GitHub uruchamia zaporę pakietów npm blokującą podejrzane wersje przed instalacją

GitHub udostępnił w publicznym podglądzie zaporę pakietów npm dla wszystkich klientów GitHub Enterprise Cloud. Zapora sprawdza zapytania o metadane i pobierane pakiety, a pakiety niespełniające reguł blokuje przed instalacją. Stoi między stacjami roboczymi lub wewnętrznymi rejestrami a publicznymi repozytoriami pakietów. Według GitHub ryzyko rośnie, gdy agenci AI i serwery CI same instalują zależności bez wyraźnej zgody użytkownika.

Kogo dotyczy

Firm korzystających z GitHub Enterprise Cloud, także w wariancie z rezydencją danych. Na razie zapora obsługuje wyłącznie pakiety npm.

Co zrobić

Administrator ustawia reguły, m.in. minimalny wiek pakietu: wersje młodsze niż wskazana liczba dni, od 1 do 365, nie zostaną zainstalowane. Domyślnie jest to 1 dzień, a wartość 0 wyłącza regułę. Zapora sprawdza też pakiety pod kątem zgłoszeń o złośliwym oprogramowaniu. Agenci programistyczni i serwery CI/CD mają pobierać pakiety przez zaporę zamiast bezpośrednio z publicznego rejestru. Błędnie zablokowany pakiet odblokowuje wniosek o wyjątek, który zatwierdza administrator albo osoba odpowiedzialna za bezpieczeństwo.