindai pohon dependensi terhadap basis data CVE untuk mengidentifikasi paket yang rentan. OWASP Dependency-Check, Snyk, dan GitHub Dependabot secara otomatis mendeteksi kerentanan yang telah diketahui dan menyarankan versi yang telah ditambal beserta panduan perbaikannya.

Dependabot dan Renovate Bot secara otomatis membuka permintaan penggabungan ketika versi baru yang tidak merusak tersedia. Keduanya memprioritaskan pembaruan keamanan. Konfigurasikan penggabungan otomatis untuk pembaruan perbaikan dengan integrasi berkelanjutan yang berhasil agar dependensi tetap terbaru dengan upaya manual minimal.

Sebelum menambahkan dependensi, periksa jumlah unduhan, aktivitas commit terbaru, jumlah masalah terbuka, kompatibilitas lisensi, dan riwayat CVE yang diketahui. Pilih paket yang terawat baik dengan proses penanganan keamanan yang aktif daripada alternatif yang tidak terawat.

Dependensi langsung Anda dapat menarik dependensinya sendiri. Insiden event-stream: penyerang berhasil mengambil alih dependensi transitif yang digunakan oleh jutaan paket. Audit seluruh pohon dependensi, bukan hanya dependensi langsung.

Serangan kebingungan dependensi dilakukan dengan menerbitkan paket berbahaya ke registri publik menggunakan nama yang sama dengan paket internal. Kurangi risikonya dengan nama paket yang memiliki cakupan, autentikasi registri privat, dan daftar izin registri yang disetujui dalam .npmrc atau pip.conf.

Software Bill of Materials (SBOM) adalah inventaris semua komponen dalam perangkat lunak Anda yang dapat dibaca mesin. Buat SBOM dengan Syft atau CycloneDX. SBOM memungkinkan penilaian dampak kerentanan secara cepat ketika CVE baru diterbitkan—identifikasi versi yang terdampak dalam hitungan menit.

Lisensi OSS menetapkan kewajiban tertentu. GPL mungkin mengharuskan pengungkapan kode sumber. MIT dan Apache 2.0 bersifat permisif. FOSSA dan TLDR-Legal membantu menilai kompatibilitas lisensi. Sertakan pemindaian lisensi dalam CI untuk mencegah masuknya GPL secara tidak sengaja ke produk komersial.

Subresource Integrity (SRI) untuk skrip yang dihosting di CDN menggunakan hash kriptografis dalam atribut integrity. npm package.json menyertakan bidang integrity. Verifikasi nilai pemeriksaan saat mengunduh paket dalam CI untuk mendeteksi manipulasi rantai pasok.

Terapkan tambalan keamanan dalam 24–48 jam setelah publikasi CVE untuk kerentanan kritis. Gunakan skor CVSS dan data eksploitabilitas untuk menentukan prioritas. Dependensi yang telah ditambal tetapi menimbulkan perubahan yang merusak kompatibilitas tetap lebih baik daripada kerentanan yang dapat dieksploitasi di lingkungan produksi.

Apa yang dimaksud dengan serangan kebingungan dependensi?

Manajemen dependensi yang aman memerlukan penguncian versi dalam berkas kunci, menjalankan pemindaian SCA dalam CI/CD, mengotomatiskan pembaruan tambalan, membuat SBOM untuk penilaian dampak, dan mengevaluasi postur keamanan dependensi baru sebelum digunakan.