Was macht supply-chain-guard?
Überprüft npm-Pakete und VS Code-Erweiterungen lokal auf bösartigen Code vor der Installation.
Funktionsweise
Dieser Skill lädt ein npm-Paket oder eine VS Code-Erweiterung herunter und führt eine Reihe von Sicherheitsprüfungen durch:
- Statische Analyse: Durchsucht den Code nach verdächtigen Mustern wie
eval(), exec-Aufrufen oder Base64-verschlüsselten Skripten. - Abhängigkeitsprüfung: Überprüft die Paketabhängigkeiten auf bekannte Schwachstellen (basierend auf öffentlichen Datenbanken).
- Netzwerkanalyse: Erkennt ungewöhnliche Netzwerkanfragen oder Verbindungen zu verdächtigen Domains.
- Dateiintegrität: Prüft auf manipulierte oder unerwartete Binärdateien.
Unterstützte Plattformen
- npm: Alle auf npm veröffentlichten Pakete.
- VS Code: Jede Erweiterung aus dem VS Code Marketplace.
Nutzung
# Paket direkt prüfen
supply-chain-guard --package axios
# VS Code Erweiterung prüfen
supply-chain-guard --extension ms-python.python
# Lokale Datei prüfen
supply-chain-guard --file ./my-package.tgz
Ausgabe
Das Tool erstellt einen detaillierten Bericht mit:
- Gefundenen Risikostufen (niedrig, mittel, hoch, kritisch)
- Fundorten und Code-Auszügen
- Empfehlungen zur Risikominderung
Integration
Sie können diesen Skill in Ihre CI/CD-Pipeline einbinden:
# Beispiel für GitHub Actions
- name: Supply Chain Guard
run: supply-chain-guard --package ${{ matrix.package }}
Lizenz
MIT