devsecops

Безопасность в пайплайне начинается там, где обычно про неё забывают, в зависимостях. Здесь разбирают свежие supply-chain атаки: тайпсквоттинг в npm пачками по сотне пакетов, кражу CI-токенов через подмену библиотек, трояны в популярных зависимостях. Отдельная боль для СНГ это жизнь на зеркалах npm и pypi после ухода вендоров и проверка, что в локальный реестр не подсунули модифицированный пакет. Полезно тем, кто внедряет lockfile-аудит, SCA-сканеры и подпись артефактов, чтобы не тащить в прод весь интернет вслепую.

Похожие теги: supply chain 5npm 4зависимости 2зеркала 1