O que supply-chain-risk-auditor faz?
Identifica dependências com risco elevado de exploração ou comprometimento. Use ao avaliar a superfície de ataque da cadeia de suprimentos, analisar a saúde das dependências ou definir o escopo de compromissos de segurança.
Como funciona
Este skill examina dependências de projetos de software para detectar aquelas que estão em maior risco de serem exploradas ou tomadas por atacantes. Ele utiliza métricas como:
- Manutenção: Frequência de atualizações e correções de segurança.
- Popularidade: Número de downloads e dependentes.
- Idade da dependência: Quanto tempo está disponível.
- Sinais de abandono: Ausência de commits, issues não resolvidas, etc.
Plataformas suportadas
- npm (Node.js)
- PyPI (Python)
- RubyGems (Ruby)
- Outros ecossistemas podem ser adicionados via configuração.
Uso básico
Em um diretório de projeto, execute:
supply-chain-risk-auditor --path .
Isso gerará um relatório com as dependências de maior risco.
Exemplo de saída
Dependência: [email protected]
Risco: Alto
Motivo: Versão antiga com CVE conhecido (CVE-2021-23337)
Ação recomendada: Atualizar para >=4.17.21
Dependência: [email protected]
Risco: Médio
Motivo: Baixa manutenção (último commit há 2 anos)
Ação recomendada: Considerar substituição por alternativa ativa
Integração CI/CD
Adicione ao seu pipeline de CI:
- name: Auditar dependências
run: supply-chain-risk-auditor --path ./app --output report.json
# Falha se encontrar riscos críticos
continue-on-error: false
Documentação completa
Consulte o repositório original para configuração avançada e opções de linha de comando.