Gerenciamento Seguro de Dependências

Aplicações modernas importam centenas de pacotes de terceiros. Cada dependência — e suas dependências transitivas — amplia sua superfície de ataque. Uma vulnerabilidade em uma biblioteca popular (como o Log4Shell no Log4j) pode expor milhares de aplicações simultaneamente.

Os arquivos de bloqueio (package-lock.json, yarn.lock, Pipfile.lock) fixam cada dependência em uma versão exata, incluindo as dependências transitivas. Inclua os arquivos de bloqueio no controle de versões. Isso garante compilações reproduzíveis e evita atualizações acidentais de versões que introduzam vulnerabilidades.

As ferramentas SCA verificam árvores de dependências em bancos de dados de CVE para identificar pacotes vulneráveis. OWASP Dependency-Check, Snyk e GitHub Dependabot detectam automaticamente vulnerabilidades conhecidas e sugerem versões corrigidas com orientações de correção.

Dependabot e Renovate Bot abrem automaticamente solicitações de pull quando novas versões sem alterações incompatíveis estão disponíveis. Eles priorizam atualizações de segurança. Configure a mesclagem automática para atualizações de correção que passem pela integração contínua, mantendo as dependências atualizadas com o mínimo de esforço manual.

Antes de adicionar uma dependência: verifique o número de downloads, a atividade recente de commits, a quantidade de problemas abertos, a compatibilidade da licença e o histórico de CVEs conhecidos. Prefira pacotes bem mantidos, com processos ativos de resposta a incidentes de segurança, em vez de alternativas sem manutenção.

Suas dependências diretas trazem suas próprias dependências. No incidente do event-stream, invasores assumiram o controle de uma dependência transitiva usada por milhões de pacotes. Audite toda a árvore de dependências, não apenas as dependências diretas.

Ataques de confusão de dependências envolvem a publicação de pacotes maliciosos em registros públicos com o mesmo nome de pacotes internos. Para reduzir esse risco, use nomes de pacotes com escopo, autenticação no registro privado e uma lista de permissões de registros aprovados no .npmrc ou no pip.conf.

Uma Lista de Materiais de Software (SBOM) é um inventário legível por máquina de todos os componentes do seu software. Gere SBOMs com Syft ou CycloneDX. Os SBOMs permitem avaliar rapidamente o impacto de vulnerabilidades quando novos CVEs são publicados — identifique as versões afetadas em poucos minutos.

As licenças OSS impõem obrigações. A GPL pode exigir a divulgação do código-fonte. MIT e Apache 2.0 são permissivas. FOSSA e TLDR-Legal ajudam a avaliar a compatibilidade entre licenças. Inclua a análise de licenças na integração contínua para evitar a contaminação acidental por GPL em produtos comerciais.

A Integridade de Sub-recursos (SRI) para scripts hospedados em CDN usa um hash criptográfico no atributo integrity. O package.json de um pacote npm inclui um campo integrity. Verifique as somas de verificação ao baixar pacotes na integração contínua para detectar adulterações na cadeia de suprimentos.

Aplique correções de segurança em até 24–48 horas após a publicação de um CVE para vulnerabilidades críticas. Use as pontuações CVSS e os dados de explorabilidade para definir prioridades. Uma dependência corrigida que introduz uma alteração incompatível é melhor do que uma vulnerabilidade explorável em produção.

O que é um ataque de confusão de dependências?

O gerenciamento seguro de dependências exige fixar versões em arquivos de bloqueio, executar análises SCA na integração e entrega contínuas, automatizar atualizações de correções, gerar SBOMs para avaliar impactos e avaliar a postura de segurança de novas dependências antes de adotá-las.